Phishing : reconnaître le piège et réagir sans paniquer

Un lundi matin, vous recevez un courriel de votre service de livraison. Le colis ne peut pas être remis, il manque 1,95 euro et le message propose de « régulariser maintenant ». Vous attendez réellement un colis. Le logo est correct, la phrase bien écrite et le montant assez faible pour ne pas inquiéter.

C’est précisément ce qui rend le phishing efficace. Il ne cherche pas toujours à raconter une histoire extraordinaire. Il cherche le bon moment où un message banal coïncide avec votre vie.

Reconnaître une tentative ne consiste donc plus à traquer les fautes d’orthographe. Il faut regarder la situation, le geste demandé et le moyen de la vérifier.

Le décor change, l’objectif reste le même

Un message d’hameçonnage veut généralement obtenir l’une de ces choses :

• votre mot de passe ou un code de connexion ;
• vos données bancaires ou une validation itsme ;
• l’ouverture d’un fichier ou l’installation d’un logiciel ;
• un paiement ;
• des informations personnelles utilisables pour une fraude ultérieure.

Le colis, l’amende, le remboursement fiscal, le compte suspendu et la facture ne sont que des prétextes. Cette grille de lecture est utile parce qu’elle fonctionne même face à un scénario inédit.

Lorsque vous lisez un message, demandez-vous : « Si je suis exactement les instructions, qu’est-ce que l’expéditeur obtient ? »

Premier signal : on réduit votre temps de réflexion

« Dernier rappel », « compte bloqué ce soir », « paiement à valider immédiatement ». L’urgence artificielle ne prouve pas à elle seule une fraude, mais elle doit changer votre comportement : plus le message presse, plus vous devez ralentir.

Les fraudeurs ajoutent parfois une seconde pression : la confidentialité. Un faux dirigeant demande de ne parler à personne d’une opération sensible. Un faux conseiller bancaire affirme que l’enquête échouera si vous contactez l’agence. Cette demande d’isolement est un signal particulièrement fort.

Une organisation légitime accepte que vous fermiez le message et reveniez par son canal officiel.

Le nom affiché n’est pas l’adresse

Votre messagerie peut afficher « Banque », « Direction » ou le prénom d’un proche, alors que l’adresse réelle est totalement différente. Sur ordinateur, ouvrez les détails de l’expéditeur. Sur mobile, touchez le nom pour voir l’adresse complète.

Regardez la partie après `@`. Les variantes les plus trompeuses ajoutent un mot, remplacent une lettre ou utilisent une autre extension. Une adresse comme `service@banque-verification.example` peut sembler plausible parce qu’elle contient le nom attendu ; le domaine réel reste ce qui se trouve immédiatement avant l’extension.

Attention toutefois : une adresse correcte ne garantit pas un message correct. Une boîte peut être compromise. C’est pourquoi il faut aussi examiner la demande.

Un lien peut dire une chose et ouvrir autre chose

Le texte visible d’un bouton ne prouve rien. Sur ordinateur, placez le pointeur dessus sans cliquer. Sur mobile, un appui long permet souvent d’afficher la destination.

Les adresses très longues, les raccourcisseurs et les pages de redirection rendent la lecture difficile. Ne tentez pas de devenir spécialiste de chaque URL. Si le message concerne un compte existant, la méthode la plus sûre est plus simple : ne suivez pas le lien. Ouvrez l’application habituelle ou saisissez vous-même l’adresse connue.

Si l’alerte est réelle, elle apparaîtra généralement dans votre espace.

Une demande inhabituelle vaut plus qu’une faute

Posez quelques questions concrètes :

• est-ce normal que cette organisation me demande un code par courriel ?
• ai-je déjà payé ce fournisseur sur ce compte bancaire ?
• pourquoi une personne qui m’appelle a-t-elle besoin que je valide une opération ?
• pourquoi faut-il installer un outil d’accès à distance ?
• pourquoi ce collègue change-t-il soudainement de canal et de ton ?

Une banque ne demande pas vos codes personnels. Un service informatique sérieux ne vous demande pas votre mot de passe. Un organisme public ne vous impose pas de transférer de l’argent vers un compte de « protection ».

Le phishing moderne traverse plusieurs canaux

Le courriel peut n’être que le début. Après un clic, une personne appelle et prétend vous aider. Un faux support continue la conversation sur WhatsApp. Un QR code conduit vers une page mobile où l’adresse est moins visible.

Chaque nouveau canal semble confirmer le précédent, alors qu’ils sont tous contrôlés par la même équipe. C’est pourquoi « appeler le numéro du message » n’est pas une vérification indépendante.

Pour vérifier, utilisez un numéro déjà enregistré, celui figurant sur la carte bancaire, une facture ancienne ou le site officiel trouvé séparément.

Et si le message vient vraiment d’un collègue ?

Une boîte professionnelle compromise permet au fraudeur de lire les conversations et d’intervenir au bon moment. Il peut reprendre une signature, citer une facture réelle et répondre dans le fil existant.

Les demandes financières doivent donc suivre une procédure indépendante du courriel. Un changement de coordonnées bancaires se confirme par téléphone auprès d’un contact connu. Un paiement inhabituel reçoit une seconde validation. La règle protège autant contre le piratage que contre une erreur interne.

Les codes à usage unique ne rendent pas un faux site sûr

Certaines pages de phishing transmettent en temps réel votre identifiant et votre mot de passe au vrai service. Elles vous demandent ensuite le code reçu et le rejouent immédiatement. L’authentification par application ou SMS reste utile, mais elle n’empêche pas toutes les attaques.

Les passkeys et clés de sécurité physiques offrent une meilleure résistance : elles vérifient le domaine du site. Sur une imitation, elles refusent normalement de s’authentifier.

Activez-les en priorité sur la messagerie, le gestionnaire de mots de passe et les comptes d’administration.

Vous avez cliqué : que faire maintenant ?

Un clic n’a pas toujours la même conséquence. Ne paniquez pas ; identifiez ce qui s’est passé.

### Vous avez seulement ouvert la page

Fermez-la. Ne téléchargez rien et ne remplissez aucun champ. Transférez le message à `suspect@safeonweb.be`. Si le navigateur ou l’appareil se comporte anormalement, demandez une vérification.

### Vous avez saisi un mot de passe

Depuis un appareil sain, changez le mot de passe du compte concerné. S’il était réutilisé, changez-le partout. Révoquez les sessions actives, vérifiez l’adresse de récupération et inspectez les règles de transfert de la messagerie.

### Vous avez communiqué un code ou validé itsme

Contactez immédiatement l’organisme concerné par un numéro officiel. S’il s’agit d’une opération bancaire, appelez la banque sans attendre. Ne vous contentez pas de changer un mot de passe : l’opération a peut-être déjà été autorisée.

### Vous avez ouvert un fichier ou installé un programme

Déconnectez l’appareil du réseau sans effacer les preuves. Contactez votre support ou un professionnel. Dans une organisation, signalez immédiatement l’incident ; le temps perdu à cacher une erreur aide l’attaquant.

Une culture où signaler n’est pas avouer une faute

Les campagnes de sensibilisation répètent souvent « ne cliquez pas ». Cette phrase est insuffisante. Les messages sont conçus pour provoquer le clic, et une personne pressée finira un jour par se tromper.

Une organisation résiliente indique clairement :

• où transférer un message douteux ;
• qui appeler après une mauvaise manipulation ;
• qu’un signalement rapide ne sera pas sanctionné ;
• quelles opérations nécessitent une seconde validation.

Le premier collègue qui signale une campagne peut protéger toute l’équipe. Le silence, lui, transforme une erreur individuelle en incident collectif.

Ressources officielles

• Safeonweb — conseils sur le phishing
• CCB — réalité cyber de la Belgique en 2025
• Signalement des messages suspects : `suspect@safeonweb.be`