Reconnaître un mail de phishing en quelques secondes : le guide ultime

Il y a une chose que je vois passer dans ma boîte presque chaque semaine : un faux avis de contravention. Le logo de l'ANTAI, un texte administratif crédible, un lien pour « contester ». La première fois, j'ai cliqué avant de réfléchir. Pas sur le lien, heureusement, mais j'étais à deux millimètres. Depuis, j'ai mis au point une routine de vérification que j'applique en moins de dix secondes, et je vais vous la donner telle quelle. Parce que reconnaître un mail de phishing, ce n'est pas une question de flair. C'est une question d'ordre de vérification.

Reconnaître un mail de phishing en quelques secondes : l'ordre qui change tout

La plupart des guides vous donnent une liste de signaux. Objet bizarre, fautes d'orthographe, urgence. Le problème, c'est que cette liste est plate. Vous la parcourez dans le désordre, et pendant ce temps vous êtes déjà en train de chercher le bouton « cliquer ici ». Moi je procède dans un ordre strict. Trois étapes, toujours les mêmes.

Étape 1 : le domaine réel, jamais le nom affiché

C'est le premier réflexe, et de loin le plus rentable. Votre logiciel de messagerie vous montre un nom : « Service client », « ANTAI », « Impots.gouv ». Ce nom est un simple champ texte que l'expéditeur remplit comme il veut. Ce qui compte, c'est la partie après le @.

Regardez ce qui suit le arobase. Pas le sous-domaine, pas la ligne en dessous. Le domaine racine.

• rnicrosoft.com (avec un r et un n qui remplacent le m) au lieu de microsoft.com.
• paypa1.com avec le chiffre 1 à la place du l.
• impots.gouv.fr.secure-login.net : le vrai domaine est ici secure-login.net, le reste est du décor.
• antai.gouv.co au lieu de .fr.

Cette lecture prend deux secondes. Elle élimine à elle seule la majorité des tentatives, parce qu'un attaquant ne peut pas écrire @gouv.fr sans posséder le domaine. Il doit ruser avec des caractères qui se ressemblent.

Une nuance qui m'a coûté une fausse alerte : certains envois légitimes passent par des plateformes tierces (newsletters, outils de facturation). Le domaine peut donc ne pas être celui de l'entreprise. Ce n'est pas un signal de phishing en soi. Mais alors, aucune donnée sensible ne doit être demandée dans le corps du message. Jamais.

Étape 2 : survivre au lien sans cliquer

Un lien dans un mail doit être traité comme une porte fermée. Vous ne l'ouvrez pas pour voir. Vous l'inspectez d'abord.

Sur ordinateur, posez le curseur dessus sans cliquer : l'URL réelle apparaît en bas de la fenêtre. Sur mobile, faites un appui long, ce qui affiche l'adresse cible. Ensuite, vous comparez cette adresse au domaine de l'expéditeur. Si le lien pointe vers un domaine différent de celui du mail, c'est terminé, vous ne cliquez pas.

Spoiler : un lien peut afficher un texte rassurant (« www.impots.gouv.fr ») tout en pointant ailleurs. Le texte visible est un déguisement. L'URL réelle est la vérité.

Étape 3 : la nature de la demande

Deuxième signal fort : que vous demande-t-on de faire ?

• Un paiement immédiat pour « éviter une suspension ».
• Vos identifiants, votre mot de passe, un code reçu par SMS (le code à usage unique, qui ne se transmet à personne, jamais).
• Une pièce jointe « à ouvrir d'urgence » : facture, mise en demeure, avis de paiement.
• Une confirmation de coordonnées bancaires.

Si la demande et l'urgence se superposent, le compte est bon. Une administration légitime vous laisse des semaines, pas des heures. Le sentiment de panique n'est pas un détail du mail, c'est son ingrédient principal. Il est fabriqué exprès pour que vous sautiez l'étape 1 et l'étape 2.

À quoi ressemble concrètement un mail de phishing

Un cas que j'ai vu de mes yeux, presque identique à l'original :

• Expéditeur affiché : « Direction générale des Finances publiques ».
• Adresse réelle : dgfip-notification@compta-gouv.com. Le mot « gouv » est là, mais il est planté dans un domaine privé.
• Objet : « Dernier rappel avant majoration ».
• Corps : une somme précise, un délai de 48 heures, un bouton bleu.
• Bouton : il pointe vers dgfip-paiement-securise.org.

Le tout était bien écrit. Aucune faute. Aucune tournure bancale. Voilà pourquoi la chasse aux fautes d'orthographe est une mauvaise stratégie en 2026 : les modèles de langage produisent désormais des textes irréprochables, y compris pour arnaquer. Ce qui trahit ce mail, ce n'est pas sa forme, c'est son domaine et l'urgence de sa demande.

Comment reconnaître un faux mail ANTAI ou une fausse amende

Le cas de l'ANTAI revient en boucle, et il est particulièrement vicieux. Un avis de contravention, ça stresse tout le monde. Voici la règle que j'applique : un avis de contravention légitime arrive avec une référence de dossier et un numéro d'infraction vérifiables sur le site officiel de l'Agence nationale de traitement automatisé des infractions. On ne paie jamais depuis le lien du mail. On va sur le site par ses propres moyens, on saisit la référence, et on voit.

Concrètement :

1. Je relève le numéro d'avis mentionné dans le mail.
2. Je tape moi-même l'adresse du site officiel dans mon navigateur. Jamais via le lien reçu.
3. Je cherche la référence. Si elle n'existe pas, c'était une arnaque.

Cette méthode marche pour n'importe quelle administration ou entreprise. Elle a un coût : trente secondes de plus. Elle a un bénéfice : vous ne perdez jamais un euro dans une arnaque au faux paiement.

Comment savoir si vous avez été victime de phishing

On ne s'en aperçoit pas toujours tout de suite. Les signes arrivent souvent après coup, et ils sont concrets :

• Des connexions que vous n'avez pas faites, signalées par un service.
• Des mails envoyés depuis votre adresse à des contacts que vous n'avez pas sollicités.
• Une carte bancaire débitée pour un achat inconnu, souvent quelques euros d'abord (un test), puis une somme plus grosse.
• Un mot de passe que vous ne pouvez plus changer : le compte a été verrouillé par quelqu'un d'autre.

Si vous avez cliqué et saisi vos identifiants, l'ordre des actions est simple. Changez le mot de passe concerné immédiatement, puis partout où vous l'avez réutilisé (et oui, il faut arrêter de réutiliser le même). Activez la double authentification. Surveillez vos relevés bancaires sur les semaines qui suivent, pas seulement le lendemain. Contactez votre banque pour faire opposition si un débit suspect apparaît.

J'ajoute un conseil que je répète à mes proches : changez aussi le mot de passe de votre boîte mail elle-même. Une boîte compromise, c'est le trousseau de clés de tous vos autres comptes, parce que les réinitialisations de mot de passe passent par là.

Que faire et où signaler un phishing

Signaler, ça prend deux minutes et ça protège les autres. Le circuit est court :

• Transférez le mail suspect à signal-spam@signaml.fr, la plateforme de signalement des messages indésirables de l'État.
• Vous pouvez aussi le signaler sur la plateforme Phishing Initiative, qui traite des URLs frauduleuses avec les hébergeurs.
• Depuis votre messagerie, un simple clic sur « Signaler comme phishing » suffit souvent à nourrir les filtres.
• Ne répondez jamais à l'expéditeur, même pour l'insulter. Une réponse confirme que votre adresse est active.

Et pour les cas de fraude avérée (argent débité, identité usurpée), c'est du ressort de la police ou de la gendarmerie, avec un dépôt de plainte. Le signalement technique ne remplace pas la plainte quand il y a un préjudice financier.

Les signaux, classés par fiabilité réelle

Tous les signaux ne se valent pas. Voici comment je les classe en pratique :

Signal	Fiabilité	Temps de vérification
Domaine réel après le @	Très élevée	2 secondes
URL réelle du lien (survol)	Très élevée	3 secondes
Demande d'identifiants ou d'argent	Élevée	5 secondes de lecture
Urgence et menace de conséquence	Moyenne	immédiat
Fautes d'orthographe	Faible (les IA n'en font plus)	variable
Logo et mise en page soignée	Très faible : se copient en un clic	variable

Ce classement, c'est l'essentiel de ma méthode. Ne descendez jamais plus bas dans le tableau tant que vous n'avez pas validé les deux premières lignes.

Le cran au-dessus : les en-têtes du mail

Pour ceux qui veulent la preuve technique, il existe un niveau que peu de gens exploitent : l'analyse des en-têtes. Dans la plupart des logiciels, on peut afficher le code source complet d'un message. On y trouve le champ « Return-Path », l'adresse réelle de retour, qui diffère souvent du « From » affiché. On y voit aussi les résultats des vérifications SPF, DKIM et DMARC. Quand un de ces contrôles retourne un échec, le doute n'est plus permis.

Franchement, cette lecture est ardue pour un non-technicien. Je ne l'impose à personne. Mais si vous recevez un mail crucial et que vous hésitez, sachez que cette couche d'information existe, qu'elle ne dépend pas de l'apparence du message, et qu'un service informatique peut la lire pour vous en trente secondes.

Ce qui me frappe, en écrivant ces lignes, c'est que la défense tient à très peu de choses : un arobase, un survol de souris, un soupçon d'urgence. Trois gestes minuscules. Les attaquants, eux, misent sur l'inverse : que vous sautiez ces trois secondes parce que quelqu'un a appuyé sur le bon bouton dans votre tête. La prochaine fois qu'un mail vous presse d'agir, essayez juste de repérer ce bouton. Vous verrez souvent qui appuie.