Comment fonctionne un message de phishing

Module 3: Reconnaître le phishing · Temps de lecture : 11 minutes

Objectif pédagogique : Après cette leçon, vous saurez reconnaître les techniques psychologiques et les caractéristiques fixes d'un message de phishing, même si le texte est sans faute, et vous réagirez avec le réflexe stop, vérification, question.
Notions clés : urgence, autorité, peur, curiosité, récompense, prétexte, phishing rédigé par IA, le réflexe « stop, vérification, question »

Le phishing est une histoire, pas une technique

Le phishing est un message qui vous pousse à faire quelque chose de bon pour l'expéditeur et de mauvais pour vous : cliquer sur un lien, vous connecter sur une page falsifiée, ouvrir une pièce jointe, effectuer un paiement ou transmettre un code. La technique qui se cache derrière est souvent simple. Ce qui fait le travail, c'est l'histoire.

Cette histoire s'appelle un prétexte : un motif crédible. « Votre colis n'a pas pu être livré. » « Votre boîte de réception est pleine. » « Une facture est en attente. » « Votre compte va être bloqué. » Un bon prétexte correspond à votre situation. Une boulangerie reçoit un e-mail à propos d'un fournisseur de farine, un cabinet d'avocats à propos d'une assignation, une boutique en ligne à propos d'un paiement bloqué.

L'objectif est presque toujours l'un de ces quatre éléments :

Dans le dernier cas, rien de grave ne se produit sur le moment. « Qui s'occupe des paiements chez vous ? » ressemble à une question ordinaire. Mais avec la réponse, l'attaquant peut ensuite envoyer un e-mail beaucoup plus convaincant, adressé précisément à cette personne. Cela s'appelle le spear phishing (leçon 1.2).

Les cinq leviers sur lesquels joue le phishing

Le phishing fonctionne parce qu'il vous pousse à agir avant de réfléchir. Pour cela, il actionne quelques leviers fixes dans notre tête. Presque chaque message de phishing en utilise au moins deux.

1. Urgence. « Dans les 24 heures », « aujourd'hui même », « dernier rappel ». La pression temporelle est la technique la plus importante, car elle vous empêche de prendre le temps de vérifier.
2. Autorité. Le message provient soi-disant de quelqu'un que vous prenez au sérieux : la banque, l'administration fiscale, le directeur, la police, votre hébergeur, un avocat.
3. Peur. Votre compte va être bloqué, vous allez recevoir une amende, vos données ont fuité, votre domaine expire, il y a eu une intrusion sur votre compte.
4. Curiosité. « Consultez les photos de l'événement », « vous avez reçu un document partagé », « vous avez un message vocal », « récapitulatif de salaire 2026.pdf ».
5. Récompense. Un remboursement, un bon cadeau, un prix gagné, une mise à niveau gratuite, une grosse commande d'un nouveau client.

Attention : ces leviers apparaissent aussi dans de vrais messages. Une vraie facture a une date d'échéance, une vraie banque envoie parfois un avertissement. Une seule technique ne rend donc pas un message faux. Il devient suspect quand la pression est forte et que le message demande quelque chose que vous ne feriez normalement pas ainsi.

Des caractéristiques fixes, indépendantes du texte

Outre ces techniques, les messages de phishing partagent presque toujours quelques caractéristiques :

• Une incitation à agir maintenant (appel à l'action) : un bouton, un lien, une pièce jointe, un numéro de téléphone à appeler.
• Un canal qui ne correspond pas. Votre banque vous demande par e-mail de vous connecter, votre fournisseur vous demande un paiement via WhatsApp, votre collègue vous demande des bons cadeaux par SMS.
• Une demande qui ne correspond pas. Transmettre un mot de passe ou un code de connexion, modifier un IBAN, effectuer un paiement en dehors de la procédure normale, installer un logiciel à la demande d'un appelant.
• Un écart dans l'expéditeur ou le lien. L'adresse ou le lien ne correspond pas tout à fait à l'organisation attendue. Vous apprendrez à le repérer précisément dans les leçons 3.2 et 3.3.
• Confidentialité ou contournement de la procédure. « N'en parlez pas encore aux autres », « je suis en réunion, ne m'appelez pas », « faites cela en dehors du système habituel ».

La dernière caractéristique est le signal le plus fort en cas de fraude au président ou à la facture : un vrai directeur n'a aucun intérêt à ce que vous sautiez le contrôle habituel.

Pourquoi les fautes d'orthographe ne sont plus un bon indicateur

Auparavant, on reconnaissait le phishing à un français approximatif, une formule de politesse étrange et une mise en page bâclée. Cela ne fonctionne plus. Avec les modèles de langage (IA), un attaquant rédige en quelques secondes un e-mail sans faute, courtois, dans n'importe quelle langue, dans le style de l'organisation qu'il usurpe. L'ANSSI (Agence nationale de la sécurité des systèmes d'information) met également en garde : le phishing généré par IA devient plus difficile à reconnaître, avec moins de fautes de langue et des pages de connexion de plus en plus réalistes.

À cela s'ajoute le fait que le phishing provient parfois d'une véritable boîte de messagerie. Si la boîte de messagerie d'un fournisseur a été piratée, l'attaquant répond simplement dans un échange de courriels existant, avec la signature, le style et les messages précédents. Cela s'appelle le détournement de fil de discussion (thread hijacking). L'expéditeur, la mise en forme et la langue sont alors tous authentiques. Seule la demande ne correspond pas : « Nous avons un nouveau compte bancaire, pouvez-vous régler la facture en attente sur celui-ci ? »

C'est pourquoi vous ne devez pas regarder l'apparence d'un message, mais ce qu'il vous demande. On reconnaît rarement le phishing à une seule caractéristique, mais à l'impression d'ensemble.

Le réflexe : stop, vérification, question

Vous n'avez pas besoin de connaître toutes les techniques. Il vous faut un seul réflexe à utiliser chaque fois qu'un message vous demande quelque chose.

Stop. Ressentez-vous de la précipitation, de la peur, de la curiosité ou de la joie ? C'est précisément le moment de ne pas cliquer. Mettez le message de côté un instant. Les organisations sérieuses vous laissent presque toujours le temps de vérifier.

Vérifiez par votre propre canal. Ne continuez pas via le message lui-même. Ne cliquez pas sur le lien, n'appelez pas le numéro indiqué dans le message et ne répondez pas à l'e-mail. Rendez-vous vous-même sur le site via votre favori ou en tapant l'adresse, ou appelez un numéro que vous aviez déjà (votre propre comptabilité, le dos de votre carte bancaire, le site officiel). La facture est-elle réellement en attente ? Le colis est-il réellement en route ?

Demandez. Si vous avez encore un doute, demandez à un collègue ou à la personne qui est censée avoir envoyé le message, par un autre canal. Mettez-vous d'accord dans votre équipe sur le fait qu'une telle question n'est jamais importune. Mieux vaut demander dix fois inutilement que payer une fois à tort.

Ce réflexe fonctionne aussi face à un e-mail parfait envoyé depuis une boîte de messagerie piratée. La vérification par votre propre canal contourne entièrement l'attaquant, car il ne figure ni dans vos favoris ni au téléphone de votre fournisseur.

En pratique : à quoi cela ressemble

Trois messages fictifs reçus en une matinée par la Boulangerie Example (info@example.com). Tous les noms sont inventés.

Message 1 : le colis

De : Service de livraison <service@koeriersdienst-track.example>
Objet : Livraison échouée : action requise
Cher client, nous avons essayé de livrer un colis aujourd'hui. L'adresse était incomplète. Planifiez une nouvelle livraison dans les 48 heures et payez les frais de nouvelle livraison de 1,95 euro, sinon le colis sera retourné à l'expéditeur.

Techniques utilisées : urgence (48 heures), peur (retour du colis), un petit montant pour que vous ne réfléchissiez pas. L'objectif est vos données bancaires. Vérification : attendez-vous un colis ? Recherchez l'envoi via le site ou l'application du transporteur lui-même.

Message 2 : le fournisseur

De : Fournisseur Farine <administratie@leverancier.example>
Objet : RE : facture 2026-0412
Bonjour, comme convenu, voici la facture. Attention : suite à un changement de banque, merci de payer désormais sur notre nouveau numéro de compte. Pouvez-vous le faire dès aujourd'hui ? Nous pourrons ainsi planifier la livraison de vendredi.

Techniques utilisées : autorité (fournisseur connu, échange de courriels existant), urgence, récompense (la livraison). L'expéditeur peut être authentique : la boîte de messagerie du fournisseur peut avoir été piratée. Vérification : appelez le fournisseur au numéro de votre propre comptabilité, pas celui indiqué dans cet e-mail.

Message 3 : le logiciel de comptabilité

De : Logiciel de comptabilité <noreply@boekhoudpakket.example>
Objet : Votre abonnement va être suspendu
Nous n'avons pas pu traiter votre dernier paiement. Connectez-vous dans les 24 heures pour mettre à jour vos informations de paiement, sinon vous perdrez l'accès à votre comptabilité.
[Se connecter]

Techniques utilisées : peur, urgence, autorité. Pour savoir si l'expéditeur est authentique, consultez la leçon 3.3 ; pour savoir où mène le bouton, consultez la leçon 3.2. Vérification : ouvrez vous-même l'application ou votre favori du logiciel de comptabilité. S'il n'y a aucune notification à cet endroit, l'e-mail est frauduleux.

Résumé

• Le phishing fonctionne grâce à une histoire (prétexte) qui vous correspond, dans le but d'obtenir des identifiants de connexion, de l'argent, un accès à votre appareil ou des informations.
• Les cinq leviers : urgence, autorité, peur, curiosité et récompense. En général, au moins deux sont utilisés en même temps.
• Les fautes d'orthographe ne sont plus un indicateur fiable : l'IA rédige des e-mails sans faute et des boîtes de messagerie piratées envoient de véritables messages.
• Regardez ce qu'un message vous demande et par quel canal, pas son apparence.
• Réflexe : stop, vérification par votre propre canal, question en cas de doute.

Quiz

Exercice

Exercice A3.1 : Reconnaître les techniques de manipulation. Vous recevez six messages fictifs. Choisissez pour chaque message les techniques qu'il contient (urgence, autorité, peur, curiosité, récompense) et ce que vous devez faire : traiter normalement, ou vérifier d'abord par votre propre canal. Le programme corrige vos réponses et explique, pour chaque message, ce que vous avez manqué.

Pour aller plus loin

Les étapes décrites dans les articles de WebOké s'appliquent à l'environnement de WebOké ; chez d'autres fournisseurs, le fonctionnement est comparable.

• Cet e-mail provient-il réellement de WebOké ? Reconnaître le phishing et utiliser le code promotionnel
• ANSSI (Agence nationale de la sécurité des systèmes d'information) : https://cyber.gouv.fr/
• Cybermalveillance.gouv.fr, informations sur le phishing : https://www.cybermalveillance.gouv.fr/
• Signal Spam, pour signaler les e-mails de phishing : https://www.signal-spam.fr/