Comment reconnaître un email de phishing en 4 étapes

Un mardi matin, un message tombe dans la boîte : l’administration fiscale annonce un remboursement de 190,40 €, il n’y a qu’un lien à cliquer pour le récupérer. Combien de personnes, dans une PME, cliqueraient sans réfléchir ? La réponse dépend rarement du niveau technique des équipes. Elle dépend de deux ou trois réflexes que personne ne leur a jamais montrés en pratique.

Le phishing, ou hameçonnage, tient en une phrase : quelqu’un se fait passer pour un tiers de confiance afin d’obtenir des informations qu’on ne lui donnerait jamais autrement. Impôts, banque, opérateur, fournisseur, service interne : le nom change, la mécanique reste la même. Ce tutoriel prend un cas réel, un faux courrier des impôts arrivé dans les indésirables d’une boîte Gmail, et le démonte écran par écran. À la fin, on sait où regarder dans un message suspect, dans quel ordre, et quoi faire du message une fois le doute levé. Rien à installer : tout se joue dans la messagerie que vous utilisez déjà.

Étape 1 : lire le message en entier avant de toucher quoi que ce soit

Le danger, dans ce type de message, n’est pas le texte. C’est le lien qu’il contient, et le formulaire qui se trouve derrière. On peut donc lire tranquillement, à condition de garder le pointeur loin de tout ce qui est cliquable. Voici ce qu’on regarde, dans l’ordre :

1. L’objet et le nom affiché, sans les considérer comme une preuve de quoi que ce soit. Ici, l’objet annonce « [Impots.gouv.fr] remboursement ».
2. La promesse ou l’urgence. Dans ce message, c’est une somme précise : un remboursement de 190,40 €. Un montant précis rend l’histoire crédible et donne envie d’aller vérifier.
3. La cohérence du texte. On annonce un remboursement, puis on enchaîne sur « pour résoudre le problème ». Quel problème ? Personne n’a signalé de problème. Cette incohérence de fond est le premier vrai signal.
4. La langue. « Veuiller Cliquez sur le lien ce-dessous », une majuscule au milieu d’une phrase, des accents absents sur « impots » et « envoye ». Une administration qui expédie des millions de courriers ne rédige pas comme ça.
5. Le nombre de liens. Il n’y en a qu’un, discrètement appelé « Formulaire ». Tout le message n’existe que pour provoquer ce clic.

Dans la capture ci-dessous, le message est ouvert depuis le dossier des indésirables, et le webmail affiche par-dessus un bandeau rouge d’avertissement. Ce bandeau est une bonne nouvelle, mais il ne constitue pas une méthode : il n’apparaît que lorsque le filtre a fait son travail. Un message frauduleux peut très bien arriver directement en boîte de réception, sans le moindre avertissement, et un message parfaitement légitime peut au contraire finir dans les indésirables. C’est d’ailleurs pourquoi il vaut la peine de jeter un œil à ce dossier de temps en temps.

Étape 2 : comparer le nom affiché et l’adresse réelle de l’expéditeur

C’est la vérification la plus rentable, et elle prend trois secondes. Un message contient deux choses différentes : le nom affiché, que l’expéditeur choisit librement, et l’adresse réelle, entre chevrons juste après. Seule la seconde engage quelqu’un.

1. Ouvrez l’en-tête du message et lisez ce qui suit le nom affiché.
2. Si l’adresse n’apparaît pas, dépliez le détail : dans la plupart des messageries, un petit triangle placé à côté du destinataire ouvre les informations complètes de l’expéditeur.
3. Comparez le domaine de cette adresse, c’est-à-dire ce qui se trouve juste avant l’extension, avec celui de l’organisme annoncé.

Sur le cas présenté, le nom affiché est « info », l’objet cite « Impots.gouv.fr », et l’adresse réelle est support@wkv.com. Aucun rapport avec un domaine public français. Le message est plié : rien de ce qui suit ne mérite d’être pris au sérieux.

Attention toutefois : certains expéditeurs sont plus soignés et fabriquent une adresse presque juste. Une lettre ajoutée, une lettre changée, et le domaine passe inaperçu à la lecture rapide. Un « e » glissé dans le nom de domaine suffit à tromper quelqu’un qui lit vite. C’est pour cette raison que l’étape suivante existe : une adresse d’expéditeur crédible ne clôt pas le sujet.

Étape 3 : survoler le lien pour voir où il mène, sans cliquer

Le texte d’un lien est un libellé, rien de plus. Il peut afficher « Formulaire », « Suivre mon dossier » ou l’adresse complète d’un site officiel tout en pointant ailleurs. La seule façon de savoir où il mène consiste à le survoler.

1. Placez le pointeur sur le lien, sans cliquer, et laissez-le immobile.
2. Regardez en bas à gauche de la fenêtre : l’adresse de destination s’y affiche.
3. Comparez le domaine affiché avec celui de l’organisme annoncé. S’ils ne correspondent pas, le message est frauduleux, quelle que soit sa présentation.

Détail qui déroute la première fois : cette adresse ne reste visible que tant que le pointeur reste sur le lien. Dès qu’on bouge la souris, elle disparaît. Il faut donc lire pendant le survol, pas après. Sur le message étudié, le lien « Formulaire » renvoyait vers un domaine qui n’avait rien à voir avec le site des impôts.

Et pourquoi ne pas cliquer « juste pour voir » ? Parce qu’à l’autre bout se trouve un site contrôlé par l’expéditeur. Deux choses peuvent s’y produire : un formulaire réclame vos informations, et vous les donnez de votre plein gré ; ou, si le poste n’est pas à jour, la page tente d’exécuter des programmes et d’installer quelque chose sur la machine. Dans les deux cas, le clic est l’étape que l’on ne peut pas annuler. Sur un parc de postes, ce réflexe se travaille en groupe plutôt que seul dans son coin : notre guide pour former ses employés au phishing en 7 étapes détaille comment l’installer durablement.

Étape 4 : vérifier auprès de l’organisme et laisser le message où il est

Il reste les cas gênants, ceux où tout a l’air correct et où le doute persiste. La règle est simple : on sort du message. Puisqu’un message frauduleux peut imiter une adresse, une charte graphique et un ton, il ne peut pas servir à se vérifier lui-même.

1. Cherchez vous-même les coordonnées de l’organisme : sur votre dernier courrier papier, sur une facture, ou en tapant directement l’adresse du site officiel dans le navigateur.
2. Appelez-le et posez la question. Un service des impôts, une banque ou un opérateur savent parfaitement dire s’ils vous ont écrit.
3. N’utilisez jamais le numéro, l’adresse ou le lien contenus dans le message suspect : ils font partie du décor.
4. Ne répondez pas au message. Sur celui-ci, le pied de page prévient d’ailleurs lui-même qu’aucun message envoyé à cette adresse ne sera lu.
5. Ne remplissez aucun formulaire reçu par email. Nom, prénom, date de naissance, coordonnées bancaires : c’est exactement ce que la page piégée attend.

Dernier point, celui qu’on oublie le plus souvent : laissez le message dans les indésirables. Le sortir de ce dossier pour l’examiner de plus près a deux effets fâcheux. D’une part le message perd son bandeau d’avertissement et redevient un courrier ordinaire au milieu des autres, comme le montre la capture ci-dessous. D’autre part le filtre enregistre la correction : les prochains messages du même genre risquent d’arriver directement en boîte de réception, pour vous comme pour vos collègues.

Erreurs fréquentes et réflexes qui font la différence

Ce sont presque toujours les mêmes automatismes qui font tomber quelqu’un. Les voici, avec leur antidote.

• Se fier au nom affiché. Il se choisit à l’envoi, au même titre que l’objet. C’est l’adresse entre chevrons qui identifie l’expéditeur, et elle seule.
• Considérer le filtre anti-spam comme une protection suffisante. Il attrape beaucoup de choses, y compris ce message, mais il n’est ni infaillible ni infalsifiable. La dernière vérification reste humaine.
• Sortir un message suspect des indésirables pour l’examiner. On lui rend sa capacité de nuisance et on rééduque le filtre dans le mauvais sens.
• Cliquer « juste pour voir » où mène le lien. Le survol donne la même information sans ouvrir quoi que ce soit. Le clic, lui, ne se rattrape pas.
• Remplir un formulaire reçu par email. Aucune administration, aucune banque ne réclame un RIB ou une date de naissance par ce canal.
• Se laisser porter par une bonne nouvelle inattendue. Un remboursement dont personne n’a entendu parler, un gain, une offre trop belle : plus la promesse est agréable, plus la vérification doit être stricte.
• Laisser des postes en retard de mises à jour. Le clic malheureux finira par arriver. Sur une machine à jour, la page piégée a beaucoup moins de prise.

Côté technique, il existe aussi un étage que l’utilisateur ne voit pas : l’authentification des expéditeurs, qui permet à votre messagerie de rejeter les messages qui usurpent un domaine. C’est le rôle de SPF, DKIM et DMARC, détaillé dans notre article sur la protection email d’une PME avec SPF, DKIM et DMARC. Les deux approches se complètent : la technique réduit le volume qui arrive jusqu’aux boîtes, les réflexes traitent ce qui passe malgré tout.