Vous voulez reconnaître un mail de phishing avant de cliquer ? Il y a une chose à savoir d’abord, et elle change tout : le conseil que l’on répète depuis vingt ans — « méfiez-vous des fautes d’orthographe » — ne protège plus. Les faux mails d’aujourd’hui sont écrits dans un français impeccable, avec le vrai logo et la vraie mise en page.
Voici donc les 6 indices qui fonctionnent encore, ce que votre banque, les impôts, Ameli et la CAF ne font jamais, et le réflexe unique qui rend tous ces mails inoffensifs. À transmettre à vos proches ce soir.
Pourquoi les conseils d’hier ne marchent plus
Pendant longtemps, un faux mail se repérait à l’œil nu : accents manquants, tournures bancales, logo pixelisé. C’est fini. Les escrocs disposent aujourd’hui des mêmes outils de rédaction que tout le monde, et un mail frauduleux se relit désormais sans une faute. Le logo, lui, se copie en un clic depuis le site officiel.
Continuer à chercher la faute d’orthographe est donc pire qu’inutile : c’est rassurant à tort. On lit un mail bien écrit, on en conclut qu’il est authentique, et on baisse la garde au pire moment. Ce qui trahit un faux mail aujourd’hui, ce n’est plus la forme. C’est ce qu’il demande.
Et n’oubliez pas que le nom de l’expéditeur affiché ne prouve rien : on peut écrire « Assurance Maladie » dans ce champ aussi facilement qu’on affiche un faux numéro sur un téléphone — c’est le même principe que le spoofing téléphonique.
Les 6 indices qui trahissent un faux mail
1. On vous demande de cliquer pour « régulariser »
C’est l’indice numéro un. Un vrai organisme vous informe ; un faux vous envoie quelque part. Dès qu’un mail existe surtout pour son bouton, la question est posée.
2. Il y a une échéance
« Sous 48 heures », « avant suspension de vos droits », « dernier rappel ». L’urgence n’est pas une preuve de sérieux, c’est l’outil qui coupe la réflexion. Une administration qui a un vrai souci avec votre dossier vous écrit — et vous laisse le temps.
3. On vous promet de l’argent
Un remboursement qui vous attend, un trop-perçu à récupérer, une prime à réclamer. C’est l’appât le plus efficace de tous, parce qu’on se méfie moins de ce qui nous fait plaisir. Les faux remboursements Ameli et CAF reposent entièrement là-dessus.
4. On vous réclame vos coordonnées bancaires ou vos identifiants
Aucun organisme public ni aucune banque ne demande un IBAN, un numéro de carte ou un mot de passe par mail. Jamais. Si la demande arrive, la réponse est connue avant même d’avoir vérifié quoi que ce soit.
5. L’adresse réelle de l’expéditeur ne correspond pas
Ne lisez pas le nom affiché, lisez l’adresse. Sur ordinateur, survolez-la ; sur téléphone, touchez le nom pour la déplier. Les vraies adresses finissent par @impots.gouv.fr, @assurance-maladie.fr, @caf.fr. Un domaine approchant — impots-gouv.info, ameli-remboursement.com — trahit le faux.
6. Le lien ne mène pas où il prétend
Le texte d’un lien peut afficher n’importe quoi. Sur ordinateur, posez la souris dessus sans cliquer : la vraie adresse apparaît en bas de l’écran. Sur téléphone, appuyez longuement pour la révéler. Si le début du lien n’est pas le domaine officiel, c’est réglé.
Le réflexe unique qui remplace les 6
Si vous ne deviez retenir qu’une chose : on ne passe jamais par le mail. On ferme, on ouvre son navigateur, et on tape soi-même l’adresse du site — ou on passe par son favori, ou par l’application officielle.
Si le message était vrai, l’information vous attendra dans votre espace personnel. S’il n’y est rien, vous venez de gagner. Ce réflexe a un avantage décisif : il fonctionne sans avoir à juger le mail. Peu importe qu’il soit parfaitement imité, vous ne le suivez pas.
Et c’est un réflexe qui se transmet très bien, parce qu’il ne demande aucune compétence technique. C’est le même esprit que celui qu’on applique au téléphone pour protéger ses parents des arnaques : on ne décide pas dans le message, on vérifie par le canal officiel.
Banque, impôts, Ameli, CAF : ce qu’ils ne font jamais
Connaître les habitudes réelles de ces organismes suffit à écarter l’immense majorité des faux mails.
- Votre banque ne demande jamais par mail votre code, vos identifiants, ni un code reçu par SMS. Elle ne vous demande jamais de « sécuriser » votre argent en le déplaçant.
- Les impôts ne réclament ni coordonnées bancaires par mail, ni paiement par lien. Tout se passe dans votre espace sur impots.gouv.fr — le détail dans notre guide sur le mail des impôts, arnaque ou pas.
- L’Assurance Maladie ne demande jamais de payer pour recevoir une carte Vitale, ni vos données bancaires pour un remboursement. Voir l’arnaque à la carte Vitale.
- La CAF ne conditionne aucun versement à un formulaire ouvert depuis un mail.
- L’Assurance retraite non plus, comme le montre le faux message Assurance retraite.
Un point commun : aucun de ces organismes ne fait dépendre vos droits d’un clic dans un mail. Aucun.
Que faire si vous avez cliqué ?
D’abord : cliquer ne suffit pas à vous voler. Le danger commence si vous avez saisi quelque chose. Agissez vite, et sans culpabiliser — ces mails sont conçus pour tromper n’importe qui.
- Vous avez donné vos données bancaires : appelez votre banque au numéro figurant au dos de votre carte pour faire opposition, puis signalez la fraude sur Perceval (service-public.fr).
- Vous avez donné un mot de passe : changez-le tout de suite, ainsi que sur les autres sites où vous l’utilisiez.
- Vous n’avez rien saisi : ne cliquez plus, supprimez, et passez à la suite.
- Dans tous les cas : signalez le mail sur signal-spam.fr, et faites-vous aider gratuitement par cybermalveillance.gouv.fr ou Info Escroqueries au 0 805 805 817. Pour un SMS frauduleux, transférez-le au 33700.
Et surtout, parlez-en. Le silence est ce qui permet à ces réseaux de recommencer sur la même personne.
Foire aux questions
Comment reconnaître un mail de phishing en 30 secondes ?
Ne jugez pas le style, regardez la demande. S’il faut cliquer pour régulariser, s’il y a une échéance, si on promet un remboursement ou si on réclame des données bancaires, c’est un faux. Vérifiez ensuite l’adresse réelle de l’expéditeur, pas le nom affiché.
Un mail sans faute d’orthographe peut-il être une arnaque ?
Oui, et c’est devenu la norme. Les outils de rédaction actuels produisent un français parfait, et le logo se copie depuis le site officiel. L’absence de faute n’est plus un gage d’authenticité.
Comment vérifier un lien sans cliquer dessus ?
Sur ordinateur, survolez-le avec la souris : l’adresse réelle s’affiche en bas de la fenêtre. Sur téléphone, appuyez longuement dessus pour la faire apparaître. Comparez le début de l’adresse au domaine officiel de l’organisme.
Ma banque peut-elle m’envoyer un vrai mail avec un lien ?
Cela arrive, mais vous n’avez aucune raison de le suivre. Ouvrez votre application ou tapez l’adresse vous-même : si l’information est réelle, elle sera dans votre espace client.
Comment en parler à un parent sans le vexer ?
Présentez-le comme une règle qui vaut pour tout le monde, vous compris : chez nous, on ne clique pas dans un mail, on va au site soi-même. Vous protégez sans juger, et le réflexe circule dans les deux sens.
En résumé
Pour reconnaître un mail de phishing, oubliez les fautes d’orthographe et regardez la demande : un clic pour régulariser, une échéance, un remboursement promis, des coordonnées bancaires réclamées, une adresse d’expéditeur qui sonne faux, un lien qui ne mène pas au bon domaine. Un seul de ces indices suffit.
Et le réflexe tient en six mots : je ne clique pas, je vérifie moi-même. Partagez-le à vos proches, et vous devenez la vigie de votre famille.
Sources : cybermalveillance.gouv.fr · signal-spam.fr · Info Escroqueries (0 805 805 817) · 33700 · Perceval / service-public.fr · impots.gouv.fr · ameli.fr.