Comment reconnaître un courriel frauduleux : 8 signes d’alerte

Les courriels frauduleux et d'hameçonnage sont plus convaincants qu'auparavant. Les fautes d'orthographe flagrantes et les fausses histoires d'héritage persistent, mais s'y ajoutent désormais des courriels imitant à la perfection les messages de banques, d'entreprises de livraison, d'éditeurs de logiciels et de services en ligne. N'importe qui peut être ciblé, et les plus réalistes sont faciles à manquer lors d'une journée chargée.

Pour généralement repérer une arnaque par courriel, il suffit de vérifier trois éléments : l’adresse réelle de l’expéditeur, la destination des liens et les pressions exercées sur vous. Ensuite, la marche à suivre est simple : identifier les signes d’alerte, vérifier l’identité de l’expéditeur et agir rapidement si vous avez déjà répondu.

Comment savoir si un courriel est une arnaque

Pour savoir si un courriel est une arnaque, vérifiez que l'adresse réelle de l'expéditeur correspond à celle de l'entreprise qu'il prétend représenter, survolez les liens pour voir où ils mènent réellement et méfiez-vous de l'urgence, des demandes de mots de passe ou de paiement et des offres trop belles pour être vraies.

La plupart des courriels frauduleux utilisent plusieurs signaux d'alerte. Un faux courriel bancaire, par exemple, peut avoir un objet urgent, un nom de domaine d'expéditeur légèrement mal orthographié et un lien menant à un site inconnu. Un seul de ces éléments peut passer inaperçu, mais plusieurs, combinés, constituent un avertissement clair. Les signaux d'alerte ci-dessous recensent les signes les plus fiables à vérifier en priorité.

1. L'adresse ou le domaine de l'expéditeur ne correspond pas.

C'est l'indicateur le plus fiable. Chaque courriel possède un nom d'affichage, l'étiquette conviviale que vous voyez dans votre boîte de réception, et une véritable adresse d'envoi. Les escrocs utilisent souvent des noms d'affichage comme « PayPal » ou « Assistance Amazon », tandis que l'adresse d'envoi réelle est totalement différente ou une copie presque convaincante.

Vérifiez toujours l'adresse e-mail complète avant de faire confiance au message. Méfiez-vous des domaines similaires, comme amazom.com au lieu d'amazon.com, paypa1.com avec un chiffre à la place d'une lettre, ou netflix-support.info avec une extension inconnue. Ces substitutions sont faciles à manquer lorsqu'on est pressé.

Usurpation d'e-mail Il est possible d'utiliser une adresse falsifiée, aussi une adresse d'apparence familière ne garantit-elle pas la sécurité d'un courriel. Pour les messages sensibles, il est toujours préférable de vérifier par un autre moyen.

2. Le message crée un sentiment d'urgence, de peur ou de pression.

Les escrocs sèment la panique car les décisions précipitées rendent les gens moins vigilants. Parmi les tactiques de pression courantes, on retrouve les avis de suspension de compte, les alertes de paiement refusé, les menaces de poursuites judiciaires et les délais très courts, vous laissant 24 heures ou moins pour agir.

Considérez toute forme d'urgence forcée comme un signal d'alarme. Les entreprises sérieuses exigent rarement une action immédiate par courriel ou associent des conséquences immédiates et irréversibles à un message manqué. Par exemple, une banque ne fermera pas votre compte en 24 heures sans préavis, et une entreprise de livraison ne détruira pas votre colis parce que vous n'avez pas cliqué sur un lien dans l'heure.

3. Il demande des mots de passe, des informations de paiement ou des données personnelles

Certaines demandes sont presque toujours un signal d'escroquerie :

• Réponses aux mots de passe ou aux questions de sécurité
• Numéros de carte de crédit ou de débit complets
• Numéros de sécurité sociale ou d'identification nationale
• Des codes de vérification à usage unique sont envoyés sur votre téléphone.
• virements bancaires ou paiements par carte-cadeau
• Demandes de « confirmation » des informations de compte via un lien

Les entreprises légitimes ne demandent jamais de mots de passe par courriel. Elles n'exigent pas de cartes-cadeaux comme moyen de paiement. Elles ne vous demanderont jamais non plus de vérifier des informations confidentielles concernant votre compte via un lien dans un message inattendu. Si vous recevez un courriel vous demandant l'une de ces informations, considérez-le comme suspect et confirmez-le par un canal officiel.

4. Les liens ne mènent pas aux destinations indiquées.

Les liens sont le mécanisme de diffusion le plus courant dans phishing courriels. Le texte du lien visible peut sembler sûr, comme paypal.com/security, mais le vrai URL peut mener à quelque chose de complètement différent.

Avant de cliquer sur un lien dans un courriel suspect, survolez-le avec votre souris sur ordinateur : la véritable destination s’affichera dans la barre d’état de votre navigateur. Sur mobile, appuyez longuement sur le lien pour en afficher un aperçu. URL Avant d'appuyer, si le texte affiché et la destination réelle ne correspondent pas, ne cliquez pas.

Attention également aux liens raccourcis et aux liens anormalement longs. URLLes liens courts masquent la véritable destination, tandis que les liens longs URLLes liens peuvent dissimuler un domaine suspect au sein d'une chaîne de caractères. Lorsqu'un lien semble familier, mais que le URL ne correspond pas au site officiel, vérifiez plutôt par une autre voie.

5. Il y a un attachement inattendu

Les pièces jointes inattendues sont un moyen courant pour les escrocs de diffuser des logiciels malveillants. Soyez particulièrement vigilant avec les fichiers étiquetés comme factures, reçus, documents d'expédition ou tout document vous demandant d'activer des macros ou de vous connecter.

N'ouvrez pas les pièces jointes inattendues. Les banques et les entreprises réputées n'envoient généralement pas de pièces jointes non sollicitées. Si une facture provient d'une entreprise inconnue ou si un fichier vous demande vos identifiants, contactez l'expéditeur présumé via son site web officiel pour vérifier s'il a bien reçu un document.

6. La salutation est générique ou impersonnelle

Les courriels frauduleux envoyés en masse utilisent des formules d'accroche comme « Cher client », « Cher utilisateur » ou « Membre privilégié » car l'expéditeur ne vous connaît pas. Une entreprise auprès de laquelle vous avez un compte légitime vous appellera généralement par votre nom.

Cela dit, un message de bienvenue personnalisé n'est pas une garantie de sécurité. Certaines arnaques utilisent votre nom car il est apparu lors d'une fuite de données, et des campagnes d'hameçonnage sophistiquées exploitent de vrais noms pour paraître plus crédibles. Un message de bienvenue personnalisé diminue les soupçons, mais ne dispense pas de vérifier les autres indices.

7. L'orthographe, la grammaire ou la mise en page semblent incorrectes.

Des fautes d'orthographe flagrantes, des formulations maladroites, des polices de caractères incohérentes ou un logo déformé sont des signes d'une arnaque bâclée. Si un document semble avoir été assemblé à la hâte ou mal traduit, considérez cela comme un signal d'alarme.

Cependant, ce contrôle est aujourd'hui l'un des plus faibles. Les escrocs peuvent utiliser des outils d'IA pour rédiger des courriels soignés et professionnels, bien plus convaincants que les anciennes tentatives d'hameçonnage. Une bonne grammaire ne garantit pas la sécurité d'un courriel. Utilisez la conception et la qualité de l'écriture comme indices complémentaires. Si le courriel présente une adresse d'expéditeur inhabituelle, un lien suspect, une demande urgente ou une pièce jointe inattendue, ne lui faites pas confiance, même si le style semble professionnel.

8. L'offre ou l'affirmation est trop belle pour être vraie.

Les prix inattendus, les remboursements non réclamés, les gains à la loterie, les héritages de parents éloignés ou les programmes de fidélité auxquels vous n'avez jamais adhéré sont des appâts. Il en va de même pour les messages promettant de l'argent mais exigeant un petit paiement initial ou vos informations personnelles pour le réclamer (une arnaque connue sous le nom d'escroquerie aux frais préalables).

N'oubliez pas cette règle : si vous n'avez ni participé, ni fait de demande, ni accompli la moindre démarche pour obtenir cette récompense, méfiez-vous. Les véritables récompenses n'apparaissent jamais par magie par courriel. Si une offre exige une action urgente, vos informations personnelles ou un paiement anticipé, il y a fort à parier qu'elle est frauduleuse.

Comment vérifier la légitimité d'un courriel

Repérer les signaux d'alerte est la première étape. Si, après vérification, vous avez encore des doutes, il existe des moyens fiables de confirmer l'authenticité d'un courriel sans interagir avec son contenu.

Contactez l'entreprise par un canal officiel distinct.

La méthode de vérification la plus fiable consiste à fermer le courriel et à contacter directement l'expéditeur présumé. Rendez-vous sur le site web officiel de l'entreprise en saisissant l'adresse directement dans votre navigateur (et non en cliquant sur un lien dans le courriel) et utilisez les informations de contact qui y figurent. Vous pouvez également appeler un numéro figurant dans une correspondance officielle dont vous avez déjà vérifié l'authenticité.

Cette méthode fonctionne car elle contourne les informations de contact contrôlées par l'escroc. Si l'e-mail est frauduleux, le numéro de téléphone et l'adresse du service client qu'il contient renvoient à l'escroc. Contacter l'entreprise par un canal de confiance garantit que vous parlez à la véritable organisation.

Vérifiez l'adresse de l'expéditeur et les en-têtes de l'e-mail.

Vérifiez l'adresse d'envoi réelle, au-delà du nom d'affichage, comme expliqué dans le point d'alerte n° 1 ci-dessus. Pour une vérification plus approfondie, ouvrez l'intégralité des en-têtes du courriel ; la plupart des clients de messagerie proposent une option « Afficher l'original » ou « Afficher le code brut ». Recherchez ensuite : SPF, DKIM et DMARC Résultats d'authentification. Un résultat d'authentification infructueux ou manquant sur un message prétendant provenir de votre banque est un signal fort d'usurpation d'identité.

Vous pouvez aussi vous vérifier l'adresse e-mail de l'expéditeur pour confirmer son existence et son association à un domaine réel. Cette étape est utile avant de répondre ou d'entreprendre toute action concernant un expéditeur inconnu. Les escrocs envoient fréquemment des messages depuis des adresses IP inconnues. adresses e-mail jetables Conçu pour être utilisé une seule fois puis jeté, ce qui est en soi un signe que l'expéditeur n'est pas celui qu'il prétend être.

Types courants d'escroqueries par courriel à reconnaître

Les arnaques suivent des schémas reconnaissables. Connaître les types les plus courants permet de les identifier plus facilement dès le premier contact :

• Phishing: Fausses pages de connexion imitant les banques, les fournisseurs de messagerie ou les plateformes en ligne pour voler votre nom d'utilisateur et votre mot de passe.
• Usurpation et usurpation d’identité : Un nom d'affichage familier associé à une adresse d'expéditeur fausse ou trompeuse, prétendant souvent être celle d'un collègue, d'un cadre, d'un fournisseur ou d'un membre de l'équipe de support.
• Fraude à la facturation et compromission du courriel professionnel (BEC) : Une facture inattendue ou une demande de modification des informations de paiement, généralement par une personne se faisant passer pour un fournisseur ou un contact interne du service financier.
• Arnaques aux prix et aux loteries : Gains d'un concours auquel vous n'avez jamais participé, exigeant des frais ou des renseignements personnels pour les réclamer.
• Arnaques au support technique : De fausses alertes de virus ou de sécurité vous incitant à appeler un numéro ou à installer un logiciel.
• Arnaques à la livraison et aux colis : Avis de colis perdu avec des liens vous obligeant à payer des frais de douane ou à confirmer votre adresse.
• Arnaques à la vérification de compte : Demandes urgentes de confirmation d'identifiants de connexion, imitant généralement les plateformes que vous utilisez régulièrement.

Un courriel frauduleux correspond généralement à l'un de ces modèles. Le reconnaître vous donne une longueur d'avance avant même de vérifier l'adresse de l'expéditeur ou d'examiner les liens.

Que faire si vous recevez un courriel frauduleux

Recevoir un courriel frauduleux ne nécessite aucune démarche compliquée. La réaction est rapide, et il est primordial d'agir sans tarder si vous avez déjà interagi avec le message.

Signalez, bloquez et supprimez l'e-mail.

Si vous n'avez cliqué sur rien :

1. Ne répondez pas, ne cliquez pas sur les liens et n'ouvrez pas les pièces jointes.
2. Signalez le courriel dans votre boîte de réception. GmailOuvrez le message, cliquez sur le menu à trois points et sélectionnez Signaler un hameçonnageD'autres grands fournisseurs de messagerie proposent des options similaires.
3. Signalez-le à l'entreprise usurpée, en utilisant les coordonnées figurant sur son site web officiel.
4. Pour des reportages plus complets, vous pouvez également l'envoyer à CISA ou la FTC.
5. Bloquez l'expéditeur et supprimez le courriel.

Le signalement prend moins d'une minute et aide les fournisseurs et les autorités à identifier les campagnes actives et à protéger les autres personnes contre le même expéditeur.

Que faire si vous avez déjà cliqué ou partagé des informations

Agissez vite, mais ne paniquez pas. Les courriels frauduleux sont conçus pour inciter les gens à commettre des erreurs ; en être victime ne signifie pas nécessairement que vous avez été négligent.

Si vous avez cliqué sur un lien sans rien saisir, fermez la page et effectuez une analyse de sécurité sur votre appareil par précaution.

Si vous avez saisi des identifiants ou des informations personnelles :

• Modifiez immédiatement le mot de passe du compte concerné.
• Modifiez le mot de passe partout où vous l'avez utilisé.
• Activez l'authentification à deux facteurs pour le compte concerné.
• Contactez votre banque ou l'émetteur de votre carte si vous avez communiqué des informations financières.
• Effectuez une analyse de sécurité pour vérifier la présence de tout élément installé à votre insu.
• Surveillez vos comptes et vos relevés au cours des prochaines semaines.
• Soyez prudent face aux arnaques de suivi, notamment aux faux « services de récupération » qui ciblent les personnes déjà victimes d'escroquerie.

Si vous avez communiqué des informations personnelles sensibles, envisagez de bloquer votre dossier de crédit auprès des principales agences d'évaluation du crédit. Cela peut empêcher l'ouverture de nouveaux comptes à votre nom.

Faites confiance à votre instinct, puis vérifiez.

La plupart des courriels frauduleux se trahissent lorsqu'on prend le temps d'en vérifier les détails. Si un message vous presse d'agir immédiatement, vous demande des informations qu'une entreprise légitime ne solliciterait pas par courriel, ou provient d'une adresse qui vous paraît suspecte, fiez-vous à votre intuition.

Vérifiez par un canal officiel et indépendant. Fermez le courriel, rendez-vous sur le véritable site web de l'entreprise et vérifiez à partir de là. Si le message est légitime, vous le confirmerez rapidement. Dans le cas contraire, évitez de cliquer, de répondre ou de partager des informations avec un escroc.

Lorsqu'une adresse d'expéditeur semble inhabituelle ou légèrement étrange, vous pouvez vérifier l'adresse e-mail de l'expéditeur Avant de décider de lui faire confiance, une vérification rapide de l'expéditeur permet de lever les incertitudes.