Les menaces par e-mail prennent toutes les formes et toutes les tailles, mais ce sont généralement des messages malveillants destinés à vous inciter à envoyer de l’argent, à partager des informations financières ou à divulguer des renseignements sur une entreprise. Elles vont de nuisances agaçantes comme le spam, le malware et les virus à des attaques ciblées aux conséquences financières énormes, comme le spear phishing, le whaling et la compromission de messagerie professionnelle.
Certaines sont si évidentes qu’elles en deviennent risibles : aucun effort n’a été fait pour déguiser l’arnaque.
Mais ne pensez pas qu’elles sont toutes comme ça. Les arnaques par e-mail semblent seulement devenir plus sournoises et créatives. Ce sont le genre d’arnaques que même le plus féru d’informatique de la génération Z, qui a grandi en dormant avec un iPad, regarderait à deux fois avant de s’en rendre compte. Si elles n’étaient pas si diaboliques, vous pourriez même prendre du recul et admirer l’approche. Nous allons vous montrer comment reconnaître le phishing et d’autres arnaques courantes par e-mail, et comment vous en protéger.
Que sont les menaces par e-mail ?
Au lieu d’essayer de percer des pare-feu numériques robustes, les menaces par e-mail ciblent de vraies personnes. Le but est de vous inciter à cliquer sur un mauvais lien ou à révéler votre mot de passe. Une fois cela fait, les attaquants sont en excellente position pour voler de l’argent, installer des virus sur votre ordinateur, ou voler votre identité avant de passer à une cible plus importante.
Pourquoi les menaces par e-mail existent-elles ?
Les menaces par e-mail existent parce que, malgré le fait que l’e-mail soit l’un des moyens de communication les plus populaires au monde, il n’est pas réellement si sécurisé. Presque toutes les entreprises du monde communiquent par e-mail et, pour contacter n’importe quel employé, il suffit d’obtenir son adresse e-mail. À partir de là, il est facile pour un attaquant compétent de manipuler la situation pour s’introduire. C’est parce que :
Tout le monde a une adresse e-mail : Les e-mails fonctionnent comme une boîte aux lettres publique. Toute personne disposant d’une connexion Internet peut envoyer un message directement sur votre téléphone ou votre ordinateur.
L’e-mail est ancien : La technologie de base derrière l’e-mail a été créée il y a des décennies avec une confiance intégrée. Elle ne vérifie pas automatiquement si l’expéditeur est bien celui qu’il prétend être.
Les humains se laissent facilement tromper : Les attaquants peuvent se faire passer pour un responsable demandant un service urgent. De plus, les outils d’IA peuvent aussi aider les escrocs à rédiger des messages crédibles et sans erreurs.
Peu coûteux et rentable : Envoyer des millions d’e-mails ne coûte rien. Il suffit qu’une seule personne tombe dans le piège pour que l’escroc vole des milliers de dollars.
Différents types de menaces par e-mail
Phishing – Le type de menace par e-mail le plus courant. Les attaquants envoient des e-mails en masse déguisés en marques populaires comme Netflix, Google ou votre banque, afin de vous inciter à cliquer sur un lien qui ouvre un faux site web où vous saisissez votre mot de passe.
Business email compromise (BEC) – Les escrocs se font passer pour un PDG, un responsable ou un partenaire commercial de confiance et tentent de convaincre quelqu’un du service financier de virer de l’argent directement sur le compte bancaire d’un escroc.
Malware et ransomware – Dans cette attaque, l’e-mail contient un virus caché. Si vous ouvrez le fichier, il télécharge un logiciel qui vole vos fichiers ou verrouille tout votre ordinateur jusqu’à ce que vous payiez une rançon.
Usurpation et imitation – Les attaquants modifient la ligne « De » d’un e-mail pour donner l’impression qu’il provient de quelqu’un en qui vous avez confiance. Ils peuvent remplacer des lettres par des chiffres ou enregistrer des domaines presque identiques à de vrais noms d’entreprise.
Phishing par code QR (« Quishing ») – Les attaquants envoient des e-mails contenant un code QR dans une pièce jointe PDF.Attackers. Une fois le code scanné avec l’appareil photo de votre smartphone, il vous éloigne des outils de sécurité de l’ordinateur vers un faux site de connexion où les filtres de messagerie ne peuvent pas vous sauver.
Un petit retour dans le passé
Beaucoup d’entre nous se souviennent des tout premiers jours des arnaques par e-mail — ces jours bénis où nous étions à la fois plus naïfs, mais aussi moins enclins à faire confiance aux e-mails. Quand nous recevions une arnaque, nous la lisions avec un intérêt perplexe, en essayant de comprendre pourquoi l’expéditeur pensait que nous étions la bonne personne à qui demander de l’aide.
Qui se souvient de The Spanish Prisoner ? Une âme malheureuse d’une grande richesse, qui avait désespérément besoin de nous pour payer sa rançon afin d’être libérée de prison. Fait amusant, cette arnaque est en réalité antérieure à l’e-mail, puisqu’elle remonte au début du XIXe siècle. Un internaute iconoclaste quelque part a manifestement décidé de la numériser.
De nos jours, les arnaques par e-mail exploitent bien davantage les points forts de leur format numérique. Contrairement à certaines arnaques OG, elles tirent parti des avantages qu’Internet a fini par offrir au fil des ans — comme la possibilité de traiter facilement des paiements en ligne, une dépendance accrue à l’e-mail pour nos communications les plus importantes, et l’évolution des réseaux sociaux, pour n’en citer que quelques-uns.
Signes courants d’un e-mail de phishing
Avant d’examiner de plus près les différents types d’arnaques par e-mail, nous allons partager quelques règles générales que vous pouvez appliquer pour vous aider à identifier une arnaque/un spam par e-mail — car ils ont tous des éléments en commun — un expéditeur, un objet, un corps de texte et, peut-être le plus important, le besoin d’être lu et cru.
Nom de l’entreprise/de l’expéditeur
À surveiller :
Fautes de frappe ou stylisation incorrecte — Paypal vs. PayPal.
Quelque chose qui semble trop descriptif ou improbable — AA Car Emergency vs. AA.
Des entreprises chez lesquelles vous n’achetez rien/avec lesquelles vous ne traitez pas — Un message de Barclays alors que vous êtes client chez Lloyds.
Tout ce qui semble étrange — Des symboles et noms d’entreprise bizarres à un espacement étrange — parfois, il y a simplement quelque chose qui semble anormal chez l’expéditeur.
Adresse e-mail de l’expéditeur
À surveiller :
Une adresse e-mail incongrue — Quelque chose qui ne correspond pas au nom de l’entreprise.
Des imitations — Une adresse conçue pour ressembler à celle de la vraie entreprise. Cela peut être le domaine (@paypalcare.com) ou le TLD (@paypal.club).
Des erreurs— Fautes de frappe ou autres irrégularités dans l’adresse.
Objets des e-mails
À surveiller :
Des formulations conçues pour provoquer un sentiment d’urgence — « Avertissement : dernier avis de paiement ».
Un langage qui promet trop — « Gagnez 1000 £ en cinq minutes ».
Un langage qui provoque une forte réaction émotionnelle — « Vous êtes embauché ! Commencez demain ! »
Fautes de frappe — Les escrocs ne sont pas connus pour leur bonne grammaire.
Usage excessif de ponctuation ou d’emojis — Peu de vraies entreprises les utilisent.
La présence de « Re » — Peut être utilisée pour suggérer que vous avez déjà répondu alors que ce n’est pas le cas.
Boutons et pièces jointes— Abstenez-vous toujours de cliquer sur des boutons ou de télécharger des pièces jointes dans des e-mails suspects.
Corps du texte
À surveiller :
Promesses incroyables— Similaires à celles de l’objet, mais le corps du texte offre plus d’espace pour développer, ce qui permet de rendre les mensonges plus convaincants.
Appels à l’action qui cherchent à obtenir des informations personnelles — En particulier l’adresse ou les informations de carte.
Références à des choses dont vous ne vous souvenez pas— Des événements aux services que vous n’avez jamais reçus
Usurpation d’identité— Quelqu’un prétend être un ami ou un proche, mais ne parle pas comme lui-même.
Maintenant que vous avez quelques bases sur la manière dont les escrocs peuvent manipuler les différentes parties d’un e-mail, examinons des exemples précis.
Types de menaces par e-mail
Malware
Pour beaucoup, les attaques de malware sont probablement le premier type d’e-mail malveillant que nous ayons réellement craint. À l’époque, nous les appelions probablement simplement des virus par e-mail. Vous l’ouvrez, votre écran devient noir. Fin de partie. Ce genre de chose.
En réalité, le malware couvre une grande variété d’attaques malveillantes — et certaines sont, franchement, bien plus effrayantes qu’une mort rapide de l’ordinateur.
Surveillance des frappes au clavier ? Utilisation de votre CPU à votre insu ? Espionnage ? Affichage forcé de publicités douteuses toutes les cinq minutes ? Oui, le malware couvre une grande variété de petits programmes qui s’intègrent à votre ordinateur à votre insu, et leurs fonctions vont de celles associées à des farceurs malveillants à de véritables criminels. Ils sont furtifs et souvent difficiles à éliminer — à condition que vous sachiez qu’ils sont là.
Comment détecter un malware
Si vous présentez l’un des symptômes énumérés ci-dessus, il y a de fortes chances qu’il s’agisse de malware. Cela peut provenir d’un e-mail — mais pas nécessairement. Il existe d’autres moyens pour ces programmes de s’intégrer à votre ordinateur — téléchargements, sites web douteux et même périphériques matériels malveillants. Si vous trouvez un jour une clé USB dans la rue, ne regardez pas ce qu’elle contient.
Protégez-vous contre le malware
Au risque d’énoncer une évidence, essayez un logiciel de détection de malware. Mais choisissez quelque chose de réputé.
Si vous cherchez sur Google comment prévenir le malware dès le départ, le principal conseil est d’installer un logiciel antivirus. Personnellement, je ne connais personne qui ait fait cela depuis la fin des années 2010, mais qui suis-je pour contredire l’ensemble des connaissances humaines et de l’expérience de masse homogénéisées en une réponse d’une ligne par Gemini, servie en une fraction defraction de seconde ?
Cela dit, la protection contre les menaces offerte par les systèmes d’exploitation est généralement meilleure qu’aux débuts, Windows en particulier se met à jour pour se protéger contre les menaces, mais plus important encore, beaucoup de logiciels de messagerie font le travail à notre place, en filtrant les e-mails suspects avant qu’ils ne nous parviennent.
C’est une bonne idée de trouver un fournisseur de messagerie qui met en avant une bonne protection contre le malware et analyse vos e-mails avant qu’ils ne vous parviennent. C’est particulièrement utile lorsqu’il s’agit d’éviter les attaques psychologiques (et nous y reviendrons dans un instant).
Si nous parlons de protection plutôt que de prévention, il est judicieux de conserver des sauvegardes régulières, au cas où vous seriez victime de l’une de ces attaques. Personnellement, je recommande quelque chose comme Mega Sync, qui se met à jour chaque fois que vous enregistrez un fichier.
Phishing
De nos jours, vous êtes probablement le plus susceptible de tomber sur une arnaque de phishing par e-mail. Pourquoi ? Parce que, comme une mélodie entraînante ou l’odeur du printemps, nous sommes tous sensibles à leurs charmes. Mais comment identifier le phishing ?
Les attaques de phishing sont efficaces en raison de leur polyvalence. Parfois, il n’est pas difficile de détecter le phishing. Elles peuvent être n’importe quoi : littéralement tout ce qui pousse quelqu’un à saisir ses données personnelles. Pensez à n’importe quelle raison qui pourrait vous pousser à partager vos données personnelles ou à envoyer de l’argent à quelqu’un, et cela a le potentiel de devenir un e-mail de phishing.
Voici quelques exemples, et gardez à l’esprit que la clé du phishing est que tous ces e-mails semblent réels, mais sont faux :
Notification de réinitialisation du mot de passe.
Renseignez les coordonnées bancaires manquantes.
Complétez votre adresse postale pour permettre la livraison.
Renouvelez votre abonnement.
Vous avez gagné un concours !
Un ami dans le besoin qui demande de l’aide.
Notification de remboursement d’impôt.
Demande de dons caritatifs.
Si vous n’avez jamais vu d’arnaque de phishing, êtes-vous vraiment un poisson ? Elles sont si omniprésentes qu’il est difficile d’imaginer l’e-mail sans elles. Mais il y a plus d’une façon de pêcher…
Spear phishing et whaling
Le spear phishing et le whaling ciblent des personnes précises, souvent avec des tactiques plus agressives.
Le spear phishing utilise des informations personnelles, généralement obtenues à partir de plusieurs sources, pour créer des e-mails plus convaincants. Comme il est rédigé à partir d’informations personnelles, il peut faire référence à de vrais amis, à des situations réelles, ou même usurper l’identité d’une banque (etc.) de manière plus convaincante. Si vous pensez que cela a peu de chances de vous arriver, gardez à l’esprit que la plupart des gens ont plus d’informations accessibles publiquement en ligne qu’ils ne le pensent.
Si quelqu’un se faisait passer pour votre ami et faisait référence à un événement très précis auquel vous avez tous deux assisté il y a dix ans, pourquoi n’y croiriez-vous pas ? Il vous faudrait peut-être un moment pour vous rappeler que vous en avez parlé en détail sur Facebook et que la publication est visible publiquement. Lorsqu’il vous demande de lui prêter de l’argent, peut-être lui donneriez-vous un coup de main.
Nous sommes tous vulnérables au spear phishing, ce qui le rend plus dangereux que les arnaques plus évidentes. Une réserve heureusement, c’est que le niveau de recherche nécessaire pour réussir une arnaque de spear phishing rebute la plupart des escrocs. Il leur est plus facile de miser sur un e-mail de masse auquel moins de personnes répondront. Mais est-ce là que l’IA interviendra à l’avenir ? Nous devons rester vigilants.
Whaling
Alors, qu’est-ce que le whaling ? Eh bien, à bien des égards, une attaque de whaling est à peu près la même chose que le spear phishing, mais elle vise spécifiquement des personnes fortunées, comme les PDG.
La triste réalité, c’est que leur statut en fait à la fois de meilleures cibles dans lesquelles investir du temps et que d’autres facteurs (comme leur richesse, leurs responsabilités, leur manque de temps et leur vaste réseau de contacts) créent plusieurs faiblesses potentielles à exploiter. Par exemple, il suffit peut-être de convaincre un assistant personnel ou un secrétaire qu’ils ont l’aval du PDG. Il semble donc que le whaling commercial soit toujours une mauvaise chose.
Comment se protéger contre le spear phishing et le whaling
Au-delà de ce qui est indiqué dans notre guide général ci-dessus, vous devriez également mettre en place un filtrage anti-spam robuste. Le facteur humain est vraiment là où les e-mails de phishing excellent. Si le malware est une simple astuce, alors, à un certain niveau, le phishing exige notre complicité. Après tout, c’est nous qui devons divulguer nos informations. Comme nous l’avons vu, il y parvient en faisant appel à notre réaction émotionnelle.
Donc, faire en sorte que nous n’entrions jamais en contact avec cela dès le départ est le moyen le plus efficace de le combattre. Les filtres anti-spam recherchent plusieurs éléments lorsqu’ils évaluent un e-mail, que nous, humains, ne pouvons pas détecter. Ils recoupent des listes noires, des schémas comportementaux connus et même une méthode appelée filtrage bayésien. Celle-ci compare le contenu d’un e-mail à celui de spams connus et d’e-mails légitimes afin de calculer la probabilité qu’il s’agisse d’un spam. De plus, les bons filtres anti-spam tiennent compte de ce que les autres utilisateurs signalent comme spam, créant ainsi ce qu’on appelle une boucle de rétroaction utilisateur.
Messagerie professionnelle compromise
Légèrement différent de tout ce que nous avons examiné jusqu’à présent, cela vient de l’angle opposé — l’idée qu’un compte de messagerie légitime a été compromis. Il ne doit pas nécessairement s’agir d’un compte professionnel, mais pour les besoins de cette entrée, il y a des facteurs plus intéressants à évoquer si nous imaginons que c’en est un.
Si un escroc peut accéder illégalement à un compte de messagerie professionnelle, il peut se faire passer pour des employés afin de demander des fonds, ou même obtenir l’accès à d’autres systèmes internes pouvant contenir des données sensibles.
La compromission d’un compte professionnel exploite également une autre particularité sociale inhérente à de nombreuses entreprises, en particulier les plus grandes : il est peu probable que chaque membre du personnel connaisse tout le monde. Cela, combiné au fait que les gens sont censés être polis dans un environnement de travail, signifie que ces e-mails bénéficient d’avantages supplémentaires par rapport aux comptes privés.
Comment se protéger contre cela
Veiller à ce que tous les employés utilisent l’authentification à deux facteurs (2FA par e-mail) et choisissent des mots de passe robustes réduit considérablement le risque de comptes volés/piratés. La 2FA garantit que le titulaire du compte saura toujours si quelqu’un tente de s’y introduire, et un mot de passe robuste rend les attaques par force brute plus difficiles.
Vous pouvez également réduire le risque de problèmes futurs en désactivant immédiatement les comptes des employés qui quittent l’entreprise. Un cimetière de comptes inutilisés qui prennent la poussière n’est qu’un accident en attente de se produire.
Fausses factures
L’un des thèmes que vous remarquerez peut-être est l’exploitation de différents extrêmes émotionnels. Jusqu’à présent, nous avons examiné la peur ou la négligence d’un PDG et la supposée apathie d’un employé envers un autre. Essayons maintenant la colère.
Quelqu’un prétend que vous lui devez de l’argent et exige un remboursement immédiat. Cette personne est en colère, dit des choses qui vous font douter de vos propres souvenirs, ou crée une situation dont vous ne pouvez pas être certain qu’elle n’est pas réelle. La virulence et la colère s’intensifient jusqu’à ce qu’il semble presque plus simple de la payer.
Cela peut sembler peu probable pour beaucoup d’entre nous, mais c’est peut-être justement le pire dans tout cela : il y a de fortes chances que « nous » ne soyons pas leurs cibles. Leur réussite viendra des personnes vulnérables. Celles qui ne se souviennent peut-être vraiment pas, ou qui font davantage confiance aux inconnus.
Prévention
Si nous partons du principe que nous ne paierons pas des factures aléatoires reçues par e-mail, cela vaut peut-être la peine de profiter de cette occasion pour suggérer d’en parler aux personnes de votre entourage qui ont moins d’expérience en ligne. Demandez-leur si elles ont besoin d’aide pour identifier les arnaques, et expliquez-leur que ce n’est pas parce que quelqu’un réclame de l’argent que sa demande est légitime. Après tout, nous devons veiller les uns sur les autres, et personne n’a envie de voir quelqu’un tomber tête baissée dans une arnaque évidente.
Il existe des ressources vers lesquelles vous pouvez orienter les gens qui peuvent les accompagner de manière conviviale.
Menace | Objectif | Cible typique |
|---|---|---|
Spam | Publicité/arnaques | Tout le monde |
Phishing | Identifiants | Tout le monde |
Malware | Infection de l’appareil | Tout le monde |
Spear phishing | Victime spécifique | Particuliers |
Whaling | Dirigeants | PDG, directeurs financiers |
Business Email Compromise | Fraude financière | Entreprises |
Spam vs phishing vs malware
Le spam est le moins dangereux des trois. Les spécialistes du marketing et les annonceurs envoient des quantités massives de messages automatisés faisant la promotion d’offres à prix réduit et de produits. Même s’il est pénible de les supprimer de votre boîte de réception, il ne cherche pas activement à voler votre argent ni à endommager votre ordinateur.
Le phishing, en revanche, est bien plus dangereux. Ces e-mails vous incitent à cliquer sur un lien malveillant qui vous mène à une fausse page de connexion conçue pour voler des informations sensibles comme vos noms d’utilisateur et mots de passe.
Le malware arrive souvent déguisé en pièce jointe inoffensive dans un e-mail que vous recevez. Une fois ouvert, il peut installer sur votre appareil des programmes dangereux qui enregistrent vos frappes au clavier, volent vos fichiers privés ou vous bloquent l’accès à l’ensemble de votre système.
La différence essentielle :
Le spam essaie de vous vendre quelque chose.
Le phishing essaie de vous tromper pour que vous divulguiez vos informations.
Le malware essaie d’infecter directement votre ordinateur.
Spam | Phishing | Malware |
|---|---|---|
Messages indésirables | Vol d’identifiants | Infection de l’appareil |
Vous protéger et protéger les autres
Plus sérieusement, qu’il s’agisse de spam ou d’arnaque, il n’y a vraiment pas de quoi rire. Des gens sont réellement blessés, perdent de l’argent ou se sentent stupides après coup.
Nous avons suggéré plusieurs moyens de vous protéger, mais au fond, tout se résume à trois choses :
Activez autant de sécurité que possible
Tout ce que votre fournisseur propose, qu’il s’agisse de la 2FA, de mots de passe générés automatiquement ou même du chiffrement — peu importe. Configurez-les. Cela rend simplement votre compte un peu plus difficile à détourner.
Choisissez un fournisseur axé sur la sécurité
Un fournisseur doté d’un logiciel performant de gestion du spam et de mises à jour de sécurité fréquentes est probablement votre meilleure forme de protection continue en tant qu’entreprise. La plupart des arnaques que nous avons décrites commencent et se terminent par la gestion du spam. Si nous ne les voyons jamais, elles ne posent jamais problème.
Restez à l’affût
Les arnaques de phishing n’arrêtent jamais d’évoluer. Elles vous ciblent, pas votre boîte de réception, donc vous êtes votre meilleure défense.
Avez-vous des pratiques pour éviter de tomber dans le piège du spam et des arnaques ? Nous serions ravis de les connaître ! Laissez vos réflexions ou questions dans la section des commentaires ci-dessous
Questions fréquemment posées
Le phishing est une attaque par e-mail dans laquelle des escrocs se font passer pour des entreprises ou des personnes de confiance afin de vous inciter à agir. Ces actions consistent généralement à révéler des mots de passe, à partager des informations financières ou à envoyer directement de l’argent à l’attaquant.
Le spam se compose de messages de masse automatisés et indésirables, principalement envoyés pour faire la publicité de produits ou de services. Bien que le spam soit surtout une nuisance agaçante, le phishing est une menace de sécurité malveillante spécialement conçue pour voler des informations sensibles ou de l’argent.
Recherchez des adresses e-mail d’expéditeur incohérentes, une mauvaise grammaire ou des fautes de frappe, un langage urgent ou menaçant, ainsi que des liens pointant vers de faux domaines web. Soyez extrêmement prudent face aux pièces jointes inattendues ou aux demandes d’informations personnelles.
Les malwares dans les e-mails désignent des logiciels malveillants diffusés par le biais de pièces jointes ou de liens frauduleux. Une fois ouverts ou téléchargés, ils peuvent installer des virus, des ransomwares ou des logiciels espions sur votre appareil afin d’enregistrer vos frappes au clavier, de voler des fichiers ou de bloquer l’accès au système.
Le spear phishing est une forme de phishing très ciblée qui utilise des informations personnalisées sur une personne précise pour créer un e-mail sur mesure et crédible. Les attaquants se renseignent au préalable sur leur cible afin de rendre leur demande authentique.
Le whaling est un type spécialisé de spear phishing qui cible des personnes très en vue, comme les PDG, les directeurs financiers ou les chefs d’entreprise. Les escrocs ciblent ces dirigeants à forte valeur nette, car le gain financier potentiel est bien plus important.
La compromission des e-mails professionnels se produit lorsqu’un attaquant pirate ou usurpe un compte de messagerie légitime d’une entreprise. L’escroc se fait alors passer pour un dirigeant ou un partenaire de confiance afin de convaincre des employés de virer des fonds de l’entreprise ou de partager des données internes.
Utiliser un fournisseur de messagerie axé sur la sécurité avec un filtre anti-spam performant empêchera la plupart des messages malveillants d’atteindre votre boîte de réception principale. Associer un bon filtrage du spam à l’authentification à deux facteurs et à un sain scepticisme en ligne est la meilleure façon de se protéger contre les menaces.
Si vous avez saisi des informations financières, contactez immédiatement votre banque pour bloquer les cartes ou comptes concernés. Ensuite, changez les mots de passe de tous les comptes compromis et lancez une analyse de sécurité complète sur votre appareil pour vérifier la présence de malware.
Articles suggérés
Commentaires (2)
Lily Simon
9 août 2025
Olha Nesen. Product and Marketing Coordinator
13 août 2025