Phishing : reconnaître et bloquer les emails frauduleux

Un email de phishing est un message frauduleux qui cherche à vous faire agir sous un faux prétexte : saisir un mot de passe, communiquer un code de connexion, ouvrir une pièce jointe ou effectuer un virement. Pour le repérer, vérifiez l'adresse complète de l'expéditeur, le domaine réel des liens et la cohérence de la demande. Au moindre doute, ne suivez pas les instructions du message : contactez l'organisme par un canal que vous connaissez déjà. Si vous avez cliqué, la réaction dépend de ce que vous avez réellement fait ensuite.

Ce guide s'adresse autant aux particuliers qu'aux collaborateurs et dirigeants de petites entreprises. Il explique la différence entre phishing et spam, montre les signaux d'alerte, précise les limites des protections techniques et donne des réflexes adaptés à chaque situation. Aucun indice, à lui seul, ne permet de certifier qu'un email est sans danger.

Qu'est-ce que le phishing par email ?

Le phishing, ou hameçonnage, consiste à usurper la confiance accordée à une personne, une marque ou un service pour pousser le destinataire à divulguer des informations ou à réaliser une action dangereuse. La fraude prend souvent l'apparence d'un message bancaire, d'une demande administrative, d'une alerte de sécurité ou d'une facture. Elle peut aussi venir d'un compte légitime déjà compromis, ce qui rend la détection plus difficile.

L'email n'est qu'un canal parmi d'autres : les mêmes mécanismes existent par SMS, messagerie instantanée et téléphone. Ici, nous nous concentrons sur les messages électroniques, leur vérification et les mesures à prendre en entreprise.

Phishing, spam, malware et ransomware : quelles différences ?

Un spam n'est donc pas nécessairement du phishing et un phishing n'a pas besoin d'être envoyé en masse. Une attaque ciblée peut imiter un échange professionnel authentique, voire s'insérer dans une conversation existante. Pour les messages indésirables, voyez aussi comment arrêter le spam sur une boîte mail professionnelle.

Pourquoi les petites entreprises sont-elles concernées ?

Dans une TPE ou une PME, la même personne peut gérer les achats, les règlements et les accès à des applications métiers. Un faux message émanant d'un fournisseur ou d'un dirigeant peut donc viser directement un virement, un document sensible ou la messagerie de toute l'équipe. Le risque ne se limite pas au vol d'un mot de passe : une boîte compromise peut servir à envoyer de nouvelles demandes frauduleuses à des contacts qui reconnaissent l'adresse de l'expéditeur.

Comment fonctionne un email frauduleux ?

Une identité familière, une raison d'agir, une action à risque

Le nom affiché peut reprendre celui d'un responsable ou d'un service officiel alors que l'adresse complète correspond à un domaine différent. Certains fraudeurs utilisent une adresse qui ressemble visuellement au domaine attendu ; d'autres détournent un compte authentique et bénéficient ainsi de sa réputation auprès des destinataires.

Liens, formulaires, pièces jointes et QR codes

Un lien peut conduire vers une page de connexion contrefaite destinée à recueillir un identifiant et un mot de passe. Une pièce jointe peut être un document inoffensif, mais elle peut aussi contenir du contenu actif ou entraîner un téléchargement dangereux. Le QR code est une variante du lien : il peut masquer la destination jusqu'à la lecture par le téléphone. Le risque augmente lorsqu'un message exige d'ouvrir le site depuis un autre appareil, hors des protections habituelles de l'entreprise.

Un compte réellement compromis peut envoyer du phishing

Quand un attaquant obtient l'accès à la boîte mail d'un fournisseur ou d'un collègue, il peut observer des conversations, tenter de modifier des instructions de paiement, créer des règles de transfert ou envoyer des messages depuis le vrai compte. Microsoft documente notamment les règles de boîte de réception suspectes et les transferts externes comme des signes possibles de compromission. Une conversation connue n'est donc pas une preuve suffisante : vérifiez les changements sensibles par un second canal.

Sept signes pour reconnaître un email de phishing

1. L'adresse complète de l'expéditeur ne correspond pas à l'organisme attendu. Regardez ce qui suit le signe @ et non seulement le nom affiché. Une adresse inhabituelle est un signal, mais une adresse attendue peut elle aussi être compromise.
2. Le domaine d'un lien diffère du site officiel. Le texte visible peut annoncer une destination rassurante alors que le lien conduit ailleurs. Un nom de domaine ressemblant et un site en HTTPS peuvent être frauduleux.
3. Le message crée une urgence ou une menace. « Dernier avertissement », « compte suspendu dans une heure » ou « paiement immédiat » doivent susciter une vérification indépendante.
4. La demande est inhabituelle. Un service qui réclame un mot de passe, un code d'authentification ou un nouveau RIB uniquement par email justifie un contrôle renforcé.
5. Une pièce jointe arrive sans contexte. Ne partez pas du principe qu'un document est sûr parce qu'il porte un nom de facture ou le logo d'une entreprise.
6. Le canal ou le ton ne correspondent pas aux pratiques connues. Une demande de virement reçue hors du processus normal est suspecte, même si le texte est bien rédigé.
7. Les informations sont incohérentes. Référence de dossier absente, entreprise mal identifiée, service non utilisé ou interlocuteur inattendu : autant d'éléments à examiner.

Une faute d'orthographe, un logo déformé ou une formule étrange peuvent révéler une fraude. À l'inverse, un message sans faute et parfaitement personnalisé peut être malveillant. Ne vous fiez jamais à un seul indice.

Exemple pédagogique : un faux avis de connexion

Exemple fictif — ne provient d'aucun incident réel.

Nom affiché : Assistance Messagerie

Adresse complète : assistance@controle-compte.example.invalid

Objet : Vérification urgente de votre accès

Message : « Votre espace sera désactivé aujourd'hui si vous ne confirmez pas vos identifiants. Utilisez le bouton Vérifier mon compte. »

Dans cet exemple, le domaine fictif ne correspond à aucun fournisseur réel ; l'urgence et la demande de saisie d'identifiants s'ajoutent au doute. La bonne démarche n'est pas de tester le bouton : ouvrez vous-même l'application habituelle ou utilisez un favori enregistré, puis vérifiez si une alerte apparaît réellement. L'exemple est volontairement générique et ne prétend pas reproduire un email intercepté par AntiSpammeur.

Vérifier un email suspect sans s'exposer

Sur ordinateur : contrôler le contexte avant d'agir

Commencez par lire l'adresse complète de l'expéditeur, puis examinez la demande et vos échanges précédents. Sans cliquer, le survol d'un lien peut afficher sa destination dans certains logiciels : c'est une information utile, mais son affichage et sa fiabilité varient selon l'interface. En cas de doute persistant, n'utilisez ni le lien ni le numéro fournis dans l'email. Accédez au site par votre favori habituel ou appelez votre contact à un numéro déjà connu.

Sur smartphone : redoubler d'attention

Sur mobile, les applications affichent parfois d'abord le nom de l'expéditeur sans montrer immédiatement son adresse. Développez les détails du message si l'application le permet. Ne maintenez pas un lien appuyé pour le prévisualiser si vous ne maîtrisez pas le comportement de votre appareil ; il est plus prudent d'ouvrir directement l'application officielle en dehors du message.

Si un QR code accompagne une prétendue facture ou une demande de connexion, traitez-le comme un lien inconnu. Il ne devient pas sûr parce qu'il a été envoyé par email ou imprimé sur un document.

Le cadenas HTTPS n'est pas une garantie de légitimité

Le chiffrement HTTPS protège la communication avec le serveur auquel votre navigateur se connecte. Il n'établit pas que ce serveur appartient réellement à votre banque, à votre fournisseur ou à votre administration. Une page frauduleuse peut elle aussi utiliser HTTPS et afficher un cadenas : vérifiez toujours le nom de domaine et le contexte.

Les scénarios de phishing qui visent les entreprises

Fausse alerte Microsoft 365 ou Google Workspace

Un message prétend qu'une connexion anormale a été détectée et demande de « réparer » le compte via un lien. Cette mise en scène peut viser des identifiants professionnels, des codes MFA ou l'autorisation d'une application tierce. Si votre équipe utilise Microsoft 365 ou Google Workspace, passez par les interfaces et canaux d'assistance habituels ; ne validez jamais une demande d'authentification que vous n'avez pas déclenchée.

Arnaque au président et changement frauduleux de RIB

Une demande de virement présentée comme confidentielle et urgente peut usurper l'identité d'un dirigeant. Un fournisseur supposé annoncer un changement de coordonnées bancaires peut chercher à détourner un paiement déjà prévu. Le contrôle le plus utile est souvent organisationnel : faire confirmer toute modification de RIB ou tout paiement exceptionnel par un second canal indépendant, en appelant un numéro déjà enregistré, et conserver une séparation des validations lorsque c'est possible.

La même règle vaut lorsqu'un message arrive dans une conversation existante. Si le compte du fournisseur a été compromis, l'adresse d'expédition et le contexte peuvent sembler normaux. La vigilance repose alors sur la nature inhabituelle de l'action demandée.

Documents partagés et pièces jointes piégées

Les invitations à consulter un devis, une facture ou un document collaboratif sont fréquentes au travail. Avant de vous identifier, assurez-vous que la demande était attendue et que vous êtes sur le véritable service. Un document peut afficher des instructions visant à désactiver une protection ou à exécuter un contenu actif : ne le faites pas sur la seule foi du message.

Ces menaces feront l'objet de guides satellites spécifiques ; le présent pilier fournit les gestes transversaux sans transformer chaque section en procédure exhaustive de remédiation.

Comment réduire le risque de phishing dans sa messagerie ?

1. Instaurer quelques réflexes humains

Demandez à chacun de vérifier toute instruction sensible, notamment un virement, un changement de coordonnées ou une demande de code de connexion. Mettez à disposition un canal simple de signalement : une personne qui a cliqué doit pouvoir le dire immédiatement, sans crainte de sanctions disproportionnées. Plus l'information remonte tôt, plus les équipes peuvent examiner les accès et prévenir d'autres destinataires.

Définissez aussi qui valide une demande de paiement hors procédure et qui contacte le prestataire informatique en cas de message suspect. Une règle brève, connue et répétée est plus utile qu'une consigne rarement consultée.

2. Sécuriser les comptes avec MFA et des accès adaptés

Utilisez des mots de passe uniques, un gestionnaire de mots de passe et, lorsque c'est possible, une authentification multifacteur résistante au phishing, notamment des clés de sécurité ou des passkeys. Le MFA classique améliore généralement la sécurité, mais des attaques peuvent chercher à obtenir un code ou à faire approuver une demande frauduleuse. Ne communiquez jamais un code reçu de manière inattendue.

Limitez les droits administrateurs, supprimez rapidement les accès qui ne sont plus nécessaires et surveillez les alertes de connexion anormale. Si un compte professionnel est suspecté compromis, examinez également les sessions actives, les applications autorisées et les règles de transfert de messages, avec l'aide de votre administrateur.

3. Utiliser le filtrage et les protections du poste

Les filtres de messagerie examinent différents signaux : réputation de l'expéditeur, authentification, contenu, liens, pièces jointes et comportement observé. Les protections du poste, les mises à jour et les sauvegardes complètent ces mécanismes. Aucun de ces contrôles n'offre une garantie absolue, notamment contre un message émis depuis une boîte légitime compromise ou une instruction de paiement sans lien suspect.

Évitez de présenter les filtres comme une alternative au contrôle humain. Un filtrage trop strict peut aussi retenir des messages légitimes : la gestion de la quarantaine et des faux positifs compte autant que le blocage des menaces.

4. Comprendre le rôle et les limites de SPF, DKIM et DMARC

SPF aide à déclarer quels systèmes sont autorisés à envoyer pour un domaine dans un contexte donné ; DKIM permet de vérifier une signature cryptographique associée au message ; DMARC relie ces contrôles au domaine visible dans le champ From et permet au propriétaire du domaine d'annoncer une politique et de recevoir des rapports.

La RFC 9989, publiée en mai 2026, remplace les RFC 7489 et 9091 pour la spécification principale de DMARC. Elle précise notamment que les attaques fondées sur le seul nom affiché sortent du périmètre de DMARC. Un domaine ressemblant, un compte compromis ou un email correctement authentifié mais malveillant peut donc encore tromper le destinataire.

Pour les principes, les contrôles et les erreurs habituelles de configuration, consultez authentifier son domaine avec SPF, DKIM et DMARC. Ne modifiez pas des DNS en production sur la base d'une valeur générique copiée dans un article.

Que faire si vous avez reçu ou ouvert un email de phishing ?

Il faut distinguer la réception du message de l'exécution d'une action. Le bon réflexe n'est pas nécessairement identique après une simple lecture, un clic, la communication d'un mot de passe, l'ouverture d'un fichier ou un virement.

Cas 1 — Vous avez reçu le message sans interagir

N'utilisez ni les liens ni les coordonnées du message. Signalez-le selon le canal adapté, puis supprimez-le ou laissez-le dans la quarantaine conformément à la politique de votre organisation. Ne répondez pas pour demander si le message est authentique : l'expéditeur est précisément l'élément en doute.

Cas 2 — Vous avez ouvert un lien, sans rien saisir

Fermez la page et ne téléchargez rien. Un simple clic ne signifie pas automatiquement qu'un compte a été compromis ; le risque dépend du site, du navigateur, des éventuels téléchargements et des actions effectuées. Si l'appareil a présenté un comportement inhabituel ou un téléchargement s'est lancé, contactez le support et suivez ses consignes. Maintenez navigateur et système à jour. En entreprise, signalez l'URL et l'heure du clic pour faciliter l'analyse.

Cas 3 — Vous avez communiqué un mot de passe ou un code

Depuis une application ou un site légitime ouvert indépendamment de l'email, changez immédiatement le mot de passe du compte concerné et de tout autre compte utilisant le même secret. Alertez votre équipe informatique, révoquez les sessions ou jetons suspects si vous disposez des droits nécessaires et vérifiez les moyens de récupération du compte. Si vous avez approuvé une demande MFA inattendue, signalez aussi cette action : changer le mot de passe peut ne pas suffire si des sessions ou autorisations persistent.

Pour une messagerie professionnelle, l'administrateur doit envisager l'examen des connexions, règles de boîte de réception, transferts, applications consenties et messages envoyés. Microsoft décrit ces vérifications dans sa procédure de réponse à une boîte mail compromise.

Cas 4 — Vous avez ouvert une pièce jointe ou exécuté un fichier

Si vous soupçonnez une exécution malveillante, cessez d'utiliser le poste pour des opérations sensibles et contactez immédiatement votre support informatique. Selon les consignes de l'équipe de réponse à incident, une isolation réseau peut être nécessaire pour limiter la propagation. N'effacez pas des traces et n'improvisez pas une réinstallation : elles pourraient être utiles à l'analyse. Sur un poste personnel, demandez une assistance spécialisée si vous observez des signes d'infection.

Cas 5 — Vous avez fourni des informations bancaires ou validé un virement

Contactez immédiatement votre banque par ses coordonnées officielles pour demander les mesures adaptées : opposition, surveillance, rappel de fonds ou contestation selon l'opération. Conservez les coordonnées du bénéficiaire, le message, les justificatifs et les horaires. En entreprise, avertissez la direction financière et la personne en charge des incidents ; ne vous fiez pas au numéro de téléphone indiqué dans le message frauduleux.

Cas 6 — Vous suspectez une compromission de la messagerie

Alertez rapidement les administrateurs. La réponse doit porter à la fois sur l'accès au compte et sur ce qui a pu être fait avec cet accès : envoi de nouveaux messages frauduleux, consultation de données, création de transferts, modification de règles, autorisations d'applications ou changement d'informations de récupération. Prévenez les correspondants potentiellement affectés par un canal fiable si nécessaire.

Documentez l'incident : date de détection, comptes concernés, messages et pièces jointes, actions entreprises, destinataires potentiellement impactés. Un administrateur pourra déterminer si une analyse approfondie, une procédure de plainte ou une notification réglementaire est nécessaire.

Comment signaler un phishing et conserver les preuves ?

En France, Cybermalveillance.gouv.fr rassemble les premiers réflexes et les démarches destinées aux victimes. Pour un courriel indésirable ou malveillant, les outils de signalement du fournisseur de messagerie et Signal Spam sont des voies pertinentes. Pour signaler l'adresse d'un site de phishing, Phishing Initiative accepte des signalements d'URL. Il n'est pas nécessaire de visiter soi-même le site suspect pour le signaler.

Si vous avez subi une fraude, conservez les éléments utiles à un éventuel dépôt de plainte : email original, en-têtes lorsque accessibles, captures d'écran, référence du paiement, coordonnées utilisées et chronologie. Évitez de modifier les preuves pour « nettoyer » les informations compromettantes ; demandez conseil au responsable sécurité ou aux autorités compétentes.

Phishing et RGPD : faut-il toujours prévenir la CNIL ?

Non. La simple réception d'un message de phishing ne constitue pas automatiquement une violation de données personnelles. Si une organisation constate une violation de données à caractère personnel, elle doit en documenter les circonstances et évaluer les risques pour les personnes. Lorsque la violation est susceptible d'engendrer un risque pour leurs droits et libertés, le responsable de traitement doit la notifier à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. Une information des personnes peut aussi être requise en cas de risque élevé, sauf exception prévue par le RGPD.

La procédure officielle de la CNIL précise les critères et les démarches. Ne confondez pas le signalement d'un email suspect, une plainte pénale et la notification réglementaire d'une violation de données.

Comment AntiSpammeur complète-t-il la protection des emails ?

Pour une organisation qui reçoit des messages professionnels, une solution de filtrage peut compléter les protections intégrées à la messagerie et réduire le nombre de messages suspects à examiner. AntiSpammeur présente notamment des fonctions de filtrage antispam, anti-phishing et anti-malware, des contrôles d'authentification, une gestion des expéditeurs inconnus et des outils de suivi. Il s'agit des caractéristiques annoncées par l'éditeur, pas d'un taux de détection indépendant ou d'une garantie de blocage.

Le service se positionne en amont de la boîte mail via une configuration des enregistrements MX. Ce choix suppose une préparation, une vérification des paramètres du domaine et une gestion des messages légitimes éventuellement retenus. Pour comparer cette approche aux autres solutions disponibles, consultez comment choisir une solution anti-spam professionnelle et, pour un environnement Microsoft, les limites et les compléments possibles de l'anti-spam Microsoft 365.

Pour évaluer le filtrage sur votre propre domaine, vous pouvez protéger votre messagerie gratuitement pendant 14 jours. Une carte bancaire est requise ; aucun débit n'est prévu pendant l'essai et l'annulation avant l'échéance est annoncée sans frais. Vérifiez les conditions affichées au moment de votre inscription. L'essai ne remplace ni l'authentification multifacteur ni les procédures de validation de paiement.

Questions fréquentes sur le phishing

Comment savoir avec certitude si un email est un phishing ?

Il n'existe pas de signe universel qui permette de certifier la légitimité d'un email. Examinez l'adresse complète, la destination des liens, la demande et son contexte. Pour une opération sensible, contactez le service par un canal indépendant du message. En entreprise, faites remonter le doute à l'équipe informatique.

Un email sans faute d'orthographe peut-il être frauduleux ?

Oui. Les fraudeurs peuvent utiliser des textes très soignés, des logos exacts et des informations personnelles ou professionnelles crédibles. Les fautes et les erreurs de présentation sont des alertes possibles, mais leur absence ne prouve rien. Le meilleur contrôle porte sur la demande et l'identité vérifiée de l'interlocuteur.

Le phishing et le spam, est-ce la même chose ?

Non. Le spam est une communication non sollicitée, qui peut être simplement publicitaire ou franchement malveillante. Le phishing est une tentative de tromperie visant notamment des données, des identifiants ou un paiement. Un message peut être à la fois du spam et du phishing, mais ces termes ne sont pas interchangeables.

Est-ce grave d'avoir cliqué sur un lien de phishing sans donner son mot de passe ?

Pas nécessairement, mais le risque n'est pas nul : il dépend notamment des téléchargements, du navigateur, de l'appareil et des interactions réalisées. Fermez la page, n'y saisissez rien et signalez l'incident. Si un fichier a été exécuté ou si le poste se comporte anormalement, demandez rapidement une assistance technique.

SPF, DKIM et DMARC suffisent-ils pour bloquer le phishing ?

Non. Ces mécanismes aident à authentifier des domaines et à traiter certaines usurpations d'adresse. Ils ne suffisent pas contre un faux nom affiché, un domaine ressemblant, un compte compromis ou un message authentifié mais malveillant. Ils doivent s'ajouter au filtrage, à la sécurisation des comptes et à la vérification des demandes sensibles.

Que faire après avoir communiqué son mot de passe dans un faux formulaire ?

Ouvrez le véritable service indépendamment du message, changez le mot de passe concerné, sécurisez les autres comptes qui utilisent le même secret et avertissez votre support informatique. Vérifiez également les sessions, les règles de transfert et les moyens de récupération. En cas de validation MFA suspecte, signalez-la explicitement : un changement de mot de passe ne résout pas toujours toutes les persistances.

Faut-il signaler chaque email de phishing à la CNIL ?

Non. Le signalement d'un message frauduleux et la notification d'une violation de données personnelles répondent à des règles différentes. Une organisation doit analyser et documenter toute violation de données constatée ; la notification à la CNIL dépend du risque pour les personnes, selon les conditions de l'article 33 du RGPD.

Comment réduire le risque de fraude au changement de RIB ?

Ne modifiez pas les coordonnées bancaires d'un fournisseur sur la seule base d'un email. Vérifiez la demande en appelant un numéro déjà enregistré ou en passant par le processus interne de validation. Conservez la preuve du contrôle et, lorsque c'est possible, séparez la réception d'une demande de son approbation financière.

À retenir : vérifier, protéger et réagir selon les faits

Pour reconnaître un email de phishing, commencez par contrôler l'adresse réelle, le domaine des liens et surtout la cohérence de ce que l'on vous demande. Si une opération implique un paiement, un code de sécurité ou un accès, passez par un canal indépendant. Les filtres antispam, SPF, DKIM, DMARC et l'authentification multifacteur apportent des défenses complémentaires, mais aucune ne constitue une assurance absolue.

Si un incident a déjà eu lieu, agissez en fonction de votre niveau d'interaction : simple lecture, clic, identifiants fournis, fichier exécuté ou paiement réalisé. Signalez rapidement le cas, conservez les preuves et sollicitez l'aide adaptée. Vous pouvez enfin tester la protection de votre domaine pendant 14 jours, avec carte bancaire requise et possibilité d'annulation avant l'échéance sans frais.

Sources de référence

• Cybermalveillance.gouv.fr — Comment reconnaître un email de phishing ? (mise à jour du 12 février 2026).
• Cybermalveillance.gouv.fr — Que faire en cas de phishing ? (mise à jour du 7 mai 2026).
• IETF / RFC Editor — RFC 9989, DMARC (mai 2026, notamment section 11.4).
• Microsoft Learn — Réponse à un compte de messagerie compromis (documentation fournisseur consultée le 2 novembre 2026).
• CNIL — Notifier une violation de données personnelles (consulté le 2 novembre 2026).