Accueil / Conseils
Un courriel suspect : les vérifications qui tranchent
L'adresse affichée ne prouve rien. Ce qui se vérifie en quelques secondes, c'est le chemin réel du message, la destination du lien et la nature de la demande.
À retenir
- Le nom et l'adresse affichés se falsifient ; le domaine d'envoi réel, beaucoup moins.
- L'urgence est un procédé, pas une information : elle sert à empêcher la vérification.
- Un lien se lit avant d'être cliqué, surtout sur un téléphone où l'adresse est masquée.
Commencer par l'en-tête
Dans tous les clients de messagerie sérieux, l'en-tête complet montre deux choses décisives : le domaine qui a réellement émis le message et le résultat des contrôles d'authentification du domaine (SPF, DKIM, DMARC). Dans Microsoft 365, ce résultat s'affiche en clair sous forme de synthèse d'authentification ; ailleurs, il faut ouvrir les détails du message.
Un message qui prétend venir de votre banque avec un échec DMARC n'est pas un message de votre banque. À l'inverse, un message authentifié peut rester frauduleux : un compte compromis envoie depuis le bon domaine. L'authentification dit d'où part le message, pas qui l'a écrit.
Lire le lien sans cliquer
Sur ordinateur, le survol affiche la destination réelle. Sur téléphone, c'est un appui long qui la révèle. L'astuce classique consiste à placer le nom attendu dans le sous-domaine : microsoft.com.verification-exemple.net appartient à verification-exemple.net, pas à Microsoft. Seul le dernier segment avant le chemin compte.
Deuxième réflexe : ne jamais saisir d'identifiants depuis un lien reçu par courriel. Ouvrir le site par son adresse habituelle, ou passer par le portail de l'entreprise. Un lien qui mène à une page de connexion est précisément ce qu'un attaquant veut obtenir.
Ce que la demande révèle
Les fraudes efficaces demandent toujours la même chose : un paiement, un changement de coordonnées bancaires, un code reçu par SMS, une pièce jointe à ouvrir, une session à autoriser. Le prétexte varie, la demande non. Un virement urgent demandé par courriel se vérifie par téléphone, sur un numéro déjà connu — jamais sur celui indiqué dans le message.
Le code à usage unique mérite une mention à part : aucun service légitime ne le demande. Un interlocuteur qui réclame ce code est en train de se connecter à votre place.
Si vous avez déjà cliqué
Trois gestes, dans cet ordre : changer le mot de passe du compte concerné depuis un appareil sûr, fermer toutes les sessions actives, et vérifier les règles de transfert automatique et les accès délégués ajoutés récemment dans la messagerie. Une règle de transfert invisible qui envoie le courrier vers une adresse inconnue est souvent le seul signe persistant d'une boîte compromise.
Ensuite seulement, prévenir la personne qui gère les comptes : elle peut chercher les connexions inhabituelles dans le journal d'audit, encore disponible pendant la période de rétention.
Ce qui ne sert à rien
Répondre à l'expéditeur pour vérifier : vous répondez à l'attaquant. Se fier à l'antivirus qui n'a rien signalé : il cherche des fichiers malveillants, pas des mensonges. Supprimer le message sans rien faire : si le mot de passe a été saisi, il est déjà enregistré ailleurs.