Comment vérifier si un email est une arnaque

01Le nom d'affichage n'est pas l'expéditeur

Chaque client de messagerie affiche un nom convivial en gros caractères et l'adresse réelle en petits caractères, ou pas du tout. Le nom convivial est un texte libre choisi par l'expéditeur du message. Il peut indiquer votre banque, votre employeur ou votre propre nom, et rien de tout cela ne nécessite autre chose que de le taper.

Donc, la première étape est toujours la même : développez l'expéditeur et lisez l'adresse elle-même. Ce qui compte, c'est le domaine — la partie à droite du @ — et spécifiquement ses deux dernières étiquettes, pour exactement la raison exposée dans notre guide de vérification d'un site web.

• Une vraie marque avec un mot supplémentaire : support-votrebanque.exemple plutôt que votrebanque.exemple.
• La marque en tant que sous-domaine de quelque chose d'autre, où yourbank.example.mail-secure.example appartient à mail-secure.example.
• Un fournisseur de messagerie gratuit pour quelque chose qui n'en utiliserait jamais un. Aucune banque, autorité fiscale ou service de paie n'envoie depuis une adresse webmail grand public.
• Une faute d'orthographe presque manquée, qui est le même truc de permutation de caractères utilisé sur les domaines.

02Vérifiez où une réponse irait

Un message peut être envoyé depuis une adresse et discrètement configuré pour répondre à une autre. C'est une fonctionnalité normale, utilisée par les listes de diffusion et les systèmes de billetterie, et c'est aussi ainsi qu'une fraude à la facture convaincante fonctionne : le mail semble provenir d'un fournisseur que vous connaissez, et votre réponse va ailleurs.

La plupart des clients afficheront l'adresse de réponse si vous commencez une réponse et regardez le champ À avant de taper. Si elle ne correspond pas à l'expéditeur, cela vaut la peine de comprendre avant de répondre, en particulier sur tout ce qui concerne les détails de paiement.

03Ne cliquez pas sur le lien

Le lien est tout le mécanisme de livraison, et l'inspecter est un jeu auquel vous n'avez pas besoin de jouer. Survoler montre une destination, mais le texte visible, la destination et l'endroit où il atterrit finalement après une redirection peuvent tous être différents, et un lien raccourci ne vous montre rien du tout.

L'habitude qui élimine la question : atteignez tout ce qui est important de la manière que vous connaissez déjà. Tapez l'adresse, utilisez votre propre favori, ou ouvrez l'application de l'organisation. Si le message est authentique, tout ce qu'il veut que vous voyiez vous attendra lorsque vous arriverez par vos propres moyens.

• Une page de connexion atteinte depuis un email est le moyen le plus courant de voler des identifiants.
• Un code QR dans un e-mail est un lien que vous ne pouvez pas lire du tout, et il est utilisé précisément pour cette raison.
• Un lien de désabonnement dans un message auquel vous ne vous êtes jamais abonné confirme que votre adresse est active. Marquez-le plutôt comme spam.

04Demandez ce qu'il essaie de prendre

Les messages de phishing varient énormément dans leur histoire et très peu dans ce qu'ils veulent. Nommer la cible est souvent plus rapide qu'évaluer l'histoire.

• Un identifiant : une page de connexion pour le courrier, la banque, un compte de livraison ou un système de travail.
• Un code à usage unique, demandé par un appel ou un message de suivi. Le code autorise quelque chose qui se passe à ce moment-là ; le lire est l'autorisation.
• Un paiement : une facture, des frais, une amende, ou des coordonnées bancaires modifiées sur un virement attendu.
• Une installation : une pièce jointe, un document qui vous demande d'activer le contenu, ou un outil de support qui accorde un accès à distance.
• Une réponse, seule. Certaines campagnes veulent seulement établir qu'une personne lit l'adresse avant qu'un humain ne prenne le relais.

05Pièces jointes, et tout ce qui demande une autorisation

Une pièce jointe inattendue mérite plus de suspicion qu'un lien inattendu, car l'échec est plus discret. Les documents qui vous demandent d'activer la modification, d'activer le contenu ou d'autoriser les macros demandent la permission de lancer quelque chose, et la demande est la charge utile plutôt qu'une étape vers celle-ci.

Il en va de même pour tout message qui se termine par l'installation d'un logiciel, l'accès à un appareil ou la connexion d'un compte à une application tierce que vous ne connaissez pas.

06Vérifiez les identifiants par rapport aux signalements de la communauté

Un email vous donne plus à vérifier que la plupart des approches : l'adresse de l'expéditeur, l'adresse de réponse, le domaine de tout lien, et souvent un identifiant de paiement ou un montant. Ce sont tous des identifiants, et ils valent la peine d'être vérifiés individuellement plutôt que comme une seule impression.

Les adresses d'envoi sont bon marché et se consument rapidement, donc une adresse sans signalements est presque insignifiante comme garantie. Le domaine vers lequel le lien pointe, et le compte qu'il vous demande finalement de payer, sont les parties durables et celles qui sont le plus susceptibles d'être déjà enregistrées.