Quels sont les indicateurs courants d’une tentative de phishing ?

Mis à jour le 4 avril 2025.

Les signes courants d’une tentative de phishing incluent les avertissements de votre fournisseur de services de messagerie, les messages avec des formules de politesse génériques, un langage au caractère urgent ou menaçant, les offres trop belles pour être vraies, etc. Ces tactiques sont pensées pour vous inciter à révéler des informations sensibles. Selon IBM, le phishing est le catalyseur de 41 % des cyberattaques, entraînant des infections par malware, des usurpations de compte, des fraudes et des usurpations d’identité.

Lisez la suite de l’article pour savoir comment repérer les tentatives de phishing et vous protéger pour ne pas en être victime.

1. Avertissement de votre fournisseur de service de messagerie.

Étant donné que le phishing est une menace courante, la plupart des principaux fournisseurs de services de messagerie, y compris Gmail, proposent désormais des avertissements intégrés concernant les e-mails suspects pouvant être des tentatives de phishing. Lorsque votre fournisseur de messagerie soupçonne qu’un e-mail que vous avez reçu pourrait être une tentative de phishing, vous verrez un message d’avertissement pour vous informer que le message semble dangereux et vous suggérer de le signaler.

2. Formule de politesse générique

Si vous recevez un e-mail qui utilise des formules de politesse génériques telles que « Cher client » ou « Cher utilisateur » pour s’adresser à vous, c’est un signal d’alarme important. En effet, la plupart des cybercriminels envoient des e-mails de phishing en masse dans l’espoir de tromper le plus grand nombre de personnes possible. Une formule de politesse générique indique que l’e-mail a été envoyé à un grand nombre de gens, car il n’y a eu aucun effort de personnalisation. En revanche, les entreprises légitimes chez qui vous avez un compte s’adresseront généralement à vous en utilisant votre nom complet, car elles ont vos données personnelles dans leurs dossiers.

3. Langage urgent ou menaçant

Les tentatives de phishing utilisent souvent un langage au caractère urgent ou menaçant pour inciter les victimes à agir rapidement. En effet, le cybercriminel souhaite que la personne ciblée agisse le plus rapidement possible afin d’envoyer ses données personnelles sans se poser de questions.
Par exemple, un SMS de phishing, également connu sous le nom de smishing, pourrait inclure un message comme « Agissez maintenant ou votre compte sera désactivé. Cliquez sur le lien ci-dessous pour mettre à jour vos informations de connexion. » Cliquer sur le lien pourrait infecter votre appareil avec un malware ou vous diriger vers un site web usurpé pour voler vos identifiants. Une fois que vous avez saisi vos identifiants sur le site usurpé, les cybercriminels peuvent les utiliser pour compromettre votre vrai compte. Certaines tentatives de phishing peuvent même menacer les destinataires en invoquant des conséquences plus graves, par exemple en affirmant que vous serez arrêté(e) si vous ne payez pas une somme d’argent précise dans le délai indiqué. Bien que ces menaces soient fausses, de nombreuses personnes tombent dans le piège, risquant ainsi des pertes financières et un vol d’identité.

4. Des offres trop belles pour être vraies

Si vous recevez un message non sollicité avec une offre qui semble trop belle pour être vraie, il s’agit probablement d’une tentative de phishing. Ces messages peuvent proposer des offres incroyables, des prix ou des opportunités exclusives, mais ils sont conçus pour vous inciter à révéler des informations personnelles ou à télécharger des contenus malveillants. Lorsque les cybercriminels exécutent leurs tentatives de phishing, ils savent exactement ce qu’ils doivent dire pour vous convaincre de leur légitimité et vous faire tomber dans le piège. Avant de cliquer sur un lien ou d’acheter quoi que ce soit à partir d’un message non sollicité, faites des recherches plus approfondies avant d’entreprendre une action qui pourrait vous nuire et mettre en péril vos données ou vos finances.

5. Fautes d’orthographe et erreurs de grammaire

Un autre indice courant d’une tentative de phishing est la présence de fautes d’orthographe et de grammaire dans le message, surtout si l’e-mail prétend provenir d’une entreprise chez qui vous avez un compte. Avant d’envoyer un e-mail à leurs clients, les entreprises légitimes suivent généralement des processus de révision stricts pour s’assurer que leurs e-mails ne comportent pas d’erreurs. Par conséquent, si vous remarquez des erreurs, il est préférable de ne pas cliquer sur le message, car il pourrait s’agir d’une tentative de phishing. Cependant, il devient de plus en plus difficile de distinguer les e-mails légitimes des tentatives de phishing, car les cybercriminels ont commencé à utiliser l’intelligence artificielle (IA) pour rédiger rapidement des e-mails de phishing personnalisés sans fautes d’orthographe ni de grammaire.

6. Pièces jointes et liens non sollicités

Si vous recevez un e-mail ou un SMS avec des pièces jointes ou des liens que vous n’avez pas demandés, cela peut indiquer qu’il s’agit d’une tentative de phishing. Avant de cliquer, vous devez vérifier si le lien est sûr en passant votre souris dessus et en prévisualisant l’URL pour déterminer si le lien correspond à ce qu’il prétend être. Un autre moyen simple de vérifier la légitimité d’un lien est de le copier et de le coller dans un vérificateur d’URL. Avant d’ouvrir une pièce jointe que vous n’avez pas demandé à recevoir, vérifiez toujours l’identité de l’expéditeur, évitez les fichiers classés comme spam et utilisez un antivirus pour analyser l’élément en question.

7. Demandes de données personnelles

Faites preuve de prudence si l’on vous demande de fournir des données personnelles par e-mail, par SMS ou par téléphone. Les entreprises légitimes, telles que les banques ou les organismes publics, ne demandent généralement pas d’informations sensibles telles que des mots de passe, des informations de carte de paiement ou des numéros de sécurité sociale, surtout si vous n’êtes pas à l’origine de la conversation. À mesure que les tactiques de phishing ont évolué, certains hackers vont même jusqu’à usurper des numéros de téléphone pour donner l’impression que le message provient d’une personne que nous connaissons. Si l’on vous demande de « vérifier » vos comptes ou de « mettre à jour » vos informations personnelles, ce sont des demandes conçues pour vous inciter à communiquer des données privées que les cybercriminels peuvent utiliser. Si vous recevez une demande de ce type, vérifiez sa légitimité en contactant directement l’organisation en utilisant ses coordonnées officielles plutôt que de répondre au message.

8. Incohérences dans les adresses e-mail et les noms de domaine

Il faut également se méfier lorsque l’adresse e-mail ou le nom de domaine de l’expéditeur ne correspond pas à l’identité de la personne ou de l’entreprise qui prétend vous contacter. Par exemple, si vous recevez un e-mail qui prétend provenir de votre banque, mais que le nom de domaine ne correspond pas au site web officiel de la banque, c’est un indice évident de phishing. Les entreprises légitimes utilisent généralement des noms de domaine officiels. Ainsi, si l’adresse e-mail est différente du domaine officiel de l’entreprise, il se peut que quelqu’un se fasse passer pour votre banque afin de vous voler de l’argent ou d’accéder à vos informations financières.

Comment vous protéger contre les tentatives de phishing

Les cybercriminels font preuve de plus d’ingéniosité en concevant des cyberattaques plus sophistiquées, notamment grâce à l’intelligence artificielle. Il est donc encore plus important de savoir comment se protéger de ces tentatives de phishing. Voici quelques façons de vous protéger.

Utilisez des mots de passe complexes pour vos comptes

Vos comptes en ligne sont précieux pour les cybercriminels, car ils contiennent des données personnelles, telles que vos numéros de carte de paiement, votre adresse de domicile et votre date de naissance. Pour protéger vos comptes, chacun est sécurisé avec un mot de passe fort contenant au moins 16 caractères et une combinaison de lettres majuscules et minuscules, de chiffres et de symboles. Il peut être difficile de créer soi-même des mots de passe forts et uniques. C’est pourquoi nous vous recommandons vivement d’utiliser un générateur de mots de passe ou de phrases secrètes.

Activer l’authentification multifactorielle (MFA) sur vos comptes

Vos comptes doivent être protégés avec des mots de passe forts, mais cela n’est pas suffisant : vous devez également activer l’authentification multifactorielle chaque fois que cela est possible. L’authentification multifactorielle est une mesure de sécurité qui nécessite une forme d’authentification supplémentaire pour accéder à votre compte. Lorsqu’elle est activée, l’authentification multifactorielle vous oblige à fournir au moins une forme d’authentification supplémentaire en plus de votre nom d’utilisateur et de votre mot de passe. Même si vous tombez dans le piège d’une tentative de phishing et que vous communiquez vos identifiants à un acteur malveillant, le fait d’avoir activé l’authentification multifactorielle l’empêchera de compromettre votre compte, car il ne pourra pas vérifier son identité.

Vérifiez les liens avant de cliquer dessus

Si vous recevez un lien que vous n’avez pas demandé, vous devez vérifier qu’il ne présente aucun risque avant de cliquer dessus. Voici deux façons de vérifier si un lien est sûr :

• Passez la souris sur le lien : en survolant le lien avec la souris, vous verrez apparaître l’adresse réelle du site web vers lequel le lien vous dirigera si vous cliquez dessus. Si quelque chose dans l’adresse du site web vous semble suspect, ne cliquez pas sur le lien, car vous pourriez déclencher une infection par malware.

• Utilisez le rapport de transparence de Google : le rapport de transparence de Google est un outil gratuit que vous pouvez utiliser pour vérifier si une URL est sûre. Il suffit de copier le lien et de le coller dans le rapport, qui vous indiquera si vous pouvez cliquer dessus en toute sécurité.

Utilisez un logiciel antivirus pour analyser les pièces jointes des e-mails

Un logiciel antivirus est un type de programme que vous installez sur votre appareil et qui détecte, prévient et supprime les virus et les malwares connus. Certains logiciels antivirus peuvent également analyser les pièces jointes que vous recevez par e-mail. Lorsque le logiciel antivirus détecte qu’une pièce jointe contient un virus, il procède à sa suppression pour éviter que notre appareil ne soit infecté.

Ne répondez pas aux demandes de données personnelles

Vous ne devriez jamais répondre à des demandes soudaines de données personnelles. Les entreprises chez qui vous avez un compte, comme votre banque, ne vous contacteront jamais au hasard pour confirmer les détails de votre carte bancaire. Une entreprise ne vous demandera des données personnelles que si vous êtes à l’origine de la prise de contact.

Veuillez contacter l’entreprise ou la personne par un autre moyen

Si vous doutez de la légitimité d’un e-mail, d’un SMS ou d’un appel téléphonique, contactez directement la personne ou l’entreprise par un autre moyen de contact. Par exemple, si vous recevez un SMS d’une personne qui prétend être votre responsable hiérarchique, envoyez un e-mail à ce dernier pour confirmer qu’il vous a bien envoyé le message. S’il vous dit ne pas être à l’origine de ce message, vous pouvez déduire que le SMS était une tentative de phishing.

Faites preuve de vigilance pour détecter les tentatives de phishing

Tomber dans le piège d’une escroquerie par phishing peut avoir de graves conséquences, à la fois financières et personnelles. En sachant comment repérer les tentatives de phishing, vous pouvez protéger vos données personnelles et empêcher les cybercriminels d’accéder à vos données. L’étape la plus importante pour vous protéger contre les tentatives de phishing est d’utiliser des mots de passe forts pour vos comptes en ligne. Vous pouvez créer, mettre à jour et stocker vos mots de passe dans un gestionnaire de mots de passe tel que Keeper®.

Découvrez les fonctionnalités du gestionnaire de mots de passe de Keeper grâce à un essai gratuit de 30 jours. Vous pourrez ainsi sécuriser vos comptes en ligne et vous protéger contre les tentatives de phishing.