Phishing : 7 signes pour reconnaître un e-mail frauduleux

Le phishing (ou hameçonnage) reste la première porte d'entrée des cyberattaques en entreprise. Un seul clic sur un faux e-mail peut suffire à voler des identifiants, déclencher un rançongiciel ou détourner un virement. La bonne nouvelle : la plupart de ces e-mails trahissent plusieurs signes reconnaissables. Voici les 7 à connaître.

1. Une adresse d'expéditeur presque crédible

Les attaquants imitent des domaines connus en changeant un détail : une lettre remplacée (microsft.com), un domaine voisin (@cod-support.com au lieu de @cod.fr) ou un sous-domaine trompeur. Avant toute action, affichez l'adresse complète de l'expéditeur, pas seulement le nom affiché.

2. Un ton d'urgence ou une menace

« Votre compte sera suspendu dans 24 h », « paiement refusé, régularisez immédiatement »… La pression temporelle est l'outil préféré des fraudeurs : elle pousse à agir avant de réfléchir. Un organisme sérieux ne vous mettra jamais dans l'urgence par e-mail.

3. Un lien dont la vraie destination diffère

Survolez un lien (sans cliquer) : la véritable URL s'affiche en bas du navigateur ou dans une infobulle. Si le texte affiche « espace-client.banque.fr » mais que la destination pointe ailleurs, c'est un piège. Méfiez-vous aussi des URL raccourcies et des liens dans des boutons.

4. Une demande d'informations sensibles

Aucun service légitime ne demande votre mot de passe, code de carte ou code à usage unique par e-mail. Toute sollicitation de ce type est, par défaut, frauduleuse. En cas de doute, connectez-vous au service directement depuis votre navigateur, jamais via le lien reçu.

5. Des pièces jointes inattendues

Une facture que vous n'attendiez pas, un « bon de livraison » en .zip, un document qui réclame d'« activer les macros »… Les pièces jointes sont un vecteur classique de logiciels malveillants. Dans le doute, ne l'ouvrez pas et vérifiez par un autre canal.

6. Des fautes et une mise en forme approximative

Fautes d'orthographe, logo pixellisé, formules impersonnelles (« Cher client »), charte graphique légèrement décalée : autant d'indices. Les campagnes les plus sophistiquées soignent ces détails — leur absence de défaut ne garantit donc rien, mais leur présence doit alerter immédiatement.

7. Une demande inhabituelle, même d'un collègue

La « fraude au président » consiste à usurper l'identité d'un dirigeant pour réclamer un virement urgent et confidentiel. Toute demande sortant du cadre habituel — surtout financière — doit être confirmée de vive voix, par un canal connu.

J'ai cliqué, que faire ? Ne saisissez aucune donnée, déconnectez le poste du réseau, changez les mots de passe concernés depuis un autre appareil et prévenez immédiatement votre service informatique. Plus l'alerte est rapide, plus l'incident est maîtrisable.

Protéger durablement son entreprise

Repérer un e-mail piégé est un réflexe qui s'entretient. Au-delà de la vigilance individuelle, trois leviers réduisent nettement le risque :

Le filtrage des e-mails (anti-spam et anti-malware) pour bloquer la majorité des messages avant la boîte de réception ;
La protection des postes avec un antivirus/EDR supervisé, qui détecte les comportements malveillants même après un clic ;
La sensibilisation régulière des équipes, idéalement avec des simulations de phishing pour ancrer les bons réflexes.

C'est précisément le rôle d'un prestataire d'infogérance : superviser ces protections au quotidien et accompagner vos équipes. Besoin d'un regard sur votre niveau de sécurité ? Parlons-en.

En cybersécurité, le maillon humain n'est pas le plus faible — c'est le plus entraînable.