Ce qu’on appelle “phishing” (ou hameçonnage)

Le phishing — ou hameçonnage, en français — désigne une technique frauduleuse qui consiste à se faire passer pour un tiers de confiance (banque, administration, entreprise, etc.) afin de pousser le destinataire à cliquer sur un lien, télécharger un fichier ou fournir des informations sensibles.

Le message peut prendre la forme d’un mail, d’un SMS, d’un message privé ou d’une page web.
L’objectif reste le même : tromper la vigilance en jouant sur la peur, l’urgence ou la familiarité.

Ce type de fraude existe depuis longtemps, mais les messages sont de plus en plus soignés : en-têtes copiées, logos officiels, ton administratif, mise en page propre… De quoi semer le doute, surtout lorsqu’on est pressé ou peu habitué à ce genre de sollicitations.

Le terme vient de l’anglais fishing (pêcher), déformé en phishing pour rappeler l’idée de jeter un appât et attendre que quelqu’un morde.

Les mécanismes utilisés

Même avec un œil attentif, il arrive que certains messages passent entre les mailles du filet.
Pas parce qu’ils sont techniquement complexes, mais parce qu’ils sont construits pour faire réagir vite.

Les arnaques de type phishing reposent souvent sur trois leviers :

– Le stress : on évoque un problème de paiement, un accès suspendu, une plainte en cours…
– L’urgence : il faudrait agir sous 24 ou 48h, sans quoi des “conséquences” sont annoncées
– L’apparence : le message reprend des éléments crédibles (logo, nom d’entreprise, vocabulaire pro)

Certaines tentatives sont grossières, d’autres très soignées. Et dans le flot quotidien de mails, il suffit parfois d’un moment d’inattention ou de fatigue pour cliquer sans prendre le temps de vérifier.

Les signaux qui doivent alerter

Tous les messages suspects ne sont pas immédiatement reconnaissables. Mais quelques indices reviennent souvent, même dans les tentatives les plus soignées :

– Une adresse d’expéditeur incohérente : parfois visible au premier coup d’œil, parfois cachée derrière un nom qui semble légitime. Il faut toujours vérifier l’adresse complète.
– Un message impersonnel : pas de nom, pas de référence à une entreprise, juste un “Bonjour” ou une formule générique.
– Des formulations vagues : on parle d’“infraction”, de “procédure en cours”, de “preuve irréfutable”… mais sans jamais préciser les faits.
– Un lien ou un fichier à ouvrir : présenté comme une pièce justificative, un document à signer ou une alerte à consulter.
– Un ton urgent ou menaçant : délai court, conséquences évoquées, incitation à agir immédiatement.

Individuellement, ces signes ne suffisent pas toujours à conclure. Mais lorsqu’ils s’additionnent, ils doivent inviter à la prudence.

Réagir face à un message douteux

La meilleure défense face au phishing, c’est souvent… de ne pas réagir tout de suite.

Un message qui surprend, qui inquiète ou qui demande une action rapide mérite une pause. Avant de cliquer, de répondre ou d’ouvrir quoi que ce soit, quelques réflexes simples peuvent éviter bien des soucis :

– Vérifier l’adresse mail complète de l’expéditeur (pas seulement le nom affiché). Une adresse en @gmail.com, @yahoo.fr ou autre domaine grand public est rarement utilisée par une administration ou une entreprise.
Par exemple, un message émanant d’un ministère ou d’un service public français doit avoir une adresse en .gouv.fr.
– Relire le message calmement, en se demandant : est-ce que le ton, le contenu, les demandes sont cohérentes avec l’expéditeur supposé ?
– Chercher le nom de la structure mentionnée via une recherche indépendante (site officiel, coordonnées, mentions légales…)
– Éviter de cliquer sur un lien ou d’ouvrir une pièce jointe sans être sûr de sa source
– Demander un second avis à une personne de confiance, un réseau professionnel ou une structure référente

Un doute n’est jamais une perte de temps : c’est un signal à écouter.

Un exemple concret

Le message est arrivé par mail sur l’adresse professionnelle liée à un compte Meta.
Objet : “Lettre juridique : suppression de contenu violant les droits de propriété intellectuelle”

La première lecture est déstabilisante.
Le ton est très officiel.
Le vocabulaire juridique est omniprésent : “constat de violation”, “preuve irréfutable”, “mandat d’intervention”.
Au milieu du texte, un lien bien visible invite à consulter un “procès-verbal établi avec les prestataires publicitaires”.
Un délai de 48 heures est imposé pour “faire le nécessaire”.
Et la signature, en bas de mail, reprend tous les codes d’un échange professionnel : logo, adresse postale à Paris, numéro de téléphone, lien vers un site web.

Tout semble construit pour provoquer une réaction immédiate.
Mais quand on prend quelques minutes pour examiner le contenu en détail, les incohérences s’accumulent.

– Aucune information concrète sur la prétendue violation : aucun contenu identifié, aucun lien incriminé, aucune preuve réelle.
– Un destinataire flou : le message est adressé à un identifiant de compte Meta, sans mention de nom, de structure ou de numéro SIRET.
– Une présentation embrouillée : un cabinet est mandaté par un représentant légal, lui-même mandaté par une société tierce… sans que cela apporte de clarté.
– Un intitulé de fonction incohérent : la personne censée signer le message est simplement présentée comme “Votre poste”.
– Et surtout : l’adresse d’expédition est une adresse Gmail totalement générique : xchwllzppbrqrwr863@gmail.com.

Ce dernier point suffit à lever le doute.
Aucun cabinet d’avocats sérieux n’utilise une adresse personnelle pour envoyer ce type de notification.
Et aucun message juridique digne de ce nom ne se contente d’un lien cliquable sans contexte ni pièce jointe identifiée.

En résumé : une tentative de phishing bien construite, avec des éléments crédibles… mais plusieurs détails qui, mis bout à bout, permettent de tirer la sonnette d’alarme.

Voir le message

Pour aller plus loin : vérifier, signaler, s’informer

Recevoir ce type de message n’a rien d’exceptionnel.
Mais face à un doute, mieux vaut prendre quelques instants pour vérifier, plutôt que de cliquer par réflexe.

Voici quelques ressources utiles :

– service-public.fr : pour vérifier une information, retrouver un contact officiel ou consulter les démarches reconnues par l’administration.
– cybermalveillance.gouv.fr : pour comprendre les différentes formes de cybermenaces, trouver des conseils concrets, et accéder à des outils de diagnostic.
– internet-signalement.gouv.fr (PHAROS) : pour signaler un contenu frauduleux ou une escroquerie en ligne, ou si l’on a été victime.
– phishing-initiative.fr : pour signaler un mail ou un site suspect, ou vérifier si d’autres utilisateurs ont déjà identifié une arnaque.

Et si le message semble usurper l’identité d’une entreprise, d’une administration ou d’un cabinet réel, il est tout à fait possible de les contacter directement pour les informer.

Parfois, il suffit de quelques secondes de recul pour éviter une erreur.
Une adresse d’expéditeur étrange, un contenu flou, une injonction urgente à cliquer… Autant de signaux qui méritent qu’on s’arrête un instant.