Article · Cybersécurité
Reconnaître un message de phishing sans se fier au seul logo
Une méthode de vérification du contexte, du domaine et de la demande avant de cliquer ou de répondre.
L’urgence est un signal, pas une preuve
Un message de phishing essaie souvent de réduire le temps disponible : compte bientôt fermé, facture à confirmer, document à signer immédiatement. L’urgence ne prouve pas la fraude, mais elle justifie une pause. Ne répondez pas au message pour vérifier son authenticité ; utilisez un canal déjà connu.
La CISA recommande de se méfier des demandes inattendues, des liens et des pièces jointes. Le but n’est pas de reconnaître une esthétique particulière : les campagnes peuvent copier une identité visuelle avec beaucoup de précision.
Vérifier le contexte
Demandez-vous si vous attendiez cette action, si le montant et le nom du service correspondent, et si le canal est habituel. Une adresse d’expéditeur affichée peut être trompeuse ; regardez le domaine réel et les éventuelles substitutions de caractères. Survolez un lien sans l’ouvrir et préférez saisir vous-même l’adresse officielle.
Une pièce jointe inattendue mérite la même prudence, même si elle vient d’un contact connu : son compte peut être compromis. Confirmez par un autre moyen que le numéro ou l’adresse indiqués dans le message.
Ne pas transformer le doute en panique
Si vous avez cliqué, ne cherchez pas à cacher l’événement. Fermez la page, déconnectez la session si nécessaire et prévenez le responsable prévu par votre organisation. Changez un secret seulement depuis un appareil et une adresse de confiance ; activez l’authentification multifacteur si elle est disponible.
Conservez l’original du message selon la procédure interne, sans le transférer à toute l’équipe. Une capture seule perd parfois les en-têtes utiles à l’analyse.
Faire de la vérification une habitude
Les contrôles les plus fiables sont courts : confirmer le contexte, inspecter le domaine, passer par un favori connu, vérifier la demande auprès d’un second canal. La fiche OWASP sur l’authentification rappelle aussi l’intérêt de mécanismes qui ne reposent pas uniquement sur un mot de passe.
Pour comprendre les passkeys et leurs limites, consultez notre introduction dédiée.
Sources et limites
Sources vérifiées le 21 septembre 2026 : CISA Phishing et OWASP Authentication. Aucun exemple ne reprend un message réel ou une marque.