Reconnaître le phishing : ce que c'est et comment le repérer
Qu'est-ce que le phishing ?
Le phishing (prononcez « fishing ») est une forme d'escroquerie par e-mail, SMS ou chat. L'expéditeur « pêche » quelque chose chez vous : un mot de passe de connexion, un paiement, vos coordonnées bancaires ou l'accès à vos systèmes. Le message se présente comme provenant d'une partie que vous faites confiance, afin que vous cliquiez ou répondiez sans réfléchir.
La plupart du phishing est du travail de masse : le même faux message part vers des milliers de personnes à la fois, dans l'espoir qu'une partie se fasse piéger. Il existe aussi du phishing ciblé (parfois appelé « spear phishing »), où un attaquant adapte un message à vous ou à votre entreprise, avec votre vrai nom ou celui d'un collègue. Celui-là est plus difficile à reconnaître, car il paraît personnel.
Reconnaître le phishing : les signaux
Rarement une seule chose trahit un faux e-mail ; c'est la somme qui fait sonner l'alarme. Passez ces signaux en revue :
- L'expéditeur ne colle pas tout à fait. Le petit nom affiché peut sembler authentique, mais l'adresse e-mail derrière diffère : un domaine étrange, des caractères en trop, ou un nom d'entreprise juste un peu mal orthographié. Cliquez sur le nom de l'expéditeur pour voir l'adresse complète.
- Le lien mène ailleurs. Passez votre souris sur un lien (sans cliquer) et regardez où il pointe réellement. Si cela diffère du texte, ou si c'est une adresse web étrange, méfiez-vous.
- On vous presse. « Votre compte sera bloqué dans 24 heures », « payez maintenant ou une amende suivra ». La pression et la menace sont destinées à vous faire agir vite et sans réfléchir.
- La demande est inattendue. Une facture que vous n'attendiez pas, une réinitialisation de mot de passe que vous n'avez pas demandée, un patron qui réclame soudain un paiement urgent par e-mail. L'inattendu est une raison de vérifier deux fois.
- Le contenu semble « juste pas ça ». Formule d'appel étrange (« Cher client » sans votre nom), langage rigide, fautes d'orthographe, ou un logo légèrement décalé.
- On vous demande des informations sensibles. Une vraie banque ou un vrai service ne demande jamais par e-mail votre mot de passe complet ou votre code PIN.
Des exemples d'e-mails de phishing plus développés vous aident à reconnaître le schéma encore plus vite.
Comment fonctionne le phishing
Une attaque de phishing se déroule généralement en trois étapes. D'abord l'appât : un message crédible qui imite un expéditeur de confiance. Puis l'hameçon : un lien vers un faux site web qui ressemble exactement au véritable écran de connexion, ou une pièce jointe contenant un logiciel malveillant. Enfin le butin : si vous saisissez vos données sur le faux site, elles partent directement vers l'attaquant.
Pour paraître fiables, les escrocs abusent souvent du nom d'une véritable entreprise. Ils peuvent aussi falsifier le nom de l'expéditeur, de sorte qu'un e-mail semble provenir de quelqu'un que vous connaissez. Cela s'appelle le spoofing. Pour éviter que quelqu'un envoie du courrier au nom de votre domaine, lisez prévenir le spoofing.
Ce qui frappe ces dernières années, c'est à quel point le phishing peut paraître soigné. Là où un faux e-mail était autrefois plein de fautes d'orthographe, il paraît aujourd'hui souvent professionnel, avec des logos corrects et un langage fluide. Ne vous fiez donc pas aveuglément au « ça a l'air authentique ». C'est la somme des signaux et votre bon sens qui comptent : est-ce que j'attends ce message, l'expéditeur colle-t-il, et suis-je mis sous pression ? Ces questions vous protègent mieux que l'apparence d'un e-mail.
À quoi être attentif
Au-delà de la reconnaissance, ce sont vos habitudes qui comptent. Quelques règles de base qui vous épargnent bien des ennuis :
- Ne cliquez pas, allez-y vous-même. Vous ne faites pas confiance à un message de votre banque ou d'un service ? Alors n'y allez pas via le lien, mais tapez l'adresse vous-même dans votre navigateur ou utilisez l'application officielle.
- Vérifiez via un autre canal. Un collègue ou un fournisseur réclame par e-mail un paiement urgent ou un numéro de compte modifié ? Passez un coup de fil. Un seul appel évite la plupart des dégâts.
- N'ouvrez pas de pièces jointes inattendues. Surtout pas les fichiers zip ou les documents que vous « devez activer ». En cas de doute, ne les ouvrez pas.
- Ne saisissez jamais d'identifiants après un lien reçu par e-mail. Pas non plus votre code 2FA. Un vrai service ne vous y contraint pas par e-mail.
- Vous vous êtes tout de même fait piéger ? Changez immédiatement le mot de passe concerné (et partout où vous utilisiez ce même mot de passe), activez la vérification en deux étapes et signalez-le à votre responsable informatique ou à l'instance concernée. Agir vite limite les dégâts.
Et chez Mailflux
Vous n'avez pas à arrêter le phishing tout seul. Chez Mailflux, un filtrage piloté par apprentissage automatique contre le spam, le phishing et les logiciels malveillants est inclus par défaut dans chaque formule : beaucoup de faux messages sont déjà bloqués avant d'atteindre votre boîte de réception. Le système apprend en continu, il évolue donc avec les nouvelles ruses.
En plus de cela, chaque formule comprend antivirus et antimalware ; avec Pro et Premium, vous bénéficiez de l'antimalware premium pour une couche supplémentaire renforcée contre les pièces jointes malveillantes. Et comme vous envoyez du courrier sur votre propre domaine, vous pouvez, avec des dispositifs techniques (SPF, DKIM, DMARC), aider à empêcher que des escrocs abusent de votre nom. En savoir plus dans l'e-mail sur votre propre domaine. Un filtre en intercepte beaucoup. Votre vigilance fait le reste.
FAQ
Questions fréquentes
Quelle est la différence entre le phishing et le spam ?
Le spam est de la publicité non sollicitée ou du courrier en masse : agaçant, mais généralement pas directement nuisible. Le phishing est une tromperie ciblée qui veut voler vos données, votre argent ou votre accès. Un filtre anti-spam intercepte les deux, mais le phishing est plus dangereux car il tente sciemment de vous induire à agir.
J'ai cliqué sur un lien de phishing. Que faire ?
Pas de panique, mais agissez vite. Si vous n'avez encore rien saisi, il n'y a généralement pas grand-chose, fermez la page. Si vous avez bien saisi des données, changez immédiatement ce mot de passe (et partout où vous l'avez réutilisé), activez la 2FA et prévenez votre responsable informatique ou le service concerné.
Un filtre anti-spam peut-il arrêter tout le phishing ?
Non, aucun filtre n'intercepte tout. Un bon filtre piloté par apprentissage automatique arrête la grande majorité, mais le phishing ciblé ou nouveau passe parfois à travers. C'est pourquoi votre propre vigilance reste indispensable : vérifiez l'expéditeur et les liens, et soyez critique face aux demandes inattendues ou urgentes.