Vérifier si un e-mail est une arnaque en 5 minutes
Un message vous paraît louche ? Voici la vérification en cinq étapes : en-têtes, domaine expéditeur, réputation, pièces jointes et liens. Sans jamais cliquer.
La règle absolue : ne cliquez sur rien
Avant toute analyse, posez-vous cette discipline. Un lien de courriel frauduleux n'a pas besoin que vous saisissiez quoi que ce soit : le simple fait de l'ouvrir confirme à l'expéditeur que votre adresse est active et lue, ce qui vous vaudra d'être revendu comme cible de qualité. Les images distantes font la même chose silencieusement, c'est à cela que servent les pixels de suivi.
Désactivez le chargement automatique des images dans votre messagerie, et ne répondez jamais, même pour dire d'arrêter. Tout ce qui suit s'obtient sans ouvrir un seul lien.
Étape 1 : lire la vraie adresse d'expédition
Le nom affiché par votre messagerie est purement décoratif, et n'importe qui peut écrire « Service client » ou le nom de votre banque. Ce qui compte est l'adresse réelle, que votre logiciel masque souvent derrière ce nom.
Affichez-la, puis regardez le domaine qui suit l'arobase, et lui seul. Les fraudeurs jouent sur quatre procédés :
banque.securite-client.net n'appartient pas à la banque, mais à securite-client.net. Le vrai domaine est toujours la partie qui précède immédiatement l'extension.rn qui imite un m, un 1 pour un l, un zéro pour un O.а cyrillique est visuellement identique au a latin. On parle d'attaque homographe, et l'œil ne la détecte pas..co au lieu de .com, .org au lieu de .fr.Catphish génère et teste précisément ces variantes typographiques pour un domaine donné, ce qui permet de vérifier si l'adresse reçue en est une.
Étape 2 : analyser les en-têtes, là où se trouve la vérité
Les en-têtes sont le trajet complet du message, serveur par serveur, et ils sont beaucoup plus difficiles à falsifier que le corps du courriel. Dans la plupart des messageries, l'option s'appelle « Afficher l'original » ou « Voir la source ».
Trois lignes décident à elles seules :
| En-tête | Ce qu'il dit | Verdict |
|---|---|---|
SPF | Le serveur était-il autorisé à envoyer pour ce domaine ? | fail : expéditeur usurpé |
DKIM | La signature cryptographique du message est-elle valide ? | fail : contenu altéré ou usurpé |
DMARC | Que demande le domaine quand les deux précédents échouent ? | reject ignoré : message douteux |
Lisez ensuite les lignes Received, de bas en haut : elles retracent le chemin réel. Un message qui se prétend français mais dont le premier serveur est dans un pays sans rapport raconte déjà son histoire.
MxToolbox analyse un bloc d'en-têtes collé et explique chaque anomalie en clair, ce qui évite d'avoir à les déchiffrer soi-même.
Étape 3 : enquêter sur le domaine expéditeur
Un domaine créé il y a trois jours pour vous écrire au nom d'une banque centenaire est en soi la réponse.
Interrogez son enregistrement avec ICANN Lookup, qui fait foi, et regardez la date de création. La grande majorité des domaines de hameçonnage ont moins d'un mois. Vérifiez ensuite son historique d'hébergement avec Netcraft : un domaine légitime a une trajectoire, un domaine jetable n'en a aucune.
→ Savoir à qui appartient un domaineÉtape 4 : vérifier la réputation, sans ouvrir le lien
PhishTank et OpenPhish recensent les adresses de hameçonnage signalées et confirmées par la communauté. Une correspondance clôt le dossier.
EmailRep attribue une réputation à l'adresse expéditrice elle-même, en tenant compte de son ancienneté et de son comportement observé. Spamhaus et Multirbl disent si le serveur d'envoi figure sur les listes de blocage de référence.
Pour la page de destination, Browserling l'ouvre dans un navigateur distant et jetable : vous voyez le contenu sans que votre machine ni votre adresse ne soient jamais exposées. C'est la seule façon sûre de regarder où mène un lien.
→ Vérifier si un site est dangereuxÉtape 5 : la pièce jointe, sans jamais l'ouvrir
Ne l'ouvrez sous aucun prétexte, pas même dans un aperçu. Téléchargez-la sans l'exécuter, puis soumettez-la à VirusTotal, qui l'analyse avec des dizaines de moteurs simultanément.
Pour comprendre ce que le fichier ferait réellement, ANY.RUN l'exécute dans un bac à sable isolé et vous montre son comportement : connexions réseau tentées, fichiers créés, persistance installée.
Un avertissement important : ne soumettez jamais un document contenant des données confidentielles à ces services. Les analyses publiques sont consultables par d'autres, et des documents internes d'entreprises s'y retrouvent régulièrement exposés par ce seul geste.
Méfiez-vous particulièrement des extensions doubles comme facture.pdf.exe, des archives protégées par mot de passe fourni dans le message, ce qui sert uniquement à contourner les antivirus, et des documents bureautiques réclamant l'activation des macros.
Les signaux qui ne trompent pas
L'urgence fabriquée. « Votre compte sera suspendu sous 24 heures. » Aucune administration ni banque ne fonctionne ainsi. L'urgence existe pour court-circuiter votre réflexion, c'est son unique fonction.
La salutation générique. Votre banque connaît votre nom. « Cher client » signale un envoi de masse.
Le canal incohérent. Une administration ne réclame pas un paiement par message, ni un remboursement contre vos coordonnées bancaires.
La langue. Les traductions automatiques se sont beaucoup améliorées, mais les formules de politesse restent souvent mal calibrées, trop solennelles ou trop familières pour le contexte.
La pression au secret. « Ne parlez de cette opération à personne. » C'est la marque de la fraude au président et de l'arnaque sentimentale.
Si vous avez déjà cliqué ou saisi quelque chose
Agissez dans cet ordre, il est optimisé pour limiter les dégâts.
1. Coupez le réseau de la machine si vous avez ouvert une pièce jointe, avant toute autre chose.
2. Changez le mot de passe concerné depuis un autre appareil, jamais depuis celui qui est peut-être compromis.
3. Changez-le partout où il était réutilisé. C'est l'étape que tout le monde néglige, et c'est par elle que la compromission se propage.
4. Activez la double authentification sur les comptes touchés.
5. Vérifiez l'exposition de votre adresse avec Have I Been Pwned et surveillez-la ensuite.
6. Prévenez votre banque si des coordonnées bancaires ont été saisies, et faites opposition.
7. Signalez sur la plateforme officielle de votre pays. En France, le dispositif est Signal Spam et la plateforme Pharos.
→ Savoir si un e-mail a fuitéQuestions fréquentes
Peut-on savoir qui a envoyé un courriel frauduleux ?
Rarement l'auteur réel, qui passe par des serveurs compromis et des identités volées. En revanche on identifie presque toujours l'infrastructure employée, ce qui permet de la signaler et de la faire fermer.
Ouvrir un courriel suffit-il à être infecté ?
Ouvrir le message seul, non, dans une messagerie à jour. Mais le chargement des images distantes confirme que votre adresse est lue, et l'ouverture d'une pièce jointe, elle, suffit largement.
Les en-têtes peuvent-ils être falsifiés ?
Le champ « De » se falsifie trivialement. Les lignes Received ajoutées par les serveurs intermédiaires, et les vérifications SPF et DKIM, sont nettement plus difficiles à truquer. C'est pour cela qu'on s'y fie.
Que faire d'un courriel suspect reçu au travail ?
Ne le supprimez pas et ne le transférez pas à vos collègues. Signalez-le à votre service informatique par le canal prévu : s'il s'agit d'une campagne ciblée, vos collègues l'ont reçu aussi, et le message est une pièce.
Aller plus loin
Le copilote d'enquête construit ce plan à partir d'une adresse e-mail et pré-remplit chaque requête. La catégorie adresses e-mail rassemble tous les outils cités, et le défi « Adresse Suspecte » de la sandbox reprend cette méthode sur un cas fabriqué.
Pratiquer ces techniques
Mettez en œuvre ce que vous venez d'apprendre avec nos outils interactifs.