Comment reconnaître un email de phishing

Un email de phishing (hameçonnage) se reconnaît à 5 signaux combinés : une adresse d'expéditeur qui ne correspond pas exactement à l'organisme annoncé, un ton urgent ou menaçant, un lien dont la destination réelle diffère, une pièce jointe inattendue, et une demande d'identifiants ou de code bancaire.

Le phishing reste l'une des techniques les plus utilisées par les escrocs car elle ne nécessite aucune compétence technique poussée : un email bien imité suffit souvent à tromper la vigilance, surtout dans l'urgence.

Les 5 signaux à repérer

Comment vérifier avant de cliquer

Deux vérifications suffisent dans la plupart des cas : cliquer sur le nom de l'expéditeur affiché pour voir son adresse email complète, et survoler (sans cliquer) chaque lien pour voir l'URL réelle de destination s'afficher.

Vérifier l'expéditeur et lire les en-têtes

Le nom d'expéditeur qui s'affiche (« Service client », « Impôts », « Chronopost ») est un texte libre, écrit par celui qui envoie le message : il ne prouve rien. La vérification utile tient en cinq étapes, dans cet ordre.

1. Lire l'adresse complète, pas le nom affiché. Dans la plupart des logiciels, cliquer sur le nom fait apparaître l'adresse. Ce qui compte est le domaine, c'est-à-dire la partie après l'arobase : une adresse du type service-client@remboursement-impots.net n'a rien à voir avec impots.gouv.fr, même si le texte placé avant l'arobase reprend le mot « impôts ».
2. Comparer le domaine au site officiel, caractère par caractère. Les imitations reposent sur un détail : un tiret ajouté, un pluriel, un tiret de soulignement là où l'original a un point, ou une extension différente (.com, .net, .info au lieu du .fr officiel). Cybermalveillance relève que « parfois, un seul caractère peut changer dans l'adresse du site pour vous tromper ».
3. Se méfier aussi du message venant d'une adresse connue. Selon cybermalveillance.gouv.fr, « connaître l'adresse email de l'expéditeur n'est pas un critère de confiance absolu » : l'adresse d'un proche ou d'un service peut être usurpée, ou l'envoi peut partir d'une boîte piratée.
4. Vérifier où mène le lien, pas ce qu'il annonce. Le libellé d'un bouton peut désigner un site officiel quand la destination réelle est ailleurs. Sur ordinateur, le survol affiche l'adresse ; sur mobile, un appui long l'affiche avant l'ouverture. Un lien raccourci masque la destination finale : dans le doute, on ne clique pas.
5. Afficher le message d'origine pour lire les en-têtes. Chaque logiciel de messagerie permet d'ouvrir un message « en-tête » ou « original » (l'intitulé varie selon les logiciels). Selon cybermalveillance.gouv.fr, ce code source comporte deux parties : « les en-têtes : c'est la partie technique que vous ne voyez pas » et « le corps du message : c'est le contenu que vous lisez ». Les en-têtes portent le chemin de transit du message, ajouté serveur après serveur : c'est la partie analysée lors d'un signalement, et c'est pour cela qu'on la transmet au lieu d'une capture d'écran.

Si vous avez déjà cliqué

Signaler un email de phishing : quel canal pour quoi

Un signalement n'a d'effet que s'il arrive au bon endroit. La règle commune : conserver le message reçu, et surtout son code source, sans quoi il n'y a rien à analyser. Voici les canaux officiels et ce que chacun en fait.

Deux précisions qui évitent de perdre du temps. Pharos ne « permet pas de signaler un mail de phishing à proprement parler » : selon cybermalveillance.gouv.fr, cette plateforme du ministère de l'Intérieur offre en revanche la possibilité de signaler certains types d'hameçonnage via la rubrique « Escroquerie ». Et Signal Spam, créée en 2005 et associée à la CNIL, n'exploite pas les captures d'écran : il lui faut le message et ses en-têtes, d'où l'intérêt des modules de signalement en un clic proposés pour les principales messageries.

Selon votre situation, la suite se trouve ailleurs sur le site : la procédure du 33700 en détail pour un SMS, vérifier un site avant d'acheter si vous avez atterri sur une fausse boutique, et le guide complet des démarches après une arnaque si de l'argent a déjà été prélevé.

3 erreurs qui facilitent le piège

Ce que dit la loi sur l'hameçonnage

Un email de phishing ne correspond pas à une infraction unique : selon ce que l'escroc a fait des informations obtenues, plusieurs qualifications s'appliquent, et elles peuvent se cumuler. Les peines maximales ci-dessous sont celles que retient cybermalveillance.gouv.fr.

• Escroquerie (article 313-1 du code pénal) : cinq ans d'emprisonnement et 375 000 € d'amende. C'est la qualification de base lorsque l'hameçonnage aboutit à un paiement ou à un virement.
• Collecte de données à caractère personnel par un moyen frauduleux, déloyal ou illicite(article 226-18 du code pénal) : cinq ans d'emprisonnement et 300 000 € d'amende. Cette qualification vise précisément la récolte d'identifiants, et elle ne suppose pas qu'une escroquerie ait réussi : collecter les données par un moyen déloyal suffit.
• Accès ou maintien frauduleux dans un système de traitement automatisé de données(article 323-1 du code pénal) : trois ans d'emprisonnement et 100 000 € d'amende, lorsque l'auteur a pénétré dans un système ou y a introduit des données.
• Usurpation d'identité (article 226-4-1 du code pénal) : un an d'emprisonnement et 15 000 € d'amende, pour le fait de prendre le nom ou la qualité d'un tiers afin de tromper.

Le volet bancaire a ses propres délais, et ils sont courts. Une opération de paiement non autorisée se conteste dans les 13 mois qui suivent le débit — 70 jours seulement si le bénéficiaire est situé hors de l'Espace économique européen. Passé ce délai, le remboursement n'est plus acquis. Dans le délai, la banque doit rembourser les sommes détournées et les agios « immédiatement et au plus tard à la fin du premier jour ouvrable suivant » la réception de la contestation, un refus restant possible dans certains cas (contestation tardive, opposition faite trop tard).

Deux repères pratiques : l'opposition sur une carte peut être demandée via le serveur interbancaire au 0 892 705 705 (0,34 € la minute, ouvert 24h/24 et 7j/7), et une banque ne peut pas vous imposer un dépôt de plainte comme condition préalable à l'examen de votre demande de remboursement.

Ces montants sont des peines maximales encourues, pas des peines automatiquement prononcées. Ils servent surtout à mesurer une chose : un email frauduleux n'est pas un simple désagrément, c'est un acte réprimé, et c'est ce qui justifie de conserver les preuves et de déposer plainte plutôt que de simplement supprimer le message.

Questions fréquentes

Vérifier, signaler, porter plainte : les questions pratiques

Pour aller plus loin

Article informatif basé sur les recommandations de cybermalveillance.gouv.fr et de Signal Spam.