Les signaux d'alerte du phishing que tout le monde devrait connaître en 2026

Le phishing perdure parce qu'il attaque le seul composant qui ne reçoit jamais de correctif de sécurité : le jugement humain. Les messages se sont affinés au fil des ans — meilleure grammaire, vrais logos et, de plus en plus, texte fluide généré par IA — si bien que le vieux conseil « cherchez les fautes de frappe » ne suffit plus. Ce qui fonctionne encore, c'est connaître les signaux structurels que le phishing ne peut pas facilement cacher, et avoir une routine fixe pour le courrier suspect.

Signal 1 : l'adresse de l'expéditeur ne colle pas avec l'histoire

Le nom d'affichage d'un email est du texte libre — n'importe qui peut envoyer du courrier affichant « Support PayPal » ou le nom de votre patron. L'adresse réelle derrière est plus difficile à falsifier de façon convaincante. Dépliez les détails de l'expéditeur sur tout message vous demandant d'agir, et vérifiez :

• Le domaine après le @. Un courrier prétendant venir de votre banque doit venir du domaine exact de votre banque — pas d'un sosie, pas d'un fournisseur de mail gratuit.
• Les astuces de sosies. Lettres inversées, mots ajoutés, terminaisons erronées : secure-yourbank-login.com n'est pas yourbank.com. Le vrai domaine, ce sont les deux derniers segments avant la première barre oblique d'une URL — tout ce qui est à gauche peut n'être que du décor.
• Les incohérences de reply-to. Un expéditeur légitime a rarement besoin que les réponses partent vers un domaine complètement différent.

Signal 2 : l'urgence fabriquée

« Votre compte sera suspendu dans 24 heures. » « Connexion inhabituelle détectée — vérifiez immédiatement. » « Dernier avis. » L'urgence est le moteur du phishing, car les gens pressés sautent la vérification. Les vraies institutions n'exigent presque jamais une action instantanée via un lien d'email, et tout ce qui est réellement urgent sera aussi visible quand vous vous connecterez directement au service.

À l'instant où un email vous fait sentir qu'une horloge tourne, considérez ce sentiment lui-même comme le signal d'alerte.

Signal 3 : le lien ne va pas là où le texte le prétend

Le phishing vit et meurt par le lien. Avant de cliquer sur quoi que ce soit dans un email inattendu :

• Survolez (ou appuyez longuement sur mobile) pour prévisualiser la vraie destination.
• Méfiez-vous des URL raccourcies dans les messages prétendant venir d'institutions.
• Attention aux chemins d'apparence légitime sur de mauvais domaines — les mots « login » et le nom de votre banque quelque part dans une URL ne signifient rien.

L'habitude la plus sûre coûte cinq secondes : ne cliquez pas du tout sur le lien de l'email. Ouvrez votre navigateur et tapez vous-même l'adresse du service, ou utilisez votre favori. Si l'alerte était réelle, elle vous attendra dans votre compte.

Signal 4 : une demande d'identifiants, de codes ou de paiement

Prenez du recul et regardez ce que l'email veut réellement. Le but final de presque tout phishing est l'un de ceux-ci :

• Votre mot de passe, saisi sur une fausse page de connexion
• Un code de double authentification ou de vérification, relayé en temps réel à un attaquant qui se connecte à votre place
• Un paiement ou un achat de cartes cadeaux, généralement avec une histoire de factures ou de dirigeant pressé
• Une pièce jointe ouverte, livrant un malware

Aucun service légitime ne vous demande de confirmer votre mot de passe par email, et personne de légitime n'a jamais besoin du code de sécurité qu'on vient de vous envoyer par SMS. Si des identifiants ont déjà été saisis sur un site douteux, changez ce mot de passe immédiatement et passez-le dans notre contrôle de fuite de mot de passe — et s'il était réutilisé ailleurs, changez-le là aussi, idéalement en le remplaçant par le résultat d'un générateur de mots de passe.

Signal 5 : un contexte qui ne tient pas debout

• Un avis de livraison alors que vous n'attendez aucun colis
• Une facture d'une entreprise avec laquelle vous n'avez jamais traité
• Un « document partagé » d'un contact qui ne partage jamais de documents
• Un prix, un remboursement ou un héritage que vous n'avez jamais sollicité

Les hameçonneurs envoient à échelle massive précisément parce qu'ils ne connaissent pas votre contexte. Vous, si. Un email plausible en général mais faux pour vous en particulier est l'un des indices les plus fiables qui soient.

Pourquoi les hameçonneurs ont votre adresse

Votre adresse atterrit dans les listes de cibles de phishing surtout via les fuites de données et les bases marketing moissonnées — des mécanismes que nous décortiquons dans notre analyse de pourquoi le spam continue de gagner. Deux habitudes réduisent votre exposition :

1. Vérifiez où vous en êtes déjà. Passez votre adresse dans notre contrôle de fuites pour voir si elle apparaît dans des jeux de données divulgués connus. Une adresse ayant fuité sera hameçonnée ; attendez-vous-y et soyez prêt.
2. Arrêtez d'alimenter de nouvelles listes. Chaque inscription sans enjeu faite avec votre vraie adresse est un futur vecteur de phishing. Faites plutôt passer les inscriptions jetables par une boîte temporaire — une adresse MailDrop expire d'elle-même, si bien que les listes qui la moissonnent finissent par écrire dans le vide.

Une routine de 30 secondes pour tout email suspect

1. Ne cliquez pas, ne répondez pas, n'ouvrez pas les pièces jointes. Rien dans un email suspect n'est sûr, y compris le lien de désinscription.
2. Vérifiez le vrai domaine de l'expéditeur. Pas le nom d'affichage.
3. Demandez-vous ce qu'il veut. Identifiants, codes, argent, ou une pièce jointe ouverte ? Présumez du phishing.
4. Vérifiez par un autre canal. Allez directement sur le site ou utilisez un numéro de téléphone connu — jamais les coordonnées de l'email.
5. Signalez et supprimez. Utilisez le bouton de signalement de votre fournisseur ; il améliore le filtrage pour tout le monde.

En résumé

Vous n'avez pas besoin de déjouer chaque arnaque par l'analyse. Il vous faut un petit jeu de réflexes : le domaine de l'expéditeur plutôt que le nom d'affichage, les URL tapées plutôt que les liens reçus, la méfiance face à l'urgence, et le refus absolu de livrer mots de passe ou codes par email. Construisez ces habitudes — et gardez votre vraie adresse hors circulation grâce à l'approche de compartimentation de notre check-list de confidentialité en ligne — et l'écrasante majorité des tentatives de phishing rebondiront simplement sur vous.