2.1Le phishing (hameçonnage) par e-mail
L'essentiel en 30 secondes
- Le nom affiché ne prouve rien : seul le domaine complet de l'expéditeur fait foi — on lit le domaine, pas le nom.
- Survoler avant de cliquer : l'URL réelle se révèle au survol — 30 secondes d'inspection neutralisent le vecteur n°1.
- Jamais de connexion depuis un lien reçu : on tape l'adresse officielle soi-même ou on passe par ses favoris — le lien reçu ne sert jamais de porte d'entrée.
Mini-cas filé — Karim reçoit un faux e-mail de sa banque à Alger
Karim, employé de bureau à Alger, ouvre un e-mail alarmant signé du nom de sa banque : « activité suspecte, confirmez votre identité en cliquant ici ». Pressé, il s'apprête à cliquer. Il se ravise et applique l'inspection en 5 points : le domaine complet de l'expéditeur n'a rien à voir avec la banque, le lien survolé mène ailleurs, et le message joue sur l'urgence. Il ne clique pas, se connecte via ses favoris (rien d'anormal) et signale le message à l'IT. Ce même Karim revient en 2.2, 2.3, 2.4 et 2.5.
Modèle pédagogique simplifié : ce faux message illustre les signaux à repérer, pas une attaque réelle. Ce même cas revient dans le cours, le schéma, le script et le défi 48h — et continue en 2.2, 2.3, 2.4 et 2.5.
1. La menace n°1 en volume
Le phishing (hameçonnage) reste la menace n°1 en volume : un e-mail qui imite la banque, l'opérateur, la DRH ou le patron, et demande de cliquer, de remplir un formulaire ou de valider un virement. Karim l'a constaté : le message ressemblait à s'y méprendre à sa banque. Le spear phishing (ciblé, personnalisé avec le nom, les projets, les habitudes) est bien plus difficile à repérer que le spam de masse.
2. Les signaux d'alerte
À inspecter : l'adresse complète de l'expéditeur (le nom affiché ne prouve rien), l'URL réelle des liens (survol sans cliquer), le sentiment d'urgence, la demande d'identifiants ou de paiement, et la cohérence du contexte (attendait-on ce message ?). Attention aux domaines sosies (une lettre changée qui piège l'œil pressé) et aux pages de capture (fausses pages de connexion où l'on « donne » son mot de passe).
3. La règle d'or
Jamais de connexion depuis un lien reçu : Karim tape l'adresse officielle lui-même ou passe par ses favoris. Ce qui atteint la boîte a précisément passé les filtres : l'inspection personnelle est la dernière ligne de défense. Cliqué sans rien saisir ? On ne saisit rien, on ferme, on signale à l'IT et on surveille le compte ; si des identifiants ont été saisis, on change le mot de passe immédiatement et on signale (voir 5.1).
🔎 Exemple concret — 🔎 Exemple concret — L'inspection en 5 points
La check-list de Karim face au faux e-mail de sa banque (modèle pédagogique) :
1) Adresse COMPLÈTE de l'expéditeur (pas le nom affiché).
2) Survoler chaque lien sans cliquer (URL réelle ?).
3) Urgence/peur/gain ? 4) Demande d'identifiants/paiement ?
5) Contexte cohérent (attendais-je ce message) ?
→ Karim ne clique pas, vérifie via ses favoris, signale à l'IT.Lecture : 30 secondes qui neutralisent le vecteur n°1.
Leçon : se connecter via ses favoris, jamais via le lien reçu.
Vocabulaire de la section
- Phishing (hameçonnage)
- E-mail frauduleux imitant un tiers de confiance (banque, livreur, collègue, service public) pour voler des identifiants ou installer un malware.
Exemple simple : Karim reçoit un faux e-mail de sa banque lui demandant de « confirmer son identité ».
Ce que ce n'est pas : un e-mail attendu et cohérent d'un collègue connu, sans demande étrange.
Réflexe : urgence + demande d'identifiants ou de paiement = phishing jusqu'à preuve du contraire.
- Spear phishing
- Phishing ciblé et personnalisé (nom, projets, habitudes de la victime), bien plus difficile à repérer que le spam de masse.
Exemple simple : Un e-mail citant le vrai projet de Karim pour endormir sa méfiance.
Ce que ce n'est pas : un spam générique envoyé en masse avec des fautes évidentes.
Réflexe : plus c'est personnalisé, plus on vérifie le domaine et le contexte.
- Adresse d'expéditeur usurpée
- Le nom affiché d'un e-mail est libre et ne prouve rien : seul le domaine complet de l'adresse fait foi.
Exemple simple : « Votre Banque » affiché peut cacher une adresse sans rapport avec la banque.
Ce que ce n'est pas : le joli logo ou la signature officielle en bas du message.
Réflexe : toujours afficher et lire l'adresse complète, pas le nom.
- Domaine sosie
- Adresse presque identique à l'officielle, à une lettre près, qui piège l'œil pressé.
Exemple simple : Un domaine ressemblant à celui des impôts ou d'une marque connue, avec un caractère modifié.
Ce que ce n'est pas : le domaine officiel exact, vérifié caractère par caractère.
Réflexe : relire le domaine lentement, surtout après un lien reçu.
- Page de capture
- Fausse page de connexion, copie parfaite de la vraie, où la victime « donne » son mot de passe à l'attaquant.
Exemple simple : Karim aurait saisi ses codes sur une copie du site de sa banque.
Ce que ce n'est pas : la vraie page atteinte via ses favoris ou l'adresse tapée.
Réflexe : jamais de saisie d'identifiants depuis un lien reçu.
En pratique — En pratique — L'inspection en 5 points d'un e-mail suspect
- Prenez un e-mail commercial reçu récemment et inspectez l'adresse COMPLÈTE de l'expéditeur (pas le nom affiché) — le domaine est-il exactement le bon ?
- Survolez chaque lien SANS cliquer : l'URL de destination correspond-elle au site officiel ?
- Le message crée-t-il urgence, peur ou gain inespéré ? Vous demande-t-on identifiants, paiement ou données ? Le contexte est-il cohérent (attendiez-vous ce message) ?
- Entraînez-vous : le test anti-phishing en ligne de Google (« phishing quiz ») fait d'excellentes gammes.
Script prêt à dire — signaler un e-mail suspect à l'IT (30 s)
« Bonjour, je viens de recevoir un e-mail qui me paraît suspect : l'expéditeur affiche le nom de [banque / service], mais le domaine complet ne correspond pas, et il demande de cliquer sur un lien urgent. Je n'ai rien cliqué ni rien saisi. Je vous le transfère pour vérification — dois-je aussi utiliser le bouton Signaler de la messagerie ? »
À dire (ou écrire) sans cliquer ni saisir quoi que ce soit ; transmettre le message d'origine en pièce jointe si possible.
Modèle copier-coller — check-list d'inspection 5 points
E-MAIL SUSPECT DU : _______________
1) EXPÉDITEUR (adresse complète) : _______________ / Domaine exact ? OUI / NON
2) LIENS (URL au survol, sans cliquer) : _______________ / Site officiel ? OUI / NON
3) ÉMOTION (urgence / peur / gain) : _______________
4) DEMANDE (identifiants / paiement / données) : _______________
5) CONTEXTE (message attendu et cohérent ?) : _______________
DÉCISION : ne pas cliquer → vérifier via favoris → signaler à l'ITTPE / petit budget
Sans outil avancé : l'inspection en 5 points sur chaque e-mail sensible suffit — le réflexe ne coûte rien.
PME Algérie
Karim vérifie via ses favoris même sur mobile, et prévient son référent informatique au moindre doute.
Grand compte / messagerie filtrée
Même avec des filtres puissants, ce qui atteint la boîte les a passés : l'inspection reste obligatoire.
Télétravail / BYOD
Sur téléphone, l'adresse complète et l'URL se vérifient par appui long : ne jamais cliquer dans la précipitation.
✓ Bonnes pratiques
- Vérifiez le domaine complet, pas le nom affiché.
- Survolez les liens avant tout clic pour voir l'URL réelle.
- Connectez-vous via vos favoris, jamais via un lien reçu.
✗ Pièges fréquents
- Faire confiance au nom d'expéditeur affiché.
- Cliquer un lien « banque » puis saisir ses identifiants sur la page.
- Croire que les filtres anti-spam bloquent tout (pas le spear phishing).
Points clés à retenir
- Le nom d'expéditeur affiché ne prouve RIEN : vérifiez le domaine complet.
- Survoler les liens avant tout clic : l'URL réelle se révèle au survol.
- Urgence + demande d'identifiants/paiement = phishing jusqu'à preuve du contraire.
- Jamais de connexion depuis un lien reçu : tapez l'adresse officielle vous-même ou passez par vos favoris.
Défi 48h — appliquez demain
Prenez 3 e-mails récents comportant un lien et passez chacun à l'inspection en 5 points avec le modèle ci-dessus (domaine, URL au survol, émotion, demande, contexte). Notez le temps moyen et signalez tout message douteux à votre référent.
- Je peux citer les 5 points d'inspection sans hésiter.
- Je sais expliquer pourquoi le nom affiché ne prouve rien.
- J'ai inspecté 3 e-mails réels et signalé 1 doute éventuel.
Questions fréquentes
J'ai cliqué sur un lien de phishing mais rien saisi : que faire ?
Ne saisissez rien, fermez la page, signalez à l'IT et surveillez le compte concerné. Le clic seul est rarement suffisant pour une compromission — la saisie d'identifiants, si : dans ce cas, mot de passe changé immédiatement + signalement (voir 5.1).
Les filtres anti-spam ne bloquent-ils pas déjà tout ?
Ils bloquent l'essentiel du volume, pas les attaques soignées ni le spear phishing. Ce qui atteint votre boîte a précisément passé les filtres : votre inspection est la dernière ligne de défense.
Karim lit « Votre Banque » comme expéditeur. Que doit-il vérifier en priorité ?