E-mail suspect : comment vérifier s’il est légitime ?

Un e-mail vous semble suspect ? Vérifiez d’abord l’adresse de l’expéditeur et son domaine, puis examinez les liens et les pièces jointes sans les ouvrir en cas de doute. Si le message demande une action urgente, confirmez-la par un canal officiel trouvé indépendamment de l’e-mail. Une adresse familière ou un message sans faute ne prouvent pas qu’il est légitime.

Étape 1 : Vérifier l’adresse de l’expéditeur

Affichez les détails de l’expéditeur dans votre messagerie et lisez l’adresse entière, pas seulement le nom affiché. Un domaine qui imite celui d’une organisation est un signal d’alerte. Même si l’adresse et le domaine semblent exacts, cela ne prouve pas que le message est fiable : l’adresse affichée peut être usurpée et le compte d’un contact légitime peut être compromis. Cybermalveillance.gouv.fr rappelle que connaître l’adresse de l’expéditeur n’est pas une garantie.

Ne répondez pas à un message suspect pour lui demander s’il est authentique : contactez l’organisation par un moyen que vous connaissez déjà.

Étape 2 : Examiner les liens sans les ouvrir

Le texte visible d’un lien peut être différent de sa destination. Sur ordinateur, un survol peut afficher l’adresse cible ; sur mobile, un appui prolongé peut proposer un aperçu selon l’application. Ne touchez pas l’option qui ouvre le lien. Si l’adresse est illisible ou si vous avez un doute, renoncez au lien et ouvrez vous-même le site officiel depuis un favori ou une adresse connue, sans reprendre celle du message. Un nom de domaine ressemblant à l’original peut appartenir à un tiers.

Étape 3 : Repérer les demandes inhabituelles

Une demande pressante de paiement, de mot de passe ou de code de confirmation, ainsi qu’une pièce jointe inattendue, doit vous faire interrompre l’action. Les fautes, logos flous et formules impersonnelles peuvent alerter, mais leur absence ne garantit rien : un faux message peut être soigné et personnalisé. À l’inverse, une erreur de présentation ne suffit pas à établir une fraude. N’ouvrez pas une pièce jointe inattendue avant d’avoir confirmé son origine autrement.

Étape 4 : Confirmer la demande par un autre canal

Appelez un numéro déjà connu ou trouvé sur le site officiel que vous avez ouvert indépendamment du message ; pour un fournisseur ou un client, utilisez une conversation ou un espace client habituel. N’utilisez ni le numéro ni le lien fourni dans l’e-mail suspect. Avant tout virement ou changement de coordonnées bancaires, confirmez la demande avec votre interlocuteur habituel.

Étape 5 : Consulter les en-têtes si vous maîtrisez la technique

Les en-têtes complets peuvent aider à enquêter sur l’acheminement d’un message. Les résultats SPF, DKIM et DMARC sont des indices techniques, pas une preuve absolue que le contenu ou la demande sont honnêtes : un domaine ressemblant peut être correctement authentifié, et un compte légitime compromis peut envoyer un message frauduleux. Un résultat absent ou en échec mérite investigation mais ne suffit pas, à lui seul, à conclure. L’ANSSI explique les limites de ces mécanismes.

Pour votre entreprise : si plusieurs personnes utilisent la messagerie, ces vérifications individuelles ne remplacent pas la gestion des comptes et des sauvegardes. Pour échanger sur la messagerie professionnelle et la sécurité de votre parc, découvrez mon offre d’infogérance.

Pourquoi ces vérifications ne suffisent pas toujours

Aucun indice isolé ne permet de certifier qu’un e-mail est légitime. En cas de doute, suspendez l’action demandée et vérifiez-la auprès de l’expéditeur présumé par un canal indépendant. Un compte de messagerie piraté peut lui-même servir à envoyer des messages d’hameçonnage.

Questions fréquentes

Comment afficher l’adresse de l’expéditeur ?

Ouvrez les détails du message ou touchez le nom de l’expéditeur selon votre application. Vérifiez l’adresse entière, tout en gardant à l’esprit qu’une adresse familière ne suffit pas à authentifier le message.

Peut-on falsifier complètement l’adresse e-mail d’un expéditeur ?

Oui, l’adresse affichée dans le champ « From » peut être usurpée. Les protections des messageries peuvent détecter ou bloquer certaines usurpations, mais leur efficacité dépend de la configuration et ne garantit pas que chaque message reçu est sûr. Même un message envoyé depuis le véritable compte d’un proche ou d’un fournisseur peut être frauduleux si ce compte a été compromis. Un domaine correct n’est donc pas une preuve : vérifiez toute demande inhabituelle par un canal indépendant.

Les fautes ou les logos permettent-ils de reconnaître un faux ?

Ce sont parfois des signaux d’alerte, jamais un test définitif. Un message sans faute et au graphisme soigné peut aussi être une tentative d’hameçonnage.

Que faire si j’ai cliqué ou communiqué des informations ?

N’entrez plus d’informations sur le site ouvert par le message. Si vous avez saisi un mot de passe, changez-le sans délai depuis le site ou l’application officielle et activez l’authentification multifacteur lorsque c’est possible ; si vous avez communiqué des données bancaires, contactez rapidement votre banque par son canal officiel. Si une pièce jointe a été ouverte ou un programme exécuté, demandez une aide technique. Consultez la fiche réflexe de Cybermalveillance.gouv.fr pour les démarches et signalements adaptés.

Les artisans en Drôme et Ardèche sont-ils davantage ciblés ?

Ce guide ne dispose pas de données permettant de l’affirmer. Les mêmes vérifications sont utiles à toute personne ou entreprise qui reçoit une demande inhabituelle par e-mail.