Phishing, c’est quoi ? L’hameçonnage par mail, expliqué simplement

En bref : un faux mail qui « pêche » tes identifiants

Le phishing (« hameçonnage » en français) est une technique qui consiste à te faire croire qu’un e-mail vient d’un service de confiance, pour que tu donnes toi-même tes identifiants, ton mot de passe ou tes données bancaires. Le mot vient de l’anglais « fishing », la pêche : le mail est l’appât.

Un e-mail frauduleux ne pirate rien tout seul. C’est toi qui ouvres, sans le savoir, la porte : en cliquant, en saisissant, ou en ouvrant une pièce jointe piégée.

Comment l’hameçonnage par mail se déroule

Derrière un faux mail arnaque, on retrouve presque toujours les mêmes étapes :

• L’escroc choisit un service que beaucoup de gens utilisent : une boutique, une messagerie, un réseau social, un fournisseur d’énergie.
• Il reproduit le courriel officiel : logo, couleurs, pied de page, parfois même un vrai texte juridique copié.
• Il invente un problème ou une bonne nouvelle : compte suspendu, paiement refusé, facture à consulter, remboursement.
• Un bouton t’emmène vers une page de connexion truquée qui ressemble à la vraie.
• Ce que tu y tapes est transmis à l’escroc, qui s’en sert vite, pour entrer dans ton compte ou payer à ta place.

Les trois grandes familles de faux mails

• Le mail à lien : le plus courant, il mène vers un faux formulaire de connexion ou de paiement.
• Le mail à pièce jointe : un document « à consulter » qui cache un lien ou un programme malveillant.
• Le mail à réponse : sans lien ni pièce jointe, il te demande de répondre avec des informations ou de faire un virement, en se faisant passer pour un fournisseur, par exemple.

Pourquoi ça marche aussi sur des gens prudents

Les faux mails d’aujourd’hui sont soignés : pas de grosses fautes, une mise en page propre. Ils jouent sur l’émotion et sur le rythme de ta journée. Ça arrive à des personnes très attentives, surtout sur téléphone, où l’on voit moins l’adresse de l’expéditeur.

Les signes qui doivent t’alerter

• L’adresse de l’expéditeur n’a rien à voir avec le service annoncé.
• Une salutation générique : « Cher client », « Bonjour utilisateur ».
• Une urgence ou une menace de suspension de ton compte.
• Un lien dont l’adresse cachée diffère du texte affiché.
• Une pièce jointe que tu n’attendais pas.
• Une demande de mot de passe, de code ou de coordonnées bancaires.

Exemple fictif d’un mail d’hameçonnage

Exemple fictif : « De : service-clients@securite-exemple.invalid. Objet : action requise sur votre compte. Bonjour cher client, une activité inhabituelle a été détectée. Cliquez sur « Vérifier mon compte » avant la fermeture définitive. »

Pas de prénom, un nom de domaine inventé, une menace de fermeture. Les services imités par ce genre de mails sont eux-mêmes victimes de l’usurpation, et en général ils ne te demandent pas de confirmer ton mot de passe via un bouton dans un e-mail.

Comment t’en protéger

• Ne clique pas : ouvre le site concerné en tapant son adresse toi-même.
• Utilise un mot de passe différent pour chaque compte important.
• Active la double authentification quand elle existe.

Si tu as déjà cliqué ou saisi un mot de passe

Change ton mot de passe tout de suite depuis le site officiel, puis partout où tu l’utilisais. Si des coordonnées bancaires ont été saisies, préviens ta banque. Garde le mail comme preuve avant de le supprimer.

Où signaler

Signal Spam (signal-spam.fr) reçoit les e-mails frauduleux. Une plateforme officielle de signalement du ministère de l’Intérieur reçoit les faux sites. Cybermalveillance.gouv.fr aide les victimes.

Ce qu’Alix peut faire pour toi

Je suis une IA : si tu me recopies le texte d’un mail (sans le lien), je peux t’indiquer ce qui ressemble à de l’hameçonnage. C’est un indice d’alerte, jamais une certitude.