Le blog
Faux message de votre banque, colis en attente de livraison, compte à débloquer en urgence… Les tentatives d’arnaque par e-mail sont de plus en plus convaincantes. Voici 10 indices qui doivent vous mettre la puce à l’oreille pour éviter de tomber dans le piège.
Chaque jour, des millions d’e-mails frauduleux circulent sur Internet. Leur objectif : vous soutirer de l’argent, récupérer vos informations personnelles ou voler vos identifiants et mots de passe. Cette technique, appelée *hameçonnage* ou *phishing*, consiste à se faire passer pour un organisme ou une personne de confiance.
Et les pirates perfectionnent chaque jour leurs hameçons ! Grâce aux données personnelles récupérées lors de piratages et fuites de données de plus en plus nombreux, et aux progrès de l’intelligence artificielle, leurs messages sont désormais plus crédibles, mieux rédigés et parfois très personnalisés pour mieux vous piéger. Et ces messages frauduleux de plus en plus perfectionnés arrivent parfois à déjouer les filtres antispam pour atterrir quand-même dans votre boîte de réception.
Aussi, au-delà de l’antispam, il est essentiel que l’utilisateur reste vigilant et sache, lui-même, également distinguer le faux du vrai quand il y a un doute.
Pour cela, il y a quelques réflexes de vigilance simples à adopter, qui permettent d’éviter de tomber dans le piège de ces tentatives de vous abuser. Ci-dessous 10 indices à surveiller tout particulièrement.
Avec une règle d’or à garder à l’esprit : si vous avez un doute, contactez directement la personne ou le service dont se prétend le message frauduleux reçu – en utilisant un autre moyen de le contacter : téléphone, autre adresse e-mail, site internet officiel, … et vérifiez directement auprès de cette personne ou service la véracité ou non du message reçu.
Les 10 indices pour reconnaître un e-mail frauduleux
- Une adresse de l’expéditeur suspecte
Un e-mail prétend venir de votre banque, de l’assurance maladie ou de Mailo ? Ne vous fiez pas uniquement au nom affiché comme expéditeur : celui-ci peut être facilement falsifié.
En effet, le nom affiché dans l’entête peut masquer la véritable adresse de l’expéditeur, sans aucun rapport avec le domaine officiel du service prétendu.
Exemple : l’expéditeur affiché est « Support Mailo » ? Ouvrez l’entête complet du message. Si vous lisez « From : Support Mailo <tartempion@gmail.com> », vous savez immédiatement que l’expéditeur est une adresse Gmail, donc un domaine que n’utiliserait jamais un service Mailo ou votre banque pour vous contacter. Un service légitime utilise toujours son propre domaine, jamais un domaine farfelu, sans lien avec son service.
- Un message non sollicité
Un message frauduleux arrive toujours de nulle part, de manière inattendue : il ne vient pas en réponse à une démarche ou une demande que vous auriez initiée de votre propre chef auprès d’un service.
Donc si vous recevez un message de votre banque après l’avoir contacté pour une question, il s’agit très probablement de votre banque. Mais si vous n’avez rien demandé, et recevez un message inattendu de votre banque, alors vous devez tout de suite considérer que ce message, non sollicité, a toutes les chances d’être un faux. Il convient alors de vérifier les autres points de vigilance.
Exemple : Vous recevez un « avis de passage » pour un colis à retirer, alors que vous n’avez aucune commande en cours. Le message vous demande de régler « 2 € de frais de réacheminement » avec votre carte bancaire, en suivant les instructions fournies sous ce message inattendue.
- Un ton alarmant ou urgent, des mises en garde ou des menaces
Le message vous presse d’agir dans un délai très court, sous peine de conséquences présentées comme irréversibles (compte bloqué, suspendu ou supprimé sous 24 heures), pour vous pousser à agir rapidement sans réfléchir ni prendre le temps de vérifier : c’est assurément un message frauduleux !
Un service sérieux ne vous prévient jamais au dernier moment avec une contrainte de temps court et la menace de perte ou blocage irréversible, vous forçant ainsi à la précipitation. Plus un message est pressant, plus vous devez prendre le temps de vérifier l’authenticité de l’expéditeur.
Exemple : « Avertissement final : votre compte sera définitivement suspendu dans les 24 heures si vous ne confirmez pas immédiatement vos informations de connexion. »
- Une demande d’identifiant ou de mot de passe
Un service légitime ne vous demandera jamais votre identifiant, votre mot de passe, un code secret, votre numéro de carte bancaire ou toute autre information confidentielle par e-mail, quelle que soit la raison invoquée.
Si vous devez effectuer une démarche, ne le faites jamais à partir du message reçu, mais en vous connectant par vous-même directement à votre espace personnel en utilisant le site officiel du service en question. Une donnée confidentielle à renseigner ne doit l’être uniquement sous votre compte en question, accédé depuis le site officiel habituel.
Exemple : « Pour éviter la fermeture de votre compte, merci de confirmer votre mot de passe en cliquant sur le lien ci-dessous. » Aucun service légitime n’adresse une telle demande. Vous avez un doute ? Connectez-vous à votre compte depuis le site habituel, et vérifiez qu’une telle information existe sous votre compte. S’il n’y en a pas, c’est qu’il n’y a rien.
- Un lien ou un bouton à cliquer suspect
Si le message vous demande une action comme cliquer sur un lien ou un bouton présent dans ce même message, il est très probable que ce message soit frauduleux.
Dans ce cas, ce lien ou bouton renvoie vers un faux site imitant celui du service connu dont le message se prétend être, afin de vous faire saisir vos identifiant et mot de passe. Vous ne fournirez pas votre identifiant et mot de passe à votre service, mais vous le communiquerez en fait directement au malveillant, qui s’empressera alors de se connecter à votre place à votre compte pour le pirater.
Pour débusquer un tel faux lien, vérifiez tout simplement le site vers lequel ce lien ou bouton veut vous envoyer : l’URL (l’adresse réelle du site) s’affiche en survolant le lien ou le bouton sans cliquer (en général cette adresse du site s’affiche en bas à gauche de la fenêtre affichant ce message). Si cette adresse du site ne ressemble en rien au site officiel, il s’agit bien d’un faux site usurpant le site officiel. Donc à ne pas surtout pas cliquer dessus.
Exemple : un lien « Cliquez ici pour vérifier votre compte » pointe vers un site « www.debtyrrzu.mail-netcourrier.ru » au lieu de « www.netcourrier.com » : il est évident que ce site est un faux.
- Des fautes d’orthographe et de grammaire, une mise en page approximative
Les e-mails frauduleux contiennent souvent des fautes grossières, des phrases mal construites, des formulations étranges, ou un langage maladroit. Le contenu peut aussi mélanger plusieurs langues, des informations contradictoires ou des formats non professionnels. La présentation et la mise en page peuvent sembler bizarre : des polices de caractères déformées, des couleurs étranges, des logos flous ou mal intégrés. Ce sont autant de signes qui ne trompent pas : c’est certainement un faux !
Mais attention : les arnaques, encore plus avec l’aide de l’intelligence artificielle, sont de mieux en mieux rédigées et présentées. Et peuvent donc vraiment ressembler comme écrit par votre banque ou assurance. L’absence de fautes ou d’erreurs de présentation ne garantit donc nullement qu’un tel message est légitime. Vous devez alors vous appuyer sur les autres indices possibles pour lever le doute.
Exemple : Un message vous annonce que vous « avez gagné un Ipohne derniere generation » et vous invite à « cliker sur le lien » pour le recevoir. De telles erreurs évidentes ou une mise en page approximative trahissent à coup sûr la fraude.
- Une promesse de gain
De manière inattendue, vous avez gagné un smartphone, remporté une loterie à laquelle vous n’avez jamais participé ou hérité d’une somme considérable ?
Si l’on vous demande de payer des frais pour recevoir votre gain, de communiquer vos coordonnées bancaires ou de fournir des documents personnels, il s’agit avec certitude d’une escroquerie. Une offre trop belle pour être vraie mérite toujours un examen attentif, surtout quand elle tombe du ciel.
Exemple : « Vous avez été tiré au sort lors de notre loterie internationale et avez gagné 850 000 €. Pour encaisser votre gain, il vous suffit de régler les frais de dossier de 350 € par virement aux coordonnées bancaires joints. »
- Un chantage ou un appel au secours
Un grand classique des arnaques sont les rançons exigées sous menace de divulguer des informations compromettantes, ou les messages de détresse d’un proche prétendument bloqué à l’étranger, qui aurait perdu son passeport et dont la carte bancaire serait bloquée. Un tel message vous suppliant ou commandant de payer (forcément dans l’urgence, voir l’indice 3), en plus généralement en cryptomonnaie, est toujours à considérer comme un message frauduleux.
Exemple de chantage : « Nous avons enregistré des vidéos compromettantes de vous. Payez 500 € en bitcoins dans les 48 heures, sinon nous les diffuserons à l’ensemble de vos contacts. »
Options rubrique Sécurité, puis cliquez sur Historique de connexion. Si vous ne voyez aucune connexion suspecte à votre compte, depuis des adresses IP inhabituelles et à des moments de connexion ne correspondant pas à vos propres connexions récentes, personne ne s’est introduit dans votre messagerie. Enfin, cela ne fait jamais de mal, vous pouvez passer sur votre smartphone ou ordinateur un scan avec votre antivirus (toujours à garder à jour), pour confirmer qu’aucun virus espion n’est installé sur votre ordinateur. Exemple d’appel au secours : « J’ai été agressé à l’étranger, on m’a volé mes papiers et tout mon argent. Peux-tu me transférer 1 500 € en urgence ? Je te rembourse dès mon retour. » Le message semble provenir d’un proche, mais son adresse d’expédition est inconnue : son compte a été piraté ou son identité usurpée. En plus vous ignoriez que ce proche était parti à l’autre bout du monde, et que vous en êtes le plus proche qu’il contacte en premier pour solliciter de l’aide d’urgence, est-ce crédible ?
Si vous avez néanmoins un doute, rien de plus facile que de prendre votre téléphone et de l’appelez directement pour vérifier (même s’il dit en plus être injoignable à son téléphone…). Au pire vous l’aurez au bout du fil et pouvez alors le prévenir que son compte semble avoir été piraté et que quelqu’un essaie d’arnaquer ses contacts en envoyant ce genre de messages frauduleux à son carnet d’adresses.
- Des pièces jointes inattendues ou des instructions de paiement
Une facture que vous n’attendiez pas, un document administratif mystérieux, un bon de livraison ou un fichier prétendument envoyé par un collègue… Les pièces jointes peuvent contenir des logiciels malveillants, chercher à vous faire communiquer des informations confidentielles ou vous faire utiliser un faux IBAN pour un paiement.
N’ouvrez pas une pièce jointe inattendue sans avoir vérifié son origine, même si elle semble provenir d’une personne que vous connaissez.
La présence de fichiers joints au format inhabituel, surtout en format exécutable (.exe), .zip ou .scr, est un fort indicateur de phishing. Ces pièces jointes peuvent installer un logiciel malveillant si on les ouvre.
Et toute demande de paiement inconnue, même venant d’un contact connu, doit être vérifiée avant toute action, sans besoin d’ouvrir la pièce jointe.
Exemple : Un message prétendument envoyé par un service de livraison joint un fichier « suivi_colis.zip » contenant un programme « suivi_colis.exe« . Aucun service légitime n’envoie de programme à exécuter pour suivre un colis.
Ou encore : « Régularisez sans délai la facture impayée de 89,90 € pour éviter les poursuites. Vous trouvez ci-joint l’IBAN pour effectuer ce paiement. » Le message exige un règlement, pour un service dont vous n’avez jamais entendu parler, ou en vous fournissant des coordonnées bancaires différentes de celles habituelles d’un service que vous connaissez. Encore certainement une tentative d’arnaque.
- Le message reçu fourni des vraies informations sur vous
Votre nom, votre adresse, votre numéro de téléphone ou même une référence client, un numéro de contrat ou des dates de réservation réelles figurent dans le message ? Cela ne signifie pas nécessairement qu’il est authentique.
De plus en plus de données personnelles circulent entre les mains de personnes malveillantes à la suite de piratages de sites et de services en ligne. Les fraudeurs peuvent les exploiter pour personnaliser leurs messages et gagner votre confiance avec des détails sur vous que seul le service à qui vous les avez communiqués sont censés connaître.
Pour comprendre ce phénomène, consultez notre article : Fuites de données : pourquoi vous devez redoubler de vigilance face aux e-mails et SMS suspects
Deux exemples récents réels :
- Un site de réservation de location de vacances très connu a récemment été piraté, et les données de réservation de vacances de ses clients ont été récupérés par des pirates. Ceci a ainsi permis aux pirates d’envoyer des messages frauduleux très crédibles car ciblés et très bien informés à ces vacanciers pour leur demander des faux paiements complémentaires, fausses augmentations de tarifs, etc.
- Le site des impôts en France a lui-même été victime cet été d’un important vol de données concernant de nombreux citoyens français. Des pirates ont donc pu envoyer de faux messages des impôts avec des détails fiscaux précis rendant ces faux messages extrêmement crédibles auprès des citoyens concernés.
Que faire si vous avez un doute ?
Restez vigilant et pensez à vérifier ces différents indices. Si un seul de ces indices ne suffit pas toujours à prouver qu’un e-mail est frauduleux, cela doit néanmoins réveiller un doute. Et si un message vous paraît suspect, répondant à un ou plusieurs de ces indices, quelques précautions simples s’imposent :
- Ne répondez pas au message et ne communiquez aucune information personnelle.
- Ne cliquez sur aucun lien et n’ouvrez aucune pièce jointe de ce message.
- S’il s’agit d’un service connu par vous, vérifiez les informations directement sur le site officiel ou auprès du service concerné, en passant par votre mode d’échange habituel avec ce service (par exemple via leur adresse habituelle, leur site officiel, ou en contactant par téléphone votre correspondant habituel).
Enfin, après vérification, signalez le message comme indésirable dans votre messagerie.
Sur Mailo, utilisez le bouton **Ceci est du spam** qui s’affiche au-dessus du message frauduleux, pour signaler ce message qui aurait échappé aux filtres antispam. Ce signalement contribue à améliorer la détection des messages indésirables par l’antispam, permettant ainsi d’éviter que vous ou d’autres utilisateurs reçoivent de nouveau ce même type de message de cet expéditeur suspect.
Pour en savoir plus, consultez notre guide Trousse de secours : J’ai reçu un message douteux, est-il malveillant ?
Mailo vous aide et vous prodigue des conseils pour mieux vous protéger
Mailo dispose de dispositifs de filtrage destinés à détecter les messages indésirables et les tentatives d’hameçonnage avant qu’ils n’atteignent votre boîte de réception. Vous pouvez les configurer et adapter à votre besoin.
Mais aucune protection automatique n’est infaillible. Votre vigilance restera toujours de mise.
Spam, Newsletters, notifications : gardez le contrôle sur votre boîte de réception
Comment activer la protection antispam complète
Utiliser les alias et alias++ :
Apprenez à créer, gérer et utiliser les alias
Protégez votre vie privée avec les alias++
Notre série d’articles « Bien protéger son compte Mailo », qui commence par l’article Qu’est-ce qu’un bon mot de passe