Comment fonctionne un message de phishing

Module 3: Reconnaître le phishing · Temps de lecture : 11 minutes

Objectif pédagogique : après cette leçon, vous saurez reconnaître les ressorts psychologiques et les caractéristiques fixes d'un message de phishing, même lorsque le texte est irréprochable, et vous réagirez avec le réflexe stop, vérifier, demander.
Notions clés : urgence, autorité, peur, curiosité, récompense, prétexte, phishing rédigé par IA, le réflexe « stop, vérifier, demander »

Le phishing est une histoire, pas une technique

Le phishing est un message qui vous fait faire quelque chose de bon pour l'expéditeur et de mauvais pour vous : cliquer sur un lien, vous connecter sur une page imitée, ouvrir une pièce jointe, effectuer un paiement ou communiquer un code. La technique derrière cela est souvent simple. Ce qui fait tout le travail, c'est l'histoire.

Cette histoire s'appelle un prétexte : un motif crédible. « Votre colis n'a pas pu être livré. » « Votre boîte mail est pleine. » « Une facture est en attente. » « Votre compte va être bloqué. » Un bon prétexte correspond à votre situation. Une boulangerie reçoit un e-mail au sujet d'un fournisseur de farine, un cabinet d'avocats au sujet d'une citation à comparaître, une boutique en ligne au sujet d'un paiement bloqué.

L'objectif est presque toujours l'un de ces quatre là :

Dans le dernier cas, il ne se passe rien de grave sur le moment. « Qui s'occupe des paiements chez vous ? » ressemble à une question banale. Mais avec la réponse, l'attaquant pourra ensuite envoyer un e-mail bien plus convaincant, adressé à cette personne précise. Cela s'appelle le spear phishing (leçon 1.2).

Les cinq leviers sur lesquels appuie le phishing

Le phishing fonctionne parce qu'il vous fait agir avant que vous ne réfléchissiez. Pour cela, il appuie sur quelques leviers fixes de notre esprit. Presque tous les messages de phishing en utilisent au moins deux.

1. Urgence. « Dans les 24 heures », « aujourd'hui même », « dernier rappel ». La pression temporelle est le ressort le plus important, car elle vous empêche de prendre le temps de vérifier.
2. Autorité. Le message provient soi-disant de quelqu'un que vous prenez au sérieux : la banque, l'administration fiscale, le directeur, la police, votre hébergeur, un avocat.
3. Peur. Votre compte va être bloqué, vous allez recevoir une amende, vos données ont fuité, votre domaine expire, il y a eu une intrusion sur votre compte.
4. Curiosité. « Regardez les photos de l'événement », « vous avez reçu un document partagé », « vous avez un message vocal », « bulletin de salaire 2026.pdf ».
5. Récompense. Un remboursement, un bon cadeau, un prix gagné, une mise à niveau gratuite, une grosse commande d'un nouveau client.

Attention : ces leviers se retrouvent aussi dans des messages authentiques. Une vraie facture a une date d'échéance, une vraie banque envoie parfois un avertissement. Un seul ressort ne rend donc pas un message faux. Il devient suspect quand la pression est forte et que le message demande quelque chose que vous ne feriez normalement pas ainsi.

Des caractéristiques fixes, indépendantes du texte

Outre ces ressorts, les messages de phishing présentent quelques caractéristiques qui reviennent presque toujours :

• Une injonction à agir immédiatement (appel à l'action) : un bouton, un lien, une pièce jointe, un numéro de téléphone à appeler.
• Un canal qui ne correspond pas. Votre banque vous demande par e-mail de vous connecter, votre fournisseur vous demande un paiement via WhatsApp, votre collègue vous demande par SMS des bons cadeaux.
• Une demande qui ne correspond pas. Communiquer un mot de passe ou un code de connexion, modifier un IBAN, effectuer un paiement en dehors de la procédure habituelle, installer un logiciel à la demande d'un appelant.
• Une anomalie dans l'expéditeur ou le lien. L'adresse ou le lien ne correspond pas tout à fait à l'organisation attendue. Vous apprendrez à le repérer précisément dans les leçons 3.2 et 3.3.
• La discrétion ou le contournement de la procédure. « N'en parlez pas encore aux autres », « je suis en réunion, ne m'appelez pas », « faites cela en dehors du système habituel ».

Cette dernière caractéristique est le signal le plus fort en cas de fraude au président et de fraude à la facture : un véritable directeur n'a aucun intérêt à ce que vous sautiez le contrôle normal.

Pourquoi les fautes d'orthographe ne sont plus un bon indice

Autrefois, on reconnaissait le phishing à un français maladroit, une formule d'appel étrange et une mise en forme peu soignée. Cela ne fonctionne plus. Avec les modèles de langage (IA), un attaquant rédige en quelques secondes un e-mail impeccable et chaleureux dans n'importe quelle langue, dans le style de l'organisation qu'il usurpe. Le NCSC néerlandais avertit lui aussi que le phishing généré par IA devient plus difficile à reconnaître : moins de fautes de langue et des pages de connexion de plus en plus réalistes.

À cela s'ajoute que le phishing provient parfois d'une boîte mail authentique. Si la boîte mail d'un fournisseur a été compromise, l'attaquant répond simplement dans un échange de mails existant, avec la signature, le style et les messages précédents. Cela s'appelle le thread hijacking (détournement de fil de discussion). Expéditeur, mise en forme et langue sont alors tous authentiques. Seule la demande ne correspond pas : « Nous avons un nouveau compte bancaire, pouvez-vous payer la facture en attente sur celui ci ? »

C'est pourquoi vous ne devez pas regarder à quoi ressemble un message, mais ce qu'il vous demande. On reconnaît rarement le phishing à une seule caractéristique, mais à l'ensemble du tableau.

Le réflexe : stop, vérifier, demander

Il n'est pas nécessaire de connaître chaque ressort. Il vous faut un seul réflexe, à utiliser chaque fois qu'un message vous demande quelque chose.

Stop. Ressentez vous de la précipitation, de la frayeur, de la curiosité ou de la joie ? C'est précisément le moment de ne pas cliquer. Mettez le message de côté un instant. Les véritables organisations vous laissent presque toujours assez de temps pour vérifier.

Vérifiez par votre propre chemin. Ne poursuivez pas via le message lui même. Ne cliquez pas sur le lien, n'appelez pas le numéro indiqué dans le message et ne répondez pas à l'e-mail. Rendez vous vous même sur le site via vos favoris ou en tapant l'adresse, ou appelez un numéro que vous connaissiez déjà (votre propre comptabilité, le dos de votre carte bancaire, le site officiel). La facture figure t elle vraiment là bas ? Le colis est il vraiment en route ?

Demandez. Si vous avez encore un doute, demandez à un collègue ou à la personne qui est censée l'avoir envoyé, par un autre canal. Mettez vous d'accord dans votre équipe sur le fait qu'une telle question n'est jamais gênante. Mieux vaut demander dix fois inutilement que de payer une seule fois à tort.

Ce réflexe fonctionne aussi face à un e-mail parfait envoyé depuis une boîte mail piratée. La vérification par votre propre chemin contourne entièrement l'attaquant, car il n'est ni dans vos favoris ni au téléphone de votre fournisseur.

En pratique : voici à quoi cela ressemble

Trois messages simulés que reçoit la Boulangerie Example (info@example.com) en une seule matinée. Tous les noms sont fictifs.

Message 1 : le colis

De : Service de livraison <service@koeriersdienst-track.example>
Sujet : Livraison échouée : action requise
Cher client, nous avons tenté de livrer un colis aujourd'hui. L'adresse était incomplète. Planifiez une nouvelle livraison dans les 48 heures et payez les frais de relivraison de 1,95 euro, sinon le colis sera retourné à l'expéditeur.

Ressorts : urgence (48 heures), peur (retour du colis), un petit montant pour que vous ne réfléchissiez pas. L'objectif est d'obtenir les données de votre carte. Vérification : attendez vous un colis ? Recherchez l'envoi via le site ou l'application du transporteur lui même.

Message 2 : le fournisseur

De : Fournisseur Farine <administratie@leverancier.example>
Sujet : RE : facture 2026 0412
Bonjour, comme convenu, voici la facture. Attention : en raison d'un changement de banque, merci de payer désormais sur notre nouveau numéro de compte. Pouvez vous le faire aujourd'hui même ? Nous pourrons alors programmer la livraison de vendredi.

Ressorts : autorité (fournisseur connu, échange de mails existant), urgence, récompense (la livraison). L'expéditeur peut être authentique : la boîte mail du fournisseur a peut être été compromise. Vérification : appelez le fournisseur au numéro de votre propre comptabilité, pas celui de cet e-mail.

Message 3 : le logiciel de comptabilité

De : Logiciel de comptabilité <noreply@boekhoudpakket.example>
Sujet : Votre abonnement va être suspendu
Nous n'avons pas pu traiter votre dernier paiement. Connectez vous dans les 24 heures pour mettre à jour vos coordonnées de paiement, sinon vous perdrez l'accès à votre comptabilité.
[Se connecter]

Ressorts : peur, urgence, autorité. Pour savoir si l'expéditeur est authentique, voir la leçon 3.3 ; pour savoir où mène le bouton, voir la leçon 3.2. Vérification : ouvrez vous même l'application ou vos favoris du logiciel de comptabilité. Si aucune notification n'y figure, l'e-mail est faux.

Résumé

• Le phishing fonctionne grâce à une histoire (prétexte) adaptée à votre situation, dans le but d'obtenir des identifiants de connexion, de l'argent, un accès à votre appareil ou des informations.
• Les cinq leviers : urgence, autorité, peur, curiosité et récompense. En général, au moins deux sont utilisés en même temps.
• Les fautes d'orthographe ne sont plus un indice fiable : l'IA rédige des e-mails impeccables et les boîtes mail piratées envoient des messages authentiques.
• Regardez ce qu'un message vous demande et par quel canal, pas à quoi il ressemble.
• Réflexe : stop, vérifiez par votre propre chemin, demandez en cas de doute.

Quiz

Exercice

Exercice A3.1 : Reconnaître les techniques de manipulation. Vous recevez six messages simulés. Choisissez pour chaque message quels ressorts y figurent (urgence, autorité, peur, curiosité, récompense) et ce que vous devez faire : traiter normalement, ou vérifier d'abord par votre propre chemin. Le programme corrige vos réponses et explique, pour chaque message, ce que vous avez manqué.

Pour aller plus loin

Les étapes décrites dans les articles WebOké valent pour l'environnement WebOké ; chez d'autres fournisseurs, le fonctionnement est comparable.

• Cet e-mail provient-il réellement de WebOké ? Reconnaître le phishing et utiliser le code promotionnel
• NCSC (Pays Bas), Comment reconnaître un e-mail de phishing ? : https://www.ncsc.nl/phishing/hoe-herken-ik-een-phishing-e-mail
• NCSC (Pays Bas), Phishing : https://www.ncsc.nl/wat-kun-je-zelf-doen/dreiging/phishing
• Cybermalveillance.gouv.fr, assistance aux victimes de phishing : https://www.cybermalveillance.gouv.fr/