Reconnaître un faux e-mail avant de cliquer

Ce genre d’arnaque s’appelle aussi hameçonnage : un faux message qui imite une banque, une boutique, une administration ou quelqu’un que vous connaissez, pour obtenir un mot de passe, des données personnelles ou de l’argent. L’e-mail n’est qu’un chemin parmi d’autres. La même arnaque arrive par SMS et par messagerie, et c’est le sujet de l’hameçonnage.

Celui qui l’envoie adresse le même texte à une très longue liste, en comptant sur le fait qu’une partie des gens a bien un compte dans la banque citée, ou une commande en attente dans la boutique citée. C’est pour ça qu’un message peut sembler écrit pour vous alors qu’il est parti vers des milliers d’adresses à la fois.

Commencez par l’adresse complète de l’expéditeur

Le nom affiché dans votre boîte de réception est choisi par celui qui envoie le message. La vérification porte donc sur l’adresse derrière ce nom, et surtout sur ce qui suit l’arobase. Un nom d’entreprise connu accroché à un domaine sans rapport, ou une boîte gratuite qui écrit au nom d’une société, suffit pour ne pas continuer.

L’aide de Gmail sur l’hameçonnage demande exactement cela : vérifiez que l’adresse e-mail et le nom de l’expéditeur correspondent, et n’entrez jamais votre mot de passe après avoir cliqué sur un lien dans un message. Cybermalveillance.gouv.fr donne la même consigne dans sa fiche sur l’hameçonnage.

Même ainsi, une adresse qui a l’air correcte n’est pas une preuve. De vrais comptes se font pirater, et la ligne de l’expéditeur peut être falsifiée. C’est pour ça que ce qu’il faut juger, c’est la demande contenue dans le message, pas le nom écrit dessus.

Les signes dans le texte de l’e-mail

Après l’expéditeur, lisez ce que le message vous demande de faire. Les mêmes signes reviennent, message après message :

• L’urgence ou la menace. Un compte suspendu aujourd’hui, des frais si vous ne payez pas sous 24 heures, un dernier avertissement avant résiliation. Le délai court existe pour que vous agissiez avant de vérifier.
• Un lot, un remboursement ou un avantage. Un remboursement débloqué, des points qui expirent, un tirage au sort auquel vous ne vous souvenez pas d’avoir participé.
• Une demande de mot de passe, de code ou de données personnelles. Un mot de passe bancaire, un numéro de carte, une copie de pièce d’identité, un relevé d’identité bancaire, ou le code à usage unique qui vient d’arriver sur votre téléphone, à saisir dans une page ouverte par l’e-mail.
• Une formule impersonnelle. « Cher client » ou « Bonjour, utilisateur » au lieu de votre nom. Le signe est faible pris seul, parce qu’un message frauduleux peut très bien porter votre vrai nom.
• Un débit que vous ne reconnaissez pas. Une facture pour un achat que vous n’avez jamais fait, envoyée pour que vous cliquiez afin de l’annuler.

Les fautes d’orthographe existent, mais ne vous appuyez pas dessus comme test principal. Un faux message peut être bien écrit, et un vrai e-mail d’entreprise peut contenir une coquille.

Un faux e-mail, signe par signe

Le message ci-dessous a été écrit par nous, de zéro, pour montrer comment un e-mail de ce genre est construit. Il n’utilise aucune marque réelle, et les adresses se terminent par « .example », une terminaison réservée aux exemples qui n’appartient à aucun site.

Ce qui trahit celui-ci :

• L’expéditeur porte le nom de la boutique, mais le domaine après l’arobase est tout autre chose, choisi par celui qui envoie.
• Le délai de quelques heures place la décision avant le moment où vous ouvririez l’application de la boutique.
• « Cher client » montre que le même texte est parti vers une longue liste d’un coup.
• Le bouton pointe vers une adresse qui n’appartient pas à la boutique, même avec les mots « boutique » et « securise » placés dedans.
• La demande finale est de saisir des données de carte dans une page ouverte par l’e-mail, au lieu de vérifier la commande dans votre propre compte.

Dans le cas de Delphine, le bon réflexe était de fermer l’e-mail et d’ouvrir l’application de la boutique. Si le paiement avait vraiment échoué, l’information y serait, dans l’historique des commandes.

Sachez où mène vraiment le lien

Les mots écrits sur un bouton n’ont aucune obligation de correspondre à l’adresse qu’il ouvre. Sur un ordinateur, poser le curseur sur un lien sans cliquer affiche la destination dans un coin de l’écran. L’aide de Gmail recommande précisément ce geste : si l’adresse ne correspond pas à ce que le lien annonce, elle peut mener vers un faux site. Sur un téléphone, une pression longue sur le lien affiche en général l’adresse complète. Si vous craignez de l’ouvrir par accident, sautez ce test et allez directement dans l’application officielle.

Lisez le nom de domaine en entier. Des mots ajoutés, des lettres échangées et des adresses raccourcies servent tous à cacher où un lien aboutit. Notre guide sur vérifier si un lien est sûr montre quelle partie d’une adresse identifie le propriétaire du site.

Le https est le « s » au début de l’adresse. Il veut dire que la connexion entre votre appareil et le site est chiffrée, donc que personne au milieu ne peut la lire. Il ne dit rien sur le propriétaire de la page, et un faux site l’a aussi. L’aide de Chrome sur la sécurité de la connexion ajoute d’ailleurs la consigne qui compte : vérifiez le nom du site dans la barre d’adresse avant de saisir quoi que ce soit.

Une pièce jointe inattendue mérite de la prudence

Une facture, un curriculum vitae, un reçu ou un bon de livraison que vous n’attendiez pas peut être tout le prétexte pour faire ouvrir un fichier. Avant de télécharger, demandez-vous si vous attendiez vraiment ce document, et si la même affaire apparaît dans l’application ou sur le site officiel du service.

Soyez tout aussi prudent quand un e-mail vous demande d’activer quelque chose à l’intérieur du fichier, d’installer un programme ou d’accorder un accès à votre ordinateur. Une entreprise légitime peut envoyer des pièces jointes, mais une demande qui sort de son processus habituel mérite d’être confirmée par un autre chemin.

Comment vérifier sans répondre

1. Ouvrez l’application officielle déjà installée sur votre téléphone.
2. Tapez vous-même l’adresse de l’entreprise dans le navigateur.
3. Cherchez l’achat, le débit ou l’avis à l’intérieur de votre propre compte.
4. Si vous devez parler à quelqu’un, utilisez le numéro publié sur le site officiel ou inscrit au dos de votre carte, pas celui de l’e-mail.

Si le débit vient d’une entreprise avec laquelle vous n’avez jamais rien eu, cela vaut la peine de savoir qui elle est avant de payer quoi que ce soit. Les mentions légales d’un site professionnel sont obligatoires en France et doivent donner la dénomination, l’adresse et le numéro d’immatriculation ; ce nom et ce numéro SIREN se vérifient sur l’annuaire des entreprises, un service public gratuit.

Comment signaler un faux e-mail

Signaler aide votre messagerie à filtrer les messages du même genre, pour vous et pour les autres, et fait connaître le procédé aux services qui le suivent. Les chemins ci-dessous ont été vérifiés le 22 septembre 2026, et les libellés peuvent changer selon la version de l’application.

• Gmail sur ordinateur : ouvrez le message, allez dans le menu des trois points à côté de Répondre, puis choisissez « Signaler comme hameçonnage ».
• Outlook.com dans un navigateur : sélectionnez le message et, au-dessus du volet de lecture, choisissez « Signaler », puis « Hameçonnage ».
• L’application Outlook sur téléphone : sélectionnez le message, touchez les trois points en haut, choisissez « Signaler comme indésirable », puis « Hameçonnage ».

Faites ensuite le signalement officiel :

• Le message lui-même : Signal Spam, l’association qui réunit opérateurs, messageries et la CNIL. Les signalements servent à identifier les envoyeurs et à alimenter les enquêtes.
• L’adresse du faux site derrière le lien : Phishing Initiative, géré par Orange Cyberdefense. Une fois confirmées, les adresses sont transmises aux navigateurs, qui les bloquent.
• Si c’était un SMS et non un e-mail : transférez-le au 33700, sans rien ajouter. C’est gratuit, et les opérateurs peuvent couper les numéros en cause.
• Si de l’argent ou un compte est parti : déposez plainte en ligne sur THESEE, le service du ministère de l’Intérieur, ou dans un commissariat ou une brigade de gendarmerie.

Après le signalement, supprimez le message. Ne répondez pas, même pour demander d’arrêter, parce que toute réponse indique à l’envoyeur que quelqu’un lit cette adresse.

Si vous avez déjà cliqué

Cliquer arrive, y compris à des gens attentifs. Ce qui compte, c’est ce qui s’est passé après. Si vous avez seulement ouvert la page sans rien saisir, fermez-la sans télécharger de fichier ni accepter d’autorisation.

1. Dans la première heure, appelez votre banque si vous avez saisi des données de carte ou de compte. Utilisez le numéro au dos de votre carte ou celui de votre application bancaire. Pour faire opposition, le serveur interbancaire au 0 892 705 705 fonctionne 24 heures sur 24, et vous recevez un numéro d’enregistrement qui sert de preuve. Demandez ensuite une nouvelle carte.
2. Contestez l’opération par écrit. Pour un paiement par carte que vous n’avez pas autorisé, la demande de remboursement se fait dans les treize mois après le débit, et Service-Public décrit la marche à suivre et les cas où la banque peut refuser. Si elle refuse, vous pouvez saisir gratuitement le médiateur de votre établissement. Si c’était un virement, dites tout de suite que c’était une fraude : un virement instantané est irrévocable une fois exécuté, et seule la rapidité est entre vos mains.
3. Changez le mot de passe de tout compte auquel vous vous êtes connecté. Changez-le sur le vrai site, pas par un lien de la page que vous venez de quitter, et changez-le partout où vous l’aviez réutilisé.
4. Activez la double authentification sur ce compte, pour qu’un mot de passe volé ne suffise plus. Cybermalveillance.gouv.fr rappelle dans ses bonnes pratiques sur les mots de passe qu’un mot de passe différent par service limite les dégâts, et que celui de votre messagerie mérite la plus grande attention, parce qu’il commande la récupération de tous les autres. Si vous avez saisi un code à usage unique ou validé une demande de connexion, partez du principe que quelqu’un est déjà entré, et allez vérifier les sessions actives et les appareils liés.
5. Signalez le paiement frauduleux par carte sur Perceval, traité par la gendarmerie nationale, une fois l’opposition faite.
6. Gardez les preuves. Conservez l’e-mail, l’adresse ouverte par le lien, l’heure et les justificatifs. Toute démarche est plus utile avec ça.

Si vous ne savez pas par où commencer, 17Cyber pose quelques questions et vous oriente, gratuitement. La plateforme Info Escroqueries du ministère de l’Intérieur répond au 0 805 805 817, et France Victimes au 116 006.

Les sources que nous avons consultées

Les conseils et les chemins de menu ci-dessus ont été vérifiés le 22 septembre 2026 sur ces pages :

• Cybermalveillance.gouv.fr : que faire en cas d’hameçonnage et les bonnes pratiques sur les mots de passe
• Aide Gmail : éviter et signaler les e-mails d’hameçonnage
• Aide Chrome : vérifier si la connexion d’un site est sécurisée
• Signal Spam et Phishing Initiative
• Service-Public : spam par SMS et signalement au 33700
• Service-Public : fraude à la carte bancaire et le signalement Perceval
• Ma Sécurité : la plainte en ligne THESEE et 17Cyber
• L’annuaire des entreprises et Service-Public : les mentions légales obligatoires d’un site

Le message et les adresses de l’exemple sont inventés, et aucune marque réelle n’y apparaît. Les procédés qu’ils montrent sont réels. Cet article ne donne aucun chiffre et ne remplace pas un conseil juridique.

Questions fréquentes sur les faux e-mails