Un courriel inattendu annonce la suspension de votre compte. Un autre vous demande de consulter une facture ou de confirmer une livraison. Le logo vous est familier et le message semble professionnel. Pouvez-vous lui faire confiance ?
Pour savoir si un courriel est une arnaque, prenez une pause avant de répondre, d’ouvrir une pièce jointe ou de suivre un lien. Examinez l’adresse complète de l’expéditeur et l’action demandée, puis vérifiez la demande par un autre moyen. Une présentation soignée ne prouve pas l’authenticité d’un message, et aucune vérification isolée ne garantit sa sécurité.
Avant de faire quoi que ce soit :
Ne répondez pas et n’utilisez pas les coordonnées fournies dans le courriel suspect.
N’ouvrez pas les pièces jointes inattendues et ne suivez pas les liens.
Ouvrez l’application connue de l’organisation ou accédez vous-même à son site officiel.
Si vous avez déjà interagi avec le message, consultez les étapes de récupération plus bas.
Vous n’avez pas besoin de devenir spécialiste en cybersécurité. Commencez par distinguer ce que le courriel affirme de ce que vous pouvez confirmer indépendamment.
Vérifiez l’adresse complète de l’expéditeur, pas seulement son nom
Votre boîte de réception peut afficher un nom comme « Service à la clientèle » ou « Sécurité du compte ». Ce nom est une étiquette, pas une preuve d’identité.
Affichez les détails de l’expéditeur, si votre application le permet, et examinez l’adresse complète. Portez attention au nom de domaine : la partie située après le symbole @.
Microsoft présente les domaines qui ne correspondent pas à l’organisation et les modifications discrètes de leur orthographe comme des signes possibles d’hameçonnage.[1]
À quoi peut ressembler une adresse trompeuse ?
Les exemples suivants sont fictifs. Ils utilisent des domaines réservés aux exemples, écrits avec [.] pour éviter les clics accidentels.
Ce que vous voyez | Ce qui mérite votre attention |
|---|---|
« Assistance du compte Exemple » avec l’adresse | Le nom affiché revendique une identité que l’adresse ne confirme pas. |
| Le chiffre « 1 » remplace la lettre « l » dans un domaine ressemblant. |
| Le texte familier apparaît dans un domaine plus long. Il ne s’agit pas de |
Faites glisser pour voir tout le tableau
Si les détails du message affichent une adresse de réponse, parfois appelée « Reply-To », vérifiez-la aussi. Une adresse inattendue mérite une vérification, même si des organisations utilisent légitimement des services distincts pour gérer les réponses.
Ne commencez pas à répondre au message simplement pour examiner cette information.
Une adresse connue n’est pas non plus une garantie. Un compte légitime peut être compromis et servir à envoyer des messages malveillants.[2] Examinez toujours la demande elle-même.
Examinez ce que le courriel vous demande de faire
L’action demandée est souvent plus révélatrice que l’apparence du message.
Soyez particulièrement prudent lorsqu’un courriel inattendu vous demande de :
Vous connecter à partir d’un lien fourni.
Payer une facture que vous ne reconnaissez pas.
Modifier les coordonnées bancaires d’un fournisseur.
Transmettre des pièces d’identité ou des renseignements financiers.
Communiquer un mot de passe ou un code de vérification.
Garder la demande secrète ou contourner une procédure habituelle.
Les messages d’hameçonnage utilisent notamment de prétendus problèmes de compte, des factures inconnues et des demandes de confirmation de renseignements pour inciter les destinataires à agir.[3]
Posez-vous cette question : Est-ce que je traiterais normalement cette demande de cette façon ?
Par exemple, si un fournisseur demande de verser un paiement dans un nouveau compte bancaire, confirmez le changement à l’aide d’un numéro déjà connu. Répondre dans la même conversation ne constitue pas une confirmation indépendante.
L’urgence est un signal d’alerte, pas une preuve à elle seule. Une organisation légitime peut imposer une échéance. L’essentiel est de pouvoir vérifier la demande et l’action proposée sans dépendre du courriel.
Évaluez les indices ensemble. Un message frauduleux peut être bien rédigé, reprendre une image de marque connue et adopter un ton calme.
Examinez les liens sans les ouvrir
Le texte visible d’un lien peut être différent de sa destination. Un bouton « Consulter votre compte » ne vous indique pas où il mène réellement.
Sur un ordinateur, si votre logiciel de courriel le permet, placer le pointeur sur un lien sans cliquer peut afficher sa destination.[1] Cela peut révéler une différence entre ce que le message annonce et l’adresse réelle.
Cette vérification a toutefois des limites :
Un lien raccourci masque sa destination.
Un aperçu peut n’afficher qu’une partie de l’adresse.
Une adresse longue peut être difficile à interpréter.
Une destination qui semble familière n’est pas une garantie de sécurité.
Sur un téléphone, évitez de toucher un lien ou de faire un appui prolongé si vous ne connaissez pas le comportement de votre application. Certains gestes peuvent ouvrir la destination ou charger un aperçu.
Si vous ne pouvez pas examiner le lien sans risque, laissez-le de côté. Ouvrez séparément l’application ou le site connu de l’organisation.
Est-ce qu’un lien HTTPS est sûr ?
Pas nécessairement. HTTPS chiffre la connexion entre votre appareil et un site Web. Cela ne prouve pas que la personne qui exploite le site est digne de confiance.
Les fraudeurs peuvent eux aussi utiliser des sites chiffrés.[4] Un cadenas ne confirme ni l’identité de l’expéditeur ni la légitimité de la demande.
Quatre vérifications utiles et leurs limites
Vérification | Ce qu’il faut examiner | Pourquoi ce n’est pas une preuve | Prochaine étape plus sûre |
|---|---|---|---|
Adresse de l’expéditeur | Domaine inattendu, différence d’orthographe, adresse de réponse inhabituelle | Un compte connu peut être compromis; certains services légitimes utilisent des adresses distinctes | Confirmer auprès d’un contact connu ou par un canal officiel |
Action demandée | Connexion imprévue, changement de paiement, renseignements sensibles, secret | Une demande légitime peut aussi concerner une échéance ou un compte | Vérifier la demande indépendamment |
Destination du lien | Adresse différente, lien raccourci, domaine trompeur | Une adresse plausible ou HTTPS ne prouve pas la légitimité | Ouvrir soi-même l’application ou le site connu |
Présentation et rédaction | Formulation inhabituelle, mise en page incohérente, salutation générique | Un courriel frauduleux peut être soigné et personnalisé | Fonder sa décision sur une confirmation indépendante |
Faites glisser pour voir tout le tableau
Ce tableau aide à prendre une décision. Il ne sert pas à calculer un score de sécurité. Plusieurs détails rassurants ne rendent pas une demande non vérifiée fiable.
Soyez prudent avec les pièces jointes inattendues
Une facture, une archive ZIP, un PDF ou un document bureautique peut sembler banal. Avant de l’ouvrir, demandez-vous si vous attendiez ce fichier et si vous pouvez confirmer la raison de son envoi.
N’ouvrez pas une pièce jointe pour découvrir si elle est malveillante.
Méfiez-vous particulièrement des instructions qui demandent d’activer les macros. Les macros sont des instructions capables d’automatiser des actions dans un document. Ne les activez pas simplement parce qu’un courriel inattendu vous le demande.[2]
Une extension de fichier familière ou une analyse qui ne détecte aucune menace ne garantit pas la sécurité du fichier. Laissez-le fermé pendant que vous vérifiez la demande.
Pour un message professionnel, suivez la procédure de votre organisation. Demandez au service informatique comment le transmettre de façon appropriée plutôt que de le faire circuler entre collègues.
Vérifiez la demande par un autre moyen
Une vérification indépendante consiste à quitter le parcours proposé par le courriel et à utiliser des coordonnées auxquelles vous faites déjà confiance.
La Federal Trade Commission recommande de contacter l’entreprise à l’aide d’un numéro ou d’un site que vous savez authentique, plutôt que d’utiliser les renseignements contenus dans le message suspect.[3]
Voici comment appliquer ce principe.
Avis de livraison
Ouvrez vous-même l’application ou le site officiel du transporteur. Utilisez le numéro de suivi provenant de votre commande initiale ou de votre compte chez le commerçant.
Ne vous fiez pas uniquement aux renseignements fournis dans l’avis suspect.
Alerte bancaire
Ouvrez votre application bancaire ou appelez le numéro imprimé sur votre carte. Demandez si l’alerte et l’action demandée sont authentiques.
N’appelez pas le numéro indiqué dans le courriel pour vérifier ce même courriel.
Demande d’un collègue ou d’un proche
Appelez la personne à un numéro enregistré ou contactez-la par un moyen habituel.
Confirmez précisément la demande, surtout si elle concerne un paiement, des renseignements confidentiels, une consigne de discrétion ou un service inhabituel. Reconnaître le nom de la personne ne suffit pas.
Si vous n’arrivez pas à confirmer la demande
Ne présumez pas que le premier résultat de recherche, une annonce commanditée ou un numéro affiché est officiel. Privilégiez une application connue, un favori enregistré, votre carte bancaire ou un ancien relevé.
L’absence d’un avis dans votre compte ne règle pas forcément la question. Contactez le service à la clientèle officiel si la demande est importante.
Tant que le doute persiste, ne donnez pas suite. Vous n’avez pas besoin de prouver qu’un courriel est frauduleux pour décider de ne pas agir.
Exemple : comprendre un courriel suspect
Illustration fictive : cet exemple ne décrit pas une campagne observée. Le service, le message et les adresses sont inventés. Les domaines sont réservés aux exemples et écrits de façon à empêcher les clics accidentels.
De : Sécurité du compte Exemple
Expéditeur :avis@comptes[.]example
Adresse de réponse :verification@assistance[.]example
Objet : Confirmez votre compte dans les 30 prochaines minutesBonjour Alex,
Nous n’avons pas pu terminer la vérification de votre compte. Votre accès sera suspendu si vous ne confirmez pas votre identité dans les 30 prochaines minutes.
Sélectionnez Conserver mon accès, puis entrez votre mot de passe et le code de sécurité reçu sur votre téléphone. Ne contactez pas l’assistance pendant la vérification, car cela pourrait retarder le traitement.
Destination affichée :
example[.]com.verification[.]example
Cinq signaux d’alerte
L’identité de l’expéditeur n’est pas confirmée. « Sécurité du compte Exemple » est un nom affiché, pas une preuve d’autorité.
L’adresse de réponse est différente. C’est un détail à examiner, même si cette différence ne prouve pas une fraude à elle seule.
Le délai crée une pression. La menace de perdre l’accès encourage une réaction avant toute vérification.
La demande vise l’accès au compte. Elle réclame un mot de passe et un code de sécurité dans le cadre d’une démarche non sollicitée.
Le message décourage une vérification indépendante. Il cherche à maintenir le destinataire dans le parcours qu’il impose.
La destination contient aussi un texte familier au début d’un domaine plus long. Il ne s’agit pas de example[.]com.
La prochaine étape plus sûre : ouvrez séparément l’application connue du service ou son site enregistré. Consultez les avis du compte et contactez l’assistance habituelle au besoin. N’utilisez ni le bouton ni l’adresse de réponse du courriel.
Le fait que le message dise « Bonjour Alex » ne règle aucune de ces préoccupations. Connaître votre prénom ne prouve pas l’identité de l’expéditeur.
Ce qu’un outil de vérification par IA peut vous dire, et ses limites
SamFindr utilise l’IA pour aider à évaluer les signes d’arnaque dans des courriels, des textos et des liens suspects. Son site présente une analyse du contenu suspect et des conseils associés au résultat.
Un outil de vérification par IA peut apporter un éclairage supplémentaire sur un message difficile à interpréter. Son évaluation comporte toutefois des limites :
Il peut manquer une menace.
Il peut signaler un message légitime comme suspect.
Il ne peut pas établir avec certitude qu’une demande importante est authentique.
Utilisez le résultat pour vous aider à réfléchir, puis vérifiez indépendamment les demandes qui concernent un compte, un paiement ou des renseignements sensibles.
Avant de soumettre du contenu, retirez les mots de passe, les codes de vérification, les renseignements financiers complets et les données personnelles inutiles. Pour du contenu professionnel, respectez les règles de votre organisation concernant le partage avec un outil externe.
Vous hésitez encore ? Utilisez SamFindr pour vous aider à évaluer les signes d’alerte, puis confirmez toute demande importante par un autre moyen.
Vous avez déjà cliqué, répondu ou transmis des renseignements ?
Prenez une pause et identifiez ce qui s’est passé. Les prochaines étapes dépendent de votre interaction.
Vous avez seulement cliqué
Fermez la page. N’entrez aucun renseignement, n’acceptez aucun téléchargement et ne suivez pas d’autres instructions.
Un clic ne suffit pas à conclure que votre appareil est infecté. Si vous soupçonnez le téléchargement d’un logiciel malveillant, mettez votre logiciel de sécurité à jour et lancez une analyse.[3] Pour un appareil professionnel, prévenez le service informatique.
Vous avez entré un mot de passe ou un code de vérification
Accédez à l’application ou au site officiel pour sécuriser immédiatement le compte concerné. Changez le mot de passe, ainsi que ceux des autres comptes où vous l’avez réutilisé, et activez l’authentification multifacteur.
Si vous avez communiqué un code, informez le fournisseur du compte. Un changement de mot de passe ne règle pas nécessairement toutes les formes d’accès non autorisé. Pour un compte professionnel, contactez le service informatique.[1][5]
Vous avez téléchargé ou ouvert un fichier
N’ouvrez pas un fichier téléchargé et ne l’exécutez pas de nouveau. Si vous l’avez ouvert ou exécuté, contactez le service informatique lorsqu’il s’agit d’un appareil professionnel.
Mettez votre logiciel de sécurité à jour, analysez l’appareil et demandez de l’aide à un service de soutien de confiance au besoin.[3][5]
Vous avez transmis des renseignements de paiement ou envoyé de l’argent
Contactez immédiatement votre banque, l’émetteur de votre carte ou votre fournisseur de paiement par un moyen fiable. Expliquez la situation et demandez comment sécuriser le compte et tenter d’arrêter ou d’annuler la transaction.
Le remboursement n’est pas garanti.[5][6]
Au Canada, suivez les recommandations du Centre antifraude du Canada et signalez la fraude au service de police local. Aux États-Unis, consultez les démarches de signalement de la FTC; ses ressources orientent aussi les victimes de vol d’identité vers IdentityTheft.gov.[5][6]
Si vous avez seulement répondu, cessez la conversation. Si votre réponse contenait des renseignements sensibles, suivez les étapes correspondantes ci-dessus.
Questions fréquentes
Un courriel frauduleux peut-il provenir d’une vraie adresse ?
Oui. Un compte légitime peut être compromis. Une adresse reconnaissable ne confirme pas indépendamment l’authenticité de la demande.
Un courriel sans fautes est-il légitime ?
Pas nécessairement. Un message malveillant peut être très bien rédigé, notamment avec l’aide de l’IA.[2] Examinez la demande et vérifiez-la séparément.
Un courriel est-il sûr s’il utilise mon nom ?
Non. Connaître votre nom ne prouve pas qui a envoyé le message. Un courriel personnalisé doit lui aussi être vérifié.
HTTPS signifie-t-il qu’un site est digne de confiance ?
Non. HTTPS protège la connexion au site. Il ne prouve pas que la personne qui l’exploite est légitime.[4]
L’IA peut-elle confirmer avec certitude qu’un courriel est une arnaque ?
Non. Une évaluation par IA peut se tromper dans les deux sens. Utilisez-la en complément d’une vérification indépendante, particulièrement lorsqu’une demande concerne de l’argent, un accès à un compte ou des renseignements sensibles.
Prenez une pause, vérifiez par un autre moyen et évitez de donner suite à une demande non confirmée. Vous pouvez choisir une action plus sûre sans connaître avec certitude les intentions de l’expéditeur.
Sources
Sources consultées le 16 octobre 2026. Certaines ressources ci-dessous sont en anglais.
Microsoft Support : Protect yourself from phishing.
Centre canadien pour la cybersécurité : Spotting malicious email messages (ITSAP.00.100).
Federal Trade Commission des États-Unis : How To Recognize and Avoid Phishing Scams.
Federal Trade Commission des États-Unis : Are Public Wi-Fi Networks Safe? What You Need To Know. Voir l’explication sur les sites frauduleux utilisant une connexion chiffrée.
Federal Trade Commission des États-Unis : What To Do if You Were Scammed.
Centre antifraude du Canada : What to do if you’re a victim of fraud.
Renseignements sur le produit : SamFindr.
