Comment reconnaître le phishing?

Le phishing ne se limite d’ailleurs plus depuis longtemps aux e-mails. Les cybercriminels utilisent également les SMS, WhatsApp, les codes QR, les appels téléphoniques et les réseaux sociaux pour tenter de voler vos données ou votre argent.

Qu’est-ce que le phishing?

Avec le phishing, des cybercriminels se font passer pour une personne ou une organisation en qui vous avez confiance. Ils essaient par exemple de vous diriger vers un faux site web, de vous faire ouvrir un fichier ou de vous inciter à partager des données sensibles comme vos mots de passe, vos coordonnées bancaires ou vos codes personnels.

Ils jouent souvent sur des situations très courantes. Pensez à un message de votre banque, à un problème avec un colis, à un prétendu remboursement de l’administration ou à une alerte vous demandant de sécuriser votre compte de toute urgence.

Le message ne doit d’ailleurs pas forcément paraître suspect. Les logos, les couleurs, les sites web et le style de communication peuvent être imités de manière très convaincante. Grâce à l’IA générative, les fraudeurs peuvent également rédiger des messages impeccables en français ou en néerlandais et reproduire le ton de grandes entreprises. Les fautes d’orthographe ne constituent donc plus un critère fiable pour reconnaître le phishing.

Quels messages de phishing sont les plus fréquents?

Le phishing peut prendre de nombreuses formes, mais certains scénarios reviennent régulièrement.

Un message de votre banque

Vous recevez un e-mail, un SMS ou un appel vous informant d’un problème avec votre compte ou votre carte bancaire. On vous demande par exemple de confirmer rapidement votre identité, d’annuler un paiement suspect ou de demander une nouvelle carte.

Ne cliquez pas simplement sur le lien reçu et ne communiquez jamais votre code PIN, votre mot de passe ou d’autres codes de sécurité personnels. En cas de doute, ouvrez vous-même l’application officielle de votre banque ou contactez-la via un numéro de téléphone que vous avez recherché vous-même.

Un problème avec un colis

Vous recevez un message indiquant qu’un colis ne peut pas être livré parce que vous devez encore payer un petit montant ou confirmer votre adresse. Ces messages semblent souvent provenir d’un service de livraison connu.

Vous attendez effectivement un colis? Vérifiez alors directement son statut via le site officiel ou l’application du service de livraison, plutôt que via le lien contenu dans le message. Safeonweb met régulièrement en garde contre ce type de faux messages de livraison.

Un message d’un service public

Les fraudeurs se font également passer pour des organismes publics, par exemple pour vous annoncer un remboursement, une amende ou un paiement en attente. Ils essaient ensuite de vous diriger vers un faux site sur lequel vous devez saisir des données personnelles ou financières.

En cas de doute, rendez-vous directement sur le site officiel ou dans l’application du service public concerné.

Votre compte aurait été piraté

Autre grand classique: un message vous informant que votre compte a été piraté, bloqué ou qu’il sera bientôt supprimé. Vous devez soi-disant cliquer immédiatement sur un lien pour réinitialiser votre mot de passe.

Ne vous laissez pas mettre sous pression. Ouvrez vous-même le site ou l’application et vérifiez directement si votre compte présente réellement un problème.

Un proche vous demande de l’argent en urgence

Le nom ou le compte d’une personne que vous connaissez peut également être utilisé à des fins frauduleuses. Un exemple typique est le message d’une personne qui prétend avoir changé de numéro de téléphone et qui vous demande de lui transférer de l’argent de toute urgence.

Face à une demande inattendue, contactez directement cette personne via un numéro de téléphone que vous connaissiez déjà.

Comment reconnaître le phishing?

Comme les messages de phishing deviennent de plus en plus professionnels, il n’existe plus un seul signe permettant de les identifier à coup sûr. Il faut donc regarder l’ensemble du message.

1. Vérifiez l’expéditeur

Ne regardez pas uniquement le nom affiché. Vérifiez également l’adresse e-mail complète, le numéro de téléphone ou le compte utilisé.

Un logo connu ou un nom correct ne prouve rien. Les données d’un expéditeur peuvent être falsifiées et des comptes piratés peuvent également servir à envoyer des messages frauduleux.

2. Demandez-vous si vous attendiez ce message

Un message inattendu mérite toujours une attention particulière. Vous n’attendez aucun colis, remboursement, paiement ou avertissement de sécurité? Vérifiez alors l’information via un autre canal.

Même si le contexte semble correspondre à votre situation, par exemple parce que vous attendez justement un colis, il peut toujours s’agir de phishing.<

3. Méfiez-vous de l’urgence

Les fraudeurs cherchent souvent à vous faire agir rapidement:

• « Votre compte sera bloqué aujourd’hui. »
• « Payez immédiatement pour éviter des frais supplémentaires. »
• « Confirmez vos données maintenant. »
• « J’ai besoin d’argent de toute urgence. »

Cette pression vise à vous empêcher de prendre le temps de réfléchir et de vérifier le message.

4. Ne vous fiez pas à une langue parfaite

Les fautes d’orthographe et les formulations étranges peuvent encore éveiller les soupçons, mais l’inverse n’est pas vrai. Un message parfaitement rédigé n’est pas une preuve qu’il est authentique.

Grâce à l’IA générative, les fraudeurs peuvent produire des messages professionnels et naturels dans pratiquement toutes les langues. Concentrez-vous donc surtout sur le contexte, l’expéditeur et ce que l’on vous demande de faire.

5. Vérifiez les liens, sans leur faire aveuglément confiance

Sur un ordinateur, placez votre curseur sur un lien sans cliquer afin de voir vers quelle adresse il mène. Sur un smartphone, vous pouvez souvent maintenir le doigt sur le lien pour afficher l’adresse.

Mais cela ne constitue pas non plus une garantie absolue. Un e-mail de phishing peut contenir plusieurs liens authentiques vers, par exemple, une page d’aide ou une politique de confidentialité officielle, tandis que seul le bouton principal vous dirige vers un site frauduleux. Une URL professionnelle ou la présence de https ne garantit pas non plus que le site est fiable.

En cas de doute, la solution la plus sûre est simple: ne cliquez pas sur le lien. Ouvrez vous-même l’application officielle ou saisissez directement l’adresse du site dans votre navigateur.

6. N’ouvrez pas n’importe quelle pièce jointe

Une pièce jointe peut contenir un malware ou essayer de vous convaincre de transmettre certaines données. Vous n’attendiez pas ce fichier ou vous avez un doute sur l’expéditeur ? Vérifiez d’abord via un autre canal que cette personne vous a réellement envoyé le document.

7. Soyez particulièrement prudent avec vos données sensibles

Une demande inattendue visant à obtenir votre mot de passe, votre code PIN, vos coordonnées bancaires ou vos codes de sécurité doit immédiatement éveiller votre méfiance.

Ne communiquez jamais ce type d’informations sans réfléchir par e-mail, SMS, WhatsApp ou téléphone.

Vous avez besoin de plus de conseils pour apprendre à repérer le phishing? Lisez notre article sur le sujet.

Soyez vigilants aux autres formes de fraude

Malheureusement, il existe désormais bien d’autres techniques de fraude similaires au phishing. Soyez donc vigilant aux arnaques suivantes:

• Smishing: le smishing est basiquement du phishing par SMS. Pensez par exemple aux prétendus SMS de la poste qui vous indiquent qu’un de vos colis est bloqué quelque part. Ces SMS contiennent des liens pour récupérer votre colis mais ils sont évidemment frauduleux. Soyez donc extrêmement vigilants lorsque vous recevez des liens par SMS. Outre la poste, les hackeurs se font également passer pour le SPS Finances ou pour Itsme.
• Vishing: le vishing est une technique de fraude très pernicieuse qui recourt au deepfakes pour tromper les victimes. Dans le cas du vishing, vous recevez un appel d’une banque ou d’un proche durant lequel une IA imite une voix qui parait humaine. Le but étant de vous soutirer de l’argent en vous demandant vos coordonnées bancaires
• Quishing: le quishing est une forme de phishing mais qui se base sur les QR codes. Comme les logiciels de sécurité ont du mal à lire le lien caché dans une image, l'e-mail passe au travers des filtres anti-spam. Si vous scannez le QR code reçu dans ce genre de mail, vous vous exposez à de gros risques. Réfléchissez donc à deux fois avant de scanner quoi que ce soit.
• Spoofing: avec le spoofing un fraudeur falsifie certaines informations afin qu’un message ou un appel semble provenir d’un expéditeur fiable. Le nom ou le numéro de votre banque, d’une entreprise ou même d’une personne que vous connaissez peut ainsi apparaître sur votre écran alors que l’appel provient en réalité d’un fraudeur. Ne vous fiez donc jamais uniquement au nom ou au numéro affiché et vérifiez toute demande suspecte via un canal officiel.

Que faire d’un message suspect?

Vous pensez avoir reçu un message de phishing? Ne cliquez sur aucun lien, ne scannez aucun code QR, n’ouvrez aucune pièce jointe et ne transmettez aucune donnée.

Transférez d’abord le message suspect à suspect@safeonweb.be, puis supprimez-le. Vous pouvez également envoyer une capture d’écran d’un SMS suspect. Le Centre pour la Cybersécurité Belgique analyse automatiquement les liens et les pièces jointes. Les liens malveillants peuvent ensuite être transmis à des services tels que Google Safe Browsing ou Microsoft SmartScreen afin d’avertir plus rapidement les autres internautes.

Le message semble provenir de Proximus? Vérifiez alors directement les informations via les canaux officiels de Proximus. Vous trouverez également plus d’informations dans notre FAQ consacrée au phishing et à la fraude.