Le phishing (ou hameçonnage) reste, année après année, la porte d'entrée la plus utilisée pour compromettre un compte en ligne. Ce n'est pas parce que la technique est sophistiquée, mais parce qu'elle contourne l'endroit le plus difficile à sécuriser : la décision humaine prise en quelques secondes, souvent sur un téléphone, entre deux tâches. Un mot de passe long et une authentification à deux facteurs réduisent le risque, mais aucune protection technique ne remplace la capacité à repérer une tentative avant de cliquer.
Un message de phishing efficace ne cherche pas à convaincre par la logique, il cherche à court-circuiter la réflexion. Les escrocs s'appuient sur un nombre restreint de leviers psychologiques qui fonctionnent indépendamment du niveau technique de la victime : l'urgence ("votre compte sera suspendu dans 24 heures"), l'autorité ("message de votre banque" ou "de votre direction"), la peur d'une conséquence financière, ou au contraire l'appât d'un gain inattendu. Ces leviers sont volontairement combinés avec une contrainte de temps courte, précisément pour empêcher la vérification posée que vous feriez naturellement si le message pouvait attendre le lendemain.
Ce n'est donc pas une question d'intelligence ou de vigilance générale. Des personnes très compétentes techniquement se font piéger parce que le message arrive au mauvais moment, dans un contexte plausible (une facture attendue, une livraison en cours, une échéance professionnelle réelle). Le seul rempart fiable est une méthode de vérification systématique, appliquée même quand le message semble urgent, précisément parce qu'il semble urgent.
L'usurpation de domaine reste la base de la plupart des campagnes : l'escroc enregistre un nom de domaine visuellement proche du vrai (remplacement d'un "l" par un "I" majuscule, ajout d'un tiret, extension différente comme ".net" à la place de ".com") et construit une page de connexion qui reproduit à l'identique le site imité. Une variante plus sournoise consiste à falsifier uniquement le nom d'expéditeur affiché dans le client de messagerie, en gardant une adresse réelle totalement différente en arrière-plan : le nom affiché peut indiquer "Support Client" alors que l'adresse technique renvoie vers un domaine sans rapport.
Les liens raccourcis (via des services de raccourcissement d'URL) sont utilisés pour masquer la destination réelle d'un clic, en particulier dans les messages envoyés par SMS où l'espace d'affichage est réduit. Les pièces jointes piégées, souvent des documents Office avec macros ou des PDF contenant un lien intégré, restent efficaces parce qu'elles exploitent la confiance accordée à un format de fichier perçu comme neutre. Enfin, le spear phishing (hameçonnage ciblé) et sa variante professionnelle, la fraude au président ou "Business Email Compromise", visent une personne précise après une phase de renseignement sur son poste, sa hiérarchie et ses habitudes, ce qui rend le message nettement plus crédible qu'un envoi de masse.
Le réflexe le plus utile, et le plus simple à acquérir, consiste à survoler un lien avec le curseur (sans cliquer) pour faire apparaître l'URL réelle de destination, généralement affichée en bas de la fenêtre du navigateur ou du client de messagerie. Cette URL doit être comparée au domaine officiel du service concerné, en lisant l'adresse de droite à gauche à partir du premier "/" : c'est la partie juste avant l'extension (.com, .fr, etc.) qui indique le véritable propriétaire du site, pas ce qui apparaît en premier dans la chaîne de caractères.
L'adresse d'expéditeur mérite la même vérification que le lien : cliquer sur le nom affiché, ou consulter les détails techniques du message, révèle presque toujours une adresse email qui n'a rien à voir avec l'organisation prétendument émettrice. Les fautes d'orthographe et de grammaire, autrefois un indicateur fiable, le sont moins aujourd'hui : les campagnes les plus sophistiquées utilisent des outils de génération de texte qui produisent un français impeccable. L'absence de personnalisation (une formule générique comme "Cher client" au lieu de votre nom) reste en revanche un signal utile, tout comme une demande de paiement ou de données bancaires transmise par email, un canal que les institutions sérieuses évitent presque systématiquement pour ce type d'information.
Les serveurs de messagerie s'appuient sur trois mécanismes techniques pour authentifier l'origine d'un email : SPF vérifie que le serveur qui envoie le message est autorisé à le faire pour le domaine annoncé, DKIM ajoute une signature cryptographique au message pour garantir qu'il n'a pas été modifié en transit, et DMARC définit la politique à appliquer quand SPF ou DKIM échouent (mettre en quarantaine, rejeter, ou simplement signaler). Ces mécanismes bloquent efficacement l'usurpation directe d'un domaine légitime, mais ils ne protègent pas contre l'enregistrement d'un domaine proche mais différent, qui reste techniquement "authentique" puisque l'escroc en est le propriétaire légitime au sens du registre. C'est pour cette raison qu'un email peut passer tous les contrôles techniques d'authentification tout en étant une tentative de phishing : le problème n'est pas la falsification du domaine, mais le choix d'un domaine trompeur.
Si vous avez saisi un mot de passe sur une page suspecte, la priorité est de le changer immédiatement sur le vrai site, avant même d'analyser comment vous avez été piégé. Si ce mot de passe était réutilisé ailleurs (une pratique à éviter, développée dans notre page sur la gestion des mots de passe), il doit être changé partout où il servait. Activer ou vérifier l'authentification à deux facteurs sur le compte concerné constitue la deuxième étape, puisqu'un mot de passe volé devient largement inoffensif si une deuxième vérification est exigée à la connexion. Si une pièce jointe a été ouverte et semble avoir déclenché une action inhabituelle sur l'appareil (ralentissement, fenêtres inattendues), une analyse antivirus complète et, en cas de doute persistant, une réinitialisation de l'appareil restent les options les plus sûres.
Signaler la tentative est également utile au-delà de votre propre protection : la plupart des messageries proposent un bouton de signalement de phishing qui alimente les filtres anti-spam collectifs, et un signalement à la plateforme officielle nationale contribue à faire fermer plus rapidement les domaines frauduleux identifiés. Prévenir également les collègues ou proches qui auraient pu recevoir le même message limite la propagation d'une campagne ciblée avant qu'elle ne fasse d'autres victimes.
Le phishing vise en premier lieu à obtenir un mot de passe, mais un mot de passe seul, même volé, ne suffit généralement plus à accéder à un compte protégé par une authentification à deux facteurs correctement configurée. Certaines méthodes de double authentification restent toutefois vulnérables à des attaques de phishing en temps réel, où l'escroc relaie immédiatement le code intercepté vers le vrai site pendant que la victime le saisit sur le faux. C'est une des raisons pour lesquelles la méthode choisie fait une réelle différence : ce point est détaillé dans notre page sur les différentes formes d'authentification à deux facteurs et leur résistance respective à ce type d'attaque.
Le spam et le phishing partagent souvent le même canal de diffusion, ce qui explique pourquoi une bonne partie des réflexes de vigilance se recoupent avec ceux décrits dans notre page sur le spam toujours numéro un des vecteurs d'attaque par email. Traiter ces trois sujets, mot de passe, spam et phishing, comme un ensemble cohérent plutôt que comme des problèmes séparés est la meilleure façon de réduire durablement le risque global sur un compte de messagerie.
