Phishing : comment reconnaître et éviter les attaques

En 2024, les solutions de Kaspersky ont bloqué plus de 893 millions de tentatives de phishing, soit près de 2,4 millions par jour, et l'Anti-Phishing Working Group en a recensé près d'un million pour le seul quatrième trimestre. Derrière ces chiffres se cache une même mécanique de manipulation, que l'on peut apprendre à déjouer.

Qu'est-ce que le phishing (ou hameçonnage) ?

Le phishing, aussi appelé hameçonnage, est une technique de fraude qui consiste à se faire passer pour un organisme de confiance (banque, service de livraison, administration) afin de voler des informations personnelles ou des identifiants de connexion. Son efficacité repose sur un seul ressort : l'apparence de légitimité.

Un message de phishing reprend les logos, les couleurs et le ton d'un message officiel. L'utilisateur se fie à cette apparence visuelle pour juger de la fiabilité du message, et c'est précisément cette habitude que les attaquants exploitent. Que ce soit par email ou par un faux site, la mécanique reste la même : créer une apparence crédible pour obtenir une action irréfléchie.

Quels sont les signes d'un email de phishing ?

Un email de phishing combine presque toujours les mêmes signaux : un prétexte urgent, un expéditeur qui imite une marque connue, un lien vers un site où saisir ses identifiants, et une demande d'informations qu'un service légitime ne réclamerait jamais ainsi. Les reconnaître tient en quelques réflexes.

• Un prétexte urgent : "activité suspecte sur votre compte", "colis en attente", "paiement refusé". L'objectif est de vous faire agir avant de réfléchir.
• Un expéditeur qui imite une marque : le nom affiché paraît légitime, mais l'adresse d'envoi réelle ne correspond pas au domaine officiel.
• Un lien ou un bouton à cliquer : il mène vers un faux site, visuellement identique au vrai, où l'on vous demande vos identifiants.
• Une demande d'informations sensibles : mot de passe, numéro de carte, code de sécurité. Un service sérieux ne les demande jamais par email.

Aucun de ces signes n'est une preuve à lui seul, mais leur accumulation doit déclencher la méfiance. Le point commun de tous ces messages est la pression : ils cherchent à provoquer une réaction émotionnelle plutôt qu'une analyse posée.

Comment reconnaître une fausse URL ?

Le moyen le plus fiable pour identifier un site de phishing est de lire attentivement l'URL, et en particulier le nom de domaine. Le vrai domaine est ce qui se trouve juste avant le premier slash, et tout ce qui se trouve à sa gauche peut être fabriqué par l'attaquant.

Prenons example.com comme domaine légitime :

• Abus de sous-domaine : example.another-dangerous-site.cam. Ici, le vrai domaine est another-dangerous-site.cam, pas example.
• Tiret trompeur : example-secure-login.cam. Un domaine entièrement différent qui contient le nom de la marque.
• Extension différente : example.site au lieu de example.com.
• Typosquatting : examplle.com, une lettre doublée, facile à manquer en lecture rapide.

La règle à retenir : le vrai domaine est le mot situé juste avant l'extension (.com, .fr, .org). Tout ce qui est séparé par un point supplémentaire à gauche est un sous-domaine, que n'importe qui peut créer.

Comment vérifier qu'un email est authentique ?

On ne peut pas s'en remettre à la seule apparence. Des mécanismes techniques comme SPF et DKIM vérifient qu'un email a bien été envoyé depuis un serveur autorisé pour le domaine affiché, mais ils prouvent l'origine technique du message, pas l'honnêteté de son expéditeur.

SPF (Sender Policy Framework) liste les serveurs autorisés à envoyer des emails pour un domaine. DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique vérifiable par le destinataire. Ces informations figurent dans les en-têtes techniques du message.

Ces mécanismes ont toutefois une limite importante. Un attaquant peut configurer un SPF et un DKIM parfaitement valides sur un domaine qu'il possède, comme support-securite-amazon.com. Le résultat est techniquement propre, mais humainement trompeur : la vérification prouve que le domaine a bien envoyé le message, pas qu'il appartient à la marque qu'il imite.

J'ai cliqué sur un lien de phishing, que faire ?

Cliquer sur un lien ne suffit généralement pas à compromettre un compte : le danger vient de ce que l'on fait ensuite. Si vous n'avez rien saisi ni téléchargé, fermez simplement la page. Si vous avez entré un mot de passe, changez-le sans attendre.

• Ne saisissez aucune information sur la page ouverte et fermez-la.
• Si vous avez déjà saisi un mot de passe, changez-le immédiatement sur le service concerné, en tapant vous-même son adresse officielle plutôt qu'en repassant par le lien reçu.
• Changez ce mot de passe partout où vous le réutilisiez. C'est la raison pour laquelle un mot de passe unique par site limite fortement les dégâts.
• Activez une double authentification sur le compte si ce n'est pas déjà fait.
• Surveillez les jours suivants les tentatives de connexion et les changements que vous n'auriez pas demandés.

Si vous avez communiqué un numéro de carte bancaire, contactez votre banque pour faire opposition. Agir vite réduit nettement les conséquences d'une erreur de clic.

Comment savoir si on s'est fait hameçonner ?

Plusieurs signes indiquent qu'un hameçonnage a réussi : un mot de passe habituel qui ne fonctionne plus, des emails de réinitialisation que vous n'avez pas demandés, des messages envoyés en votre nom, ou une alerte de connexion depuis un lieu inhabituel. Au moindre doute, il vaut mieux réagir comme si le compte était compromis.

• Vous ne parvenez plus à vous connecter avec votre mot de passe habituel.
• Vous recevez des confirmations de changement (mot de passe, adresse de récupération, téléphone) que vous n'avez pas initiées.
• Vos contacts reçoivent des messages ou des emails que vous n'avez pas envoyés.
• Le service signale une connexion depuis un appareil ou un pays que vous ne reconnaissez pas.

Dans ce cas, changez le mot de passe concerné depuis un appareil sûr, vérifiez la liste des appareils connectés dans les paramètres du compte, et révoquez les sessions que vous ne reconnaissez pas.

En quoi un gestionnaire de mots de passe protège-t-il du phishing ?

Un gestionnaire de mots de passe compare l'URL réelle du site avec celle enregistrée pour chaque identifiant. Si le domaine ne correspond pas exactement, il ne propose pas de remplir les champs. C'est une protection passive, qui ne demande aucun effort particulier à l'utilisateur.

Là où l'œil humain peut confondre example.com et examplle.com, le gestionnaire fait une comparaison stricte, caractère par caractère, insensible aux astuces visuelles de camouflage de domaine. Cette vérification automatique constitue un filet de sécurité au quotidien : si le gestionnaire ne propose pas vos identifiants sur un site censé être connu, c'est un signal d'alerte immédiat.

Le 2FA suffit-il contre le phishing ?

Non, pas contre les attaques menées en temps réel. L'authentification à deux facteurs (2FA) est un vrai apport de sécurité, mais dans un scénario dit AiTM (Adversary-in-the-Middle), l'attaquant intercepte et relaie chaque étape de la connexion, y compris le code à usage unique.

Le déroulement est le suivant : la victime saisit ses identifiants sur le faux site. Celui-ci les transmet aussitôt au vrai site, qui envoie un code 2FA. La victime saisit ce code sur le faux site, qui le relaie à son tour. L'attaquant se retrouve connecté avec un code valide, avant même qu'il n'expire.

Le 2FA reste efficace contre les attaques différées : une base de mots de passe volés devient inutilisable si le 2FA est actif. Mais face à un relais en temps réel, le code à usage unique ne suffit plus.

Les passkeys protègent-elles du phishing ?

Oui. Une passkey est liée cryptographiquement au domaine exact pour lequel elle a été créée. Sur un site pirate, même visuellement identique, elle ne s'active tout simplement pas, car il n'y a aucun secret partagé à saisir ni à intercepter.

L'authentification repose sur un échange cryptographique entre l'appareil de l'utilisateur et le serveur légitime : rien à rejouer, rien à voler. Même un relais AiTM en temps réel ne peut pas contourner cette protection. Les passkeys constituent la réponse structurelle au phishing, en supprimant le maillon faible que représente le secret que l'utilisateur peut transmettre à son insu.

Ce qu'il faut retenir

• Le phishing repose sur l'apparence de légitimité et le sentiment d'urgence : ralentir avant de cliquer est le premier réflexe à adopter.
• L'URL est l'indicateur le plus fiable : apprenez à lire le nom de domaine réel avant de saisir quoi que ce soit.
• Si vous avez saisi un mot de passe sur un faux site, changez-le aussitôt sur le vrai service, et partout où il était réutilisé.
• Un gestionnaire de mots de passe vérifie l'URL à votre place et ne se laisse pas tromper par un faux domaine.
• Le 2FA protège contre les attaques différées, mais pas contre le phishing en temps réel.
• Les passkeys sont la seule protection structurelle qui rend le phishing techniquement inopérant.

Au-delà des bons réflexes individuels, la protection de vos données dépend aussi de la plateforme que vous choisissez. Découvrez notre approche de la sécurité et de la souveraineté.