Comment Repérer un E-mail de Phishing dans Gmail

Gmail bloque désormais plus de 99,9 % du spam, du phishing et des logiciels malveillants avant qu’ils ne vous atteignent — environ 10 millions de spams chaque minute, selon les chiffres de Google. Le problème, c’est la fraction qui passe : ce sont les messages assez bien conçus pour tromper un filtre automatique, donc assez bien conçus pour tromper aussi un humain pressé. Je reçois un faux convaincant toutes les quelques semaines, et ceux qui atterrissent ne sont jamais les plus grossiers. Voici exactement comment repérer un e-mail de phishing dans Gmail — lire les bannières d’alerte, vérifier le vrai expéditeur, tester les liens sans risque et savoir quoi faire dès qu’on vous réclame votre mot de passe.

À quoi ressemble le phishing dans Gmail

Le phishing est un message qui se fait passer pour une personne de confiance afin de vous soutirer un mot de passe, un paiement ou des données personnelles. Dans Gmail, il arrive sous les traits d’une marque ou d’un contact que vous reconnaissez, avec une raison d’agir tout de suite et un lien ou une pièce jointe qui font le vol.

Le dispositif national Cybermalveillance.gouv.fr définit l’hameçonnage comme une technique visant à tromper l’internaute pour l’inciter à communiquer des données personnelles ou bancaires. Le but est toujours le même : vous faire faire quelque chose que vous ne feriez pas si vous preniez le temps de réfléchir. Dans Gmail, ce « quelque chose » se résume presque toujours à trois gestes : cliquer sur un lien vers une fausse page de connexion, télécharger une pièce jointe qui installe un logiciel malveillant, ou répondre avec des informations qu’il ne faut jamais envoyer par e-mail.

Ce qui rend le phishing moderne difficile, c’est le vernis. Les versions amateurs — français approximatif, adresse inconnue, arnaque évidente — Gmail les filtre par millions. Celles qui atteignent votre boîte empruntent de vrais logos, copient le ton exact d’une entreprise et usurpent un nom d’expéditeur que vous connaissez. La question n’est donc jamais « est-ce que ça a l’air professionnel ? » mais « puis-je vérifier, par moi-même, que c’est réel ? » Le reste de ce guide explique comment y répondre en moins d’une minute, sans mordre à l’hameçon.

Lire les bannières d’alerte de Gmail

Gmail signale les messages à risque par une bannière colorée avant même que vous ne lisiez. Une bannière rouge signifie qu’il soupçonne fortement un hameçonnage et vous dit de ne pas cliquer ni répondre ; une bannière jaune signifie qu’il n’a pas pu vérifier l’expéditeur. Un message qui porte encore un avertissement a déjà échoué à un contrôle automatique — faites confiance à la bannière.

Gmail fait une grande partie du travail à votre place, et la plupart des gens ignorent le signal le plus évident : la bannière en haut du message. D’après l’Aide Gmail de Google, Gmail affiche ces avertissements lorsqu’il détecte un risque :

• Bannière rouge — hameçonnage probable. Gmail soupçonne une tentative de vol d’informations et conseille de ne pas cliquer sur les liens, télécharger les pièces jointes ni répondre. C’est l’avertissement le plus fort de Gmail. Ne discutez pas avec lui.
• Bannière jaune — expéditeur non vérifié. Gmail n’a pas pu confirmer l’identité de l’expéditeur, souvent parce que l’adresse a été usurpée ou que le domaine a échoué à l’authentification. Le message peut être légitime, mais considérez-le comme coupable tant que vous ne l’avez pas vérifié autrement.
• Mentions d’usurpation et d’expéditeur non confirmé. Gmail signale aussi les adresses qui ressemblent à celles que vous connaissez et les expéditeurs dont il ne peut confirmer l’identité — deux montages classiques du phishing.

Ces bannières ne sont pas de la prudence d’affichage. Google indique que Gmail bloque plus de 99,9 % du spam, des tentatives d’hameçonnage et des malwares. Un message qui a franchi cela et porte quand même un avertissement est, statistiquement, du genre dangereux. La bannière est le signal le moins coûteux que vous obtiendrez jamais — lisez-la en premier, à chaque fois, avant même de lire l’e-mail.

Vérifier le vrai expéditeur

Le nom affiché n’est qu’un décor ; l’adresse après l’arobase, c’est la vérité. Cliquez ou appuyez sur le nom de l’expéditeur pour déplier l’adresse réelle, puis traquez les domaines sosies, les webmails publics déguisés en entreprise et tout écart entre la marque et le domaine.

« Équipe Sécurité PayPal » est une étiquette que n’importe qui peut taper. En dessous peut se cacher securite@paypa1-alertes.com — et c’est cette partie qui vous dit s’il faut faire confiance. Dans Gmail, cliquez sur le nom de l’expéditeur sur ordinateur (ou touchez la flèche sur mobile) pour déplier l’adresse complète. Puis lisez-la comme un enquêteur :

• Domaines sosies. paypa1.com avec un chiffre un, microsoft-support.co, amaz0n-facturation.net. Les attaquants enregistrent des domaines qu’un coup d’œil confond avec le vrai.
• Webmails publics en uniforme. Une banque, un transporteur ou une administration qui vous écrit depuis @gmail.com ou @outlook.com est un faux quasi certain. Les vraies organisations envoient depuis leur propre domaine.
• Écart marque-domaine. L’e-mail prétend venir de votre banque, mais le domaine après l’arobase n’a rien à voir avec elle. Cet écart, c’est toute l’arnaque.

Quand une adresse semble plausible mais que vous doutez, retrouvez l’entreprise par un canal en lequel vous avez déjà confiance — tapez vous-même son URL ou utilisez un numéro figurant sur votre carte, jamais celui de l’e-mail. Si vous voulez confirmer ce qu’un expéditeur connu vous a déjà écrit, recherchez dans Gmail par expéditeur pour comparer ce message à son historique réel ; un changement soudain de ton, de domaine ou de mise en forme est un indice. L’adresse est l’endroit où la plupart des hameçonnages s’effondrent — il est juste facile de glisser sur le nom affiché et de ne jamais regarder dessous.

Inspecter les liens avant de cliquer

Ne vous fiez jamais au texte du lien — fiez-vous à la destination. Sur ordinateur, survolez un lien et lisez la vraie URL en bas à gauche ; sur mobile, appuyez longuement pour l’afficher en aperçu. Si le texte visible et l’adresse réelle ne concordent pas, ou si le domaine est mal orthographié ou inconnu, ne cliquez pas.

Le lien est l’endroit où un hameçonnage opère, et c’est aussi là qu’il se trahit. Un bouton « Vérifier votre compte » peut mener n’importe où. Avant de cliquer, forcez la vraie destination à se montrer :

• Sur ordinateur, posez le curseur sur le lien sans cliquer. Gmail affiche l’URL réelle en bas à gauche de la fenêtre. Comparez-la au texte visible.
• Sur mobile, appuyez et maintenez le lien jusqu’à voir un aperçu, puis lisez le domaine avant de décider.

Ce que vous vérifiez est simple : la destination correspond-elle au vrai domaine de l’expéditeur, et est-elle bien orthographiée ? Les conseils de Google sur l’hameçonnage comme les organismes de protection recommandent de vérifier où mène un lien avant de le suivre, car une entreprise légitime n’a aucune raison de le dissimuler. Deux règles de plus : les liens raccourcis (bit.ly et compagnie) masquent leur destination, donc méfiez-vous-en dans un courrier inattendu ; et une page de connexion atteinte depuis un lien d’e-mail ne devrait jamais être l’endroit où vous tapez votre mot de passe — ouvrez le site vous-même. Le même réflexe vaut pour les pièces jointes : une facture inattendue, un « bon de livraison » ou un fichier « messagerie vocale » sont des vecteurs de malware courants, donc confirmez avec l’expéditeur par un autre canal avant d’ouvrir quoi que ce soit.

Le langage d’un hameçonnage

Le phishing manipule l’émotion pour court-circuiter le jugement. Les indices : l’urgence (« agissez sous 24 heures »), la menace (« votre compte va être suspendu ») et des demandes qu’aucune entreprise sérieuse ne fait par e-mail — votre mot de passe, votre numéro de carte complet ou un paiement en cartes cadeaux.

Au-delà des signaux techniques, le phishing a une voix, et une fois que vous l’entendez, vous ne pouvez plus l’ignorer. Le script est conçu pour vous faire agir avant de réfléchir :

• Urgence fabriquée. « Votre compte sera fermé sous 24 heures. » « Connexion suspecte — confirmez maintenant. » La pression est le but ; elle vous empêche de vérifier.
• Menace ou peur. Suspension, amende, alerte de fraude, colis bloqué en douane. La peur fait cliquer.
• Demandes qu’aucune vraie entreprise ne fait. Selon Google, Gmail « ne vous demandera jamais vos informations personnelles, comme votre mot de passe, par e-mail » — et votre banque non plus. Une demande de mot de passe, de code PIN, de numéro de carte complet ou de code à usage unique, c’est du phishing, point.
• Trop beau pour être vrai. Un remboursement qui vous serait dû, un prix, un héritage, une fortune en cryptos. Si vous n’avez pas joué, vous n’avez pas gagné.
• Détails qui sonnent faux. Un « Cher client » générique, de petites fautes, un logo légèrement déformé, une adresse de réponse différente de celle de l’expéditeur.

Aucun indice seul n’est une preuve — une vraie entreprise peut paraître pressée. Mais l’urgence plus une demande d’identifiants plus un lien vers un domaine inconnu n’est pas une coïncidence ; c’est la recette. Quand la pression émotionnelle et l’incohérence technique s’alignent, vous avez un hameçonnage sous les yeux. Faire confiance à ce réflexe, c’est aussi ne pas sur-signaler le courrier normal : si une vraie newsletter vous agace, marquez-la comme non indésirable et désabonnez-vous, plutôt que de traiter chaque e-mail importun comme une attaque.

Signaler et supprimer

Signaler vaut mieux que supprimer. Ouvrez le message, cliquez sur Plus (les trois points) à côté de Répondre et choisissez Signaler comme hameçonnage — Gmail le supprime et s’en sert pour protéger tout le monde. Puis supprimez-le. Ne répondez jamais, même pour vous « désabonner », car une réponse confirme que votre adresse est active.

Supprimer un hameçonnage vous protège ; le signaler protège tout le monde, vous compris demain. D’après l’Aide Gmail de Google, la marche à suivre est :

1. Ouvrez le message suspect.
2. Cliquez sur Plus (le menu à trois points) à côté de Répondre.
3. Sélectionnez Signaler comme hameçonnage.

Gmail supprime alors le message et le réinjecte dans le filtre, affinant la détection de ce schéma d’attaque. Si Gmail a signalé à tort un vrai e-mail, le même menu propose Signaler comme non frauduleux pour corriger. La chose à ne pas faire, c’est répondre — ni pour protester, ni pour demander « c’est réel ? », ni même via le lien de « désabonnement » dans un hameçonnage présumé, car toute réponse indique à l’attaquant que l’adresse est surveillée et mérite d’autres attaques. Si votre boîte croule sous le spam au point de masquer les vraies menaces, savoir signaler le spam régulièrement et vider votre dossier spam maintient un rapport signal/bruit assez bon pour qu’un vrai hameçonnage ressorte au lieu de se fondre dans la masse.

Si vous avez déjà cliqué

Agissez vite et contenez. Si vous avez saisi un mot de passe, changez-le maintenant et activez la validation en deux étapes ; changez-le partout où vous l’aviez réutilisé. Analysez votre appareil, surveillez vos comptes, prévenez l’informatique s’il s’agit d’un compte pro, puis signalez le message d’origine.

Tomber dans un hameçonnage n’est pas la catastrophe — ne pas réagir l’est. Si vous avez cliqué sur un lien ou, pire, saisi quelque chose dans une fausse page, suivez cet ordre :

• Mot de passe d’abord. Si vous l’avez saisi, changez-le immédiatement sur le vrai site, et partout où vous l’aviez réutilisé. La réutilisation transforme un hameçonnage en cinq comptes compromis.
• Activez la validation en deux étapes. Elle bloque un attaquant qui a déjà votre mot de passe. Si le compte était votre compte Google, passer en revue vos options de récupération de compte et les sécuriser est la priorité.
• Analysez votre appareil. Si vous avez téléchargé ou ouvert une pièce jointe, lancez une analyse antimalware avant toute autre action sensible.
• Surveillez la fraude. Vérifiez vos relevés bancaires et l’activité récente de votre compte Google pour repérer ce que vous n’avez pas fait. Si Gmail lui-même semble anormal — courrier envoyé étrange, paramètres modifiés —, suivez sans tarder les étapes en cas de compte compromis.
• Alertez au travail. Un compte pro signifie un risque pour l’organisation. Prévenez immédiatement votre service informatique ou sécurité ; la rapidité limite les dégâts.
• Signalez. Enfin, signalez le message d’origine dans Gmail pour que l’attaque soit consignée et que d’autres soient protégés.

La fenêtre entre le clic et l’action de l’attaquant est votre avantage. Servez-vous-en.

Verdict

Repérer un e-mail de phishing dans Gmail tient en quatre habitudes : lire la bannière d’alerte, déplier la vraie adresse de l’expéditeur, survoler les liens avant de cliquer et traiter toute demande de mot de passe ou de paiement comme hostile. Gmail attrape 99,9 % ; ces vérifications couvrent le reste.

Idéal pour : quiconque veut un réflexe répétable, en moins d’une minute, plutôt qu’une vague prudence. Bannière, expéditeur, liens, langage — passez ces quatre contrôles sur tout ce qui vous demande d’agir, et les faux soignés qui passent les filtres de Gmail cessent d’être un pari.

Attention si : vous prenez l’absence d’avertissement pour un feu vert. Les 99,9 % de Gmail sont excellents, pas parfaits, et le phishing le plus dangereux est précisément celui conçu pour arriver sans bannière. Les vérifications manuelles ne font pas double emploi avec le filtre — elles comblent le vide qu’il laisse.

Lisez la bannière en premier, faites confiance à l’adresse plutôt qu’au nom affiché, ne cliquez jamais sur un lien non inspecté, et signalez plutôt que de répondre. Associez ces habitudes à une boîte plus calme, et le rare hameçonnage qui vous atteint tombe sur un lecteur qui le guette au lieu d’un lecteur qui passe en courant.

Alexis Dollé

Fondateur & Rédacteur

Alexis Dollé, expert e-mail depuis plus de 10 ans. Fondateur d’Email Tools. Je teste moi-même chaque client de messagerie et chaque outil, puis j’en parle comme je l’expliquerais à un ami — sans blabla marketing, sans classement sponsorisé, chaque affirmation sourcée.

LinkedIn

À lire aussi : Que faire si votre compte Gmail est compromis — les gestes après une attaque réussie. Comment signaler le spam dans Gmail — garder le filtre affûté et la boîte calme. Vérifier votre dossier spam Gmail — où atterrit le phishing signalé.