Reconnaître un e-mail de phishing : exemples suisses et que faire en cas de clic

On reconnaît un e-mail de phishing surtout à trois éléments : l’adresse de l’expéditeur ne correspond pas à l’expéditeur prétendu, le lien mène vers un domaine étranger, et l’on vous presse de payer ou de saisir vos identifiants. La règle la plus sûre : ne pas agir via le lien de l’e-mail, mais ouvrir vous-même l’app ou le site du fournisseur. Ce qui n’y figure pas est très probablement un faux.

Arnaques de phishing typiques en Suisse

Les escrocs se font volontiers passer pour des expéditeurs avec lesquels on a régulièrement affaire. En Suisse, ces schémas reviennent sans cesse :

Poste, colis et frais de douane

Un colis aurait été retenu, la livraison aurait échoué ou des frais de douane ou de stockage seraient encore dus, souvent quelques francs seulement. Le lien mène vers une page copiée qui récupère les données de carte. Selon la Poste, elle ne demande jamais de mots de passe, de codes de sécurité ni de données complètes de carte de crédit par SMS ou par e-mail.

Banque et carte de crédit

Votre compte serait bloqué, un paiement devrait être confirmé ou vos données mises à jour. Souvent suit un appel où quelqu’un se présente comme employé de banque, dans une langue parfaite. Aucune banque ne demande des mots de passe ou la confirmation de données de carte par e-mail. N’ouvrez l’e-banking que via l’app ou une adresse tapée vous-même.

Renouvellement de domaine et services d’inscription

Des titulaires de domaines reçoivent des e-mails ou des lettres qui ressemblent à une facture de renouvellement : votre domaine .ch arriverait à échéance, et plusieurs centaines de francs seraient dus pour l’enregistrement ou un « service d’inscription », payables sur un compte à l’étranger. Les polices cantonales mettent régulièrement en garde contre ces prétendues factures de domaine. Renouvelez votre domaine uniquement chez le registraire où il est enregistré ; toute recherche WHOIS vous l’indique.

Facture d’hébergement et boîte e-mail pleine

Un paiement aurait échoué et votre site serait suspendu, ou votre boîte e-mail serait pleine et des messages retenus. Le lien mène vers une fausse page de connexion au webmail ou à l’espace client. Vérifiez toujours les factures ouvertes directement dans l’espace client de votre fournisseur.

Vérifier l’expéditeur

Le nom affiché d’un e-mail peut être choisi librement. Ce qui compte, c’est l’adresse derrière, et surtout le domaine après le @. Touchez ou cliquez sur le nom pour voir l’adresse complète.

• Domaine étranger : le nom indique « La Poste », mais l’adresse se termine par @livraison-colis.info ou @gmail.com.
• Domaine ressemblant : caractères inversés ou ajoutés comme p0st.ch, post-ch.com ou votre-banque-securite.ch.
• Adresse de réponse différente : les réponses partent vers une autre adresse que celle de l’expéditeur.
• Formule impersonnelle comme « Cher client », alors que le vrai fournisseur connaît votre nom.

Pour aller plus loin, ouvrez les en-têtes de l’e-mail (dans beaucoup de programmes « Afficher l’original » ou « Code source »). La ligne « Authentication-Results » indique si SPF, DKIM et DMARC sont validés. Un « fail » sur un e-mail censé venir de votre banque est un signal d’alarme clair. À l’inverse, un « pass » signifie seulement que l’e-mail vient bien du domaine affiché, pas que ce domaine est digne de confiance.

Vérifier les liens sans cliquer

Sur ordinateur, survolez le lien avec la souris et attendez que l’adresse de destination s’affiche en bas de la fenêtre. Sur smartphone, gardez le doigt appuyé sur le lien jusqu’à l’aperçu. Lisez ensuite le domaine de droite à gauche, en partant de la première barre oblique simple :

Méfiez-vous aussi des codes QR dans les e-mails ou les lettres : ils cachent tout autant l’adresse. Et un cadenas dans la barre d’adresse signifie seulement que la connexion est chiffrée. Les sites de phishing utilisent aussi HTTPS.

Conseil: Créez des favoris pour votre banque, la Poste, les impôts et votre hébergeur, ou utilisez les apps officielles. Vous n’aurez alors jamais besoin de suivre un lien reçu par e-mail.

Autres signaux d’alerte

• Urgence : « dans les 24 heures », « dernier rappel », « votre compte sera supprimé ».
• Pièces jointes inattendues, surtout des fichiers ZIP, HTML ou Office avec macros.
• Montant ou numéro de facture qui ne correspond à aucune facture de votre compte client.
• Demande de modifier des coordonnées bancaires ou de payer sur un nouvel IBAN.
• Fautes d’orthographe, mélange de langues ou heure d’envoi inhabituelle.

Vous avez cliqué ou saisi des données : que faire ?

Si vous avez seulement cliqué sur le lien sans rien saisir ni télécharger, il n’y a en général pas de dommage. Fermez la page. Si vous avez saisi des données ou ouvert une pièce jointe, agissez immédiatement :

1. Changer le mot de passe du compte concerné, et partout où vous utilisez le même mot de passe. S’il s’agit de votre compte e-mail, changez aussi les mots de passe des services liés à cette adresse.
2. Si vous avez saisi des données de carte ou bancaires, appeler immédiatement votre banque ou l’émetteur de la carte et faire bloquer la carte.
3. Activer l’authentification à deux facteurs là où elle manque encore.
4. Chercher dans le compte e-mail des transferts et des règles de filtrage inconnus et les supprimer.
5. Si vous avez ouvert une pièce jointe ou installé un programme, déconnecter l’appareil du réseau et le faire contrôler. Si un programme de prise de contrôle à distance a été installé, le désinstaller.
6. En cas de dommage financier, porter plainte auprès de la police, par exemple via Suisse ePolice ou au poste de police.

Signaler le phishing

Les signalements permettent de bloquer plus vite les faux sites. L’Office fédéral de la cybersécurité (OFCS), appelé jusqu’à fin 2023 Centre national pour la cybersécurité (NCSC), exploite pour cela le site antiphishing.ch :

• Transférer les e-mails de phishing sans commentaire à reports@antiphishing.ch. La boîte est traitée automatiquement, vous ne recevrez pas de réponse.
• Signaler les sites de phishing via le formulaire d’antiphishing.ch.
• Pour obtenir une réponse ou signaler un autre incident, utiliser le formulaire d’annonce de l’OFCS.
• Informer aussi l’entreprise au nom de laquelle l’e-mail a été envoyé. Beaucoup ont leur propre adresse de signalement.

Vous pouvez ensuite supprimer l’e-mail. Ne répondez jamais à un e-mail de phishing : vous confirmeriez seulement que votre adresse est active.

Pour les entreprises : SPF, DKIM et DMARC

Le phishing ne vise pas seulement vos collaborateurs. Les escrocs envoient aussi des e-mails au nom de votre entreprise, par exemple de fausses factures à vos clients. Trois enregistrements DNS de votre domaine aident contre cela :

• SPF définit quels serveurs peuvent envoyer des e-mails pour votre domaine.
• DKIM signe les e-mails sortants afin que les destinataires puissent vérifier qu’ils viennent de vous sans modification.
• DMARC indique aux serveurs destinataires que faire des e-mails qui n’ont ni SPF ni DKIM valide et aligné sur le domaine de l’expéditeur : seulement observer (none), mettre en spam (quarantine) ou refuser (reject).

Ce n’est qu’avec DMARC sur quarantine ou reject qu’il devient difficile pour des escrocs de distribuer des e-mails avec exactement votre domaine d’expéditeur. Les enregistrements n’aident pas contre les faux utilisant des domaines ressemblants comme votre-entreprise-ch.com. C’est pourquoi quelques règles d’organisation font partie d’une bonne protection : toujours confirmer par téléphone, à un numéro connu, un changement de coordonnées bancaires, valider les paiements selon le principe des quatre yeux et informer régulièrement le personnel des arnaques actuelles. Notre guide sur SPF, DKIM et DMARC montre comment configurer ces enregistrements étape par étape.

Conseil: Commencez DMARC avec p=none et une adresse de rapport. Les rapports montrent quels services envoient en votre nom. Ce n’est que lorsque tous les expéditeurs légitimes sont bien configurés que vous passez à quarantine puis reject.

Avec les offres e-mail de HostOn, DKIM, SPF et DMARC sont préparés, et les messages entrants sont analysés par Rspamd contre le spam et par ClamAV contre les virus. Notre page sur les alertes de phishing explique comment reconnaître les vrais messages de HostOn.