Phishing : analyser un message suspect sans cliquer

Niveau : débutant.

Prérequis : savoir lire une adresse électronique, reconnaître un nom de domaine et utiliser les fonctions d’affichage de ton client de messagerie. Aucun outil d’analyse, compte de test ou connaissance des en-têtes techniques n’est nécessaire.

L’exercice porte uniquement sur le message fictif reproduit dans l’article. Aucun lien ne doit être ouvert, aucune URL ne doit être saisie et aucune pièce jointe réelle ne doit être téléchargée, prévisualisée ou manipulée.

Un message de phishing cherche à provoquer une action utile à l’escroc : transmettre un secret, ouvrir une page trompeuse, payer, appeler un faux support ou exécuter un fichier. Son apparence peut être soignée, reprendre un logo exact, citer un collègue ou arriver depuis un compte réellement compromis. Une faute d’orthographe peut alerter, mais son absence ne prouve rien.

Commence donc par une règle simple : ne clique pas, ne réponds pas et n’ouvre pas la pièce jointe pendant l’analyse. Pose l’appareil si l’émotion monte. Observe le message comme un ensemble d’indices dont aucun ne suffit toujours à lui seul : contexte inattendu, identité affichée, adresse complète, domaine, destination du lien, demande sensible, urgence et canal proposé.

La fiche réflexe de Cybermalveillance.gouv.fr recommande notamment de ne pas communiquer d’information sensible par message, de contrôler l’adresse du site et de contacter directement l’organisme en cas de doute. Cette discipline évite de laisser le message choisir lui-même le moyen de vérification.

Un signal faible est une incohérence à vérifier, pas une preuve. Demande-toi si le message était attendu, si la demande correspond au rôle annoncé et si le moment est plausible. Une facture inconnue, un changement bancaire ou une réinitialisation non sollicitée appellent davantage de prudence.

Une fenêtre très courte, une menace de fermeture, une récompense ou une consigne de secret réduisent le temps de réflexion. L’urgence peut être légitime, mais elle n’annule jamais le contrôle. La CISA conseille de repérer les demandes inattendues, le langage urgent et les liens suspects. Un message peut aussi provenir d’un contact dont le compte a été compromis.

Relève les ruptures : formule générique, langue inhabituelle, signature incohérente ou contournement du portail habituel. Accumule les faits sans inventer un scénario.

Le nom visible, par exemple « Service RH », est un libellé qui peut masquer une autre adresse. Affiche les détails de l’expéditeur avec la fonction normale du client, sans répondre. Lis l’adresse complète entre chevrons ou dans le panneau prévu. La RFC 5322 décrit la structure d’un message Internet et la distinction entre nom affiché et adresse ; le format ne garantit pas l’identité.

Dans alertes@connexion.exemple.net, le domaine est la partie après @. Lis-le de droite à gauche : .net est le suffixe, exemple le domaine enregistré et connexion un sous-domaine. Un mot rassurant placé à gauche ne transforme pas un autre domaine en domaine officiel.

Compare les caractères : tiret ajouté, lettre doublée ou suffixe différent. Une adresse exacte n’innocente pourtant pas le message, car le compte peut être compromis. Pour une demande sensible, le contexte et une vérification indépendante restent nécessaires.

Le texte d’un bouton peut annoncer « Portail officiel » tout en pointant ailleurs. Sur ordinateur, de nombreux clients montrent la destination dans une zone d’état quand le pointeur reste au-dessus, sans clic. Utilise seulement une fonction qui affiche la destination. Sur écran tactile, évite l’appui prolongé si son comportement est incertain.

Ne colle pas la destination dans un navigateur, un moteur de recherche ou un service public. Identifie l’hôte entre le schéma et le premier /. Dans hxxps://connexion-rh.exemple-verification.invalid/session, l’hôte est connexion-rh.exemple-verification.invalid. Les caractères après le premier / appartiennent au chemin et peuvent reprendre une marque.

Une destination cohérente ne certifie pas la page. Redirections, affichage tronqué ou service légitime détourné limitent l’analyse. Si l’adresse est ambiguë, signale le message. Pour accéder au service, utilise ensuite un favori habituel ou une adresse déjà connue, jamais celle du message.

L’urgence cherche souvent à remplacer une décision par un réflexe. Reformule la demande sans le compte à rebours : connexion, paiement ou ouverture d’un document. Plus elle touche à un mot de passe, un code MFA, des coordonnées bancaires ou une donnée sensible, plus la validation doit être forte.

Une pièce jointe inattendue reste non fiable, même si son nom paraît banal. Ne la télécharge pas, ne l’ouvre pas, ne la prévisualise pas et ne change pas son extension. Un filtre silencieux ne prouve pas son innocuité.

Le guide ANSSI destiné aux TPE et PME invite à vérifier si l’expéditeur est connu, si l’information était attendue et si le lien correspond au sujet. Dans une organisation, transmets le message à l’équipe habilitée selon la procédure, sans improviser une manipulation.

Une vérification n’est indépendante que si ses coordonnées ne viennent pas du message suspect. N’utilise ni son bouton, ni son numéro, ni son adresse de réponse. Pour une entreprise, pars du site connu saisi manuellement, d’un favori déjà enregistré, d’un annuaire interne ou d’un contrat antérieur. Pour un collègue, utilise le canal habituel ou appelle un numéro déjà enregistré.

Pose une question précise : « Une demande de validation de dossier a-t-elle été envoyée aujourd’hui ? » Ne transfère pas le lien et ne lis pas un code secret. Si le contact confirme une demande, vérifie encore le moyen normal de l’exécuter. Un compte compromis peut envoyer une vraie conversation suivie d’une fausse instruction. Une confirmation sur le même fil ne constitue donc pas toujours un second facteur de confiance.

Si le message concerne un compte, ouvre séparément le portail habituel et consulte les notifications internes. Si aucune alerte n’y figure, ne conclus pas seul que tout va bien, mais conserve cette absence comme un fait. L’objectif est de déplacer la décision vers une source déjà établie, pas de prouver techniquement l’origine du courriel depuis ta boîte de réception.

Utilise le bouton de signalement intégré ou le canal défini par l’organisation. Évite le transfert ordinaire si une procédure spéciale conserve mieux les informations techniques.

Transmets des faits : heure, nom affiché, adresse complète, objet, demande, domaine, pièce jointe annoncée et action déjà réalisée. Précise si aucun clic, aucune réponse et aucune ouverture n’ont eu lieu. N’envoie pas de donnée sensible vers un service public sans autorisation.

Après un clic, la saisie d’un secret, une approbation MFA ou l’ouverture d’un fichier, arrête l’interaction et contacte immédiatement l’équipe sécurité par le canal officiel. N’efface pas les traces et n’improvise pas la suite.

Analyse uniquement cette transcription. Elle ne contient aucun lien actif et aucune pièce jointe n’est fournie.

De : Service RH <rh-securite@exemple-support.invalid>
Répondre à : assistance@exemple-support.invalid
Objet : Action requise avant 16 h

Bonjour Camille,
Une anomalie bloque ton dossier. Confirme ton identité dans les 30 minutes
ou ton accès sera suspendu.

Bouton affiché : Consulter mon dossier
Destination montrée par le client :
hxxps://connexion-rh.exemple-verification.invalid/session

Pièce jointe annoncée, absente de cet exercice : Releve_Salaire.zip
Signature : Équipe Ressources humaines

Crée un tableau local avec les colonnes fait observé, interprétation possible, limite et action sûre. Relève au moins six faits. Sépare le nom affiché de l’adresse complète, extrais les domaines après @, compare le bouton et l’hôte de destination, puis note l’urgence, la demande de connexion et la pièce jointe annoncée. Propose un canal indépendant fictif, par exemple l’annuaire interne déjà connu, et termine par une décision de signalement.

N’essaie pas de résoudre les domaines, de transformer hxxps en https, d’ouvrir une URL ou de créer le fichier annoncé.

Critère observable

L’exercice est réussi si ton tableau contient au moins six faits exacts, qualifie le message de suspect sans affirmer une compromission certaine, identifie exemple-support.invalid et exemple-verification.invalid comme deux domaines distincts, refuse le clic et la pièce jointe, choisit un canal indépendant et recommande un signalement. Il doit aussi mentionner qu’une adresse cohérente ou un message bien écrit ne suffirait pas à prouver la légitimité.

• Faire confiance au logo ou au nom affiché. Ces éléments sont faciles à copier et ne remplacent pas l’adresse complète.
• Chercher une faute obligatoire. Un message frauduleux peut être grammaticalement correct et contextualisé.
• Cliquer pour voir où mène le bouton. La destination doit être observée par une fonction d’affichage, sans navigation.
• Répondre pour demander une confirmation. La réponse reste dans le canal potentiellement contrôlé.
• Appeler le numéro inclus dans le message. Retrouve une coordonnée déjà connue et indépendante.
• Ouvrir la pièce jointe parce que son extension semble familière. Le nom, l’icône et le résultat d’un premier filtre ne prouvent pas l’innocuité.
• Déclarer le phishing sur un seul indice. Un domaine inhabituel peut appartenir à un prestataire légitime ; accumule les faits et escalade le doute.
• Croire qu’une authentification technique visible suffit. Elle peut confirmer un domaine ou un chemin de transport sans garantir que la demande métier est saine.

Cette méthode améliore une décision de premier niveau, mais ne remplace ni l’analyse des en-têtes par une équipe habilitée, ni les contrôles de la passerelle, ni la réponse à incident. L’affichage varie selon le client, certaines destinations sont tronquées et une infrastructure légitime peut être détournée. En cas d’ambiguïté, l’action sûre reste de ne pas interagir, de vérifier ailleurs et de signaler.