Qu’est-ce que le phishing — et pourquoi est-il si efficace ?
Le phishing consiste à envoyer des e-mails frauduleux qui se font passer pour des organisations de confiance — banques, services de livraison, administrations, fournisseurs de messagerie — afin de piéger leurs destinataires et leur soutirer identifiants, données bancaires ou informations personnelles.
Si c’est efficace, c’est pour une raison toute simple : tomber dans le panneau ne demande aucune compétence technique. Un e-mail de phishing convaincant ressemble exactement à un e-mail authentique. Le nom de l’expéditeur correspond. Le logo est correct. Le texte est professionnel. Les seuls indices sont subtils — un domaine légèrement différent, un lien qui ne mène pas vraiment où il prétend mener — et la plupart des gens ne les cherchent pas activement quand ils ouvrent leur boîte mail.
Le volume donne le vertige. Plus de 3,4 milliards d’e-mails de phishing sont envoyés chaque jour. En 2023, le phishing était impliqué dans 36 % de toutes les fuites de données. Et la principale surface d’attaque, à chaque fois, c’est la même chose : votre adresse e-mail.
6 types d’attaques de phishing à connaître
Phishing par e-mail — campagnes massives qui imitent des marques connues (banques, sociétés de livraison, services de streaming). On ratisse large, on joue sur le volume.
Spear phishing — attaques ciblées qui utilisent votre nom, votre employeur ou une activité récente pour paraître personnalisées. Beaucoup plus convaincantes que les campagnes en masse.
Whaling — spear phishing visant spécifiquement des dirigeants ou des cibles à forte valeur. Très documenté, imite souvent des membres du conseil ou des services juridiques.
Smishing — phishing par SMS, souvent avec des liens raccourcis. En forte croissance à mesure que les filtres e-mail s’améliorent.
Vishing — phishing par appel téléphonique. Souvent en complément d’un e-mail, pour ajouter de la légitimité (« je vous appelle au sujet de l’e-mail que nous venons de vous envoyer »).
Clone phishing — l’attaquant intercepte un e-mail légitime que vous avez déjà reçu et renvoie une version quasi identique, avec les liens remplacés par des liens malveillants.
8 signaux d’alerte d’un e-mail de phishing
Le domaine de l’expéditeur ne correspond pas à l’entreprise. Un vrai e-mail de PayPal vient bien de @paypal.com — pas de @paypal-security.net, ni de @paypal.support-team.com, ni d’une autre variante. Vérifiez le domaine réel, pas seulement le nom affiché.
Des liens qui ne mènent pas là où ils prétendent. Survolez chaque lien avant de cliquer. Si l’URL affichée ne correspond pas à ce que dit l’e-mail, ne cliquez pas. Sur mobile, appuyez et maintenez pour prévisualiser.
Des pièces jointes inattendues — surtout en .zip, .exe, .doc. Les pièces jointes sont un canal majeur de diffusion de malware. Une banque, une administration ou un employeur sérieux ne vous enverra quasiment jamais une pièce jointe que vous n’avez pas demandée.
Des demandes de mots de passe, numéros de carte ou données personnelles. Aucune organisation légitime ne vous demandera jamais par e-mail votre mot de passe, votre code, votre numéro de carte complet ou votre numéro de sécurité sociale complet. Ce sera toujours du phishing.
Des formules d’appel génériques au lieu de votre vrai prénom. Les campagnes de phishing massif utilisent souvent « Cher client » ou « Bonjour utilisateur » plutôt que votre nom. Ce n’est pas une preuve absolue — le spear phishing, lui, vous nomme — mais un appel générique sur un e-mail sensible (sécurité, banque, etc.) est un sérieux signal d’alerte.
Des pages de connexion suspectes ou douteuses. Si un lien vous amène vers un écran de connexion, examinez l’URL avec soin avant de saisir quoi que ce soit. Les phishers fabriquent des copies très réussies sur des domaines légèrement différents.
De l’urgence ou des menaces. « Votre compte sera suspendu dans 24 heures. » « Action immédiate requise. » Cette urgence artificielle est précisément faite pour court-circuiter votre esprit critique.
Mise en page bancale, polices bizarres, images cassées. Même si l’IA a fait monter la qualité moyenne du phishing, les campagnes les plus bâclées présentent encore des erreurs de mise en page, des espacements étranges ou des logos cassés qui trahissent le faux.
Comment l’e-mail anonyme vous retire de la liste des cibles
La plupart des attaques de phishing ont besoin de votre vraie adresse pour vous atteindre. Cette adresse a forcément été récupérée quelque part — fuite de données, liste rachetée, site scrapé, service compromis sur lequel vous vous étiez inscrit il y a des années.
Si votre vraie adresse n’a jamais été donnée à un service donné, ce service ne peut pas la faire fuiter. C’est exactement la protection que vous offre l’e-mail jetable.
À chaque fois que vous utilisez une boîte jetable à la place de votre vraie adresse pour une inscription, vous supprimez une source potentielle d’exposition de plus. L’adresse jetable peut très bien finir dans une fuite, finir dans une liste, recevoir des e-mails de phishing — mais elle aura expiré bien avant tout cela, et elle n’est rattachée d’aucune façon à votre identité réelle.
Ce qui change avec un e-mail jetable
- Les services compromis font fuiter une adresse morte, pas la vôtre
- Les listes de spam compilées à partir de vos inscriptions contiennent des adresses qui n’existent plus
- Les campagnes de spear phishing qui se renseignent sur vous ne trouvent aucun historique d’e-mails lié à votre vraie identité
- La surface d’attaque pour le phishing ciblé se réduit drastiquement
Avec une boîte de 10 minutes, la fenêtre d’exposition est si courte que tout délai entre la fuite et la campagne arrive après l’expiration de l’adresse. Avec une boîte de 3 jours, l’adresse est aléatoire et non liée à un profil personnel : un attaquant n’a rien à étudier ni à exploiter.
Qui utilise l’e-mail anonyme — et pourquoi
Les acheteurs en ligne — pour éviter des séquences marketing à vie et l’exposition aux fuites pour un achat ponctuel.
Les développeurs et équipes QA — des boîtes propres et isolées pour tester des flux d’e-mails sans polluer leurs vraies adresses.
Les joueurs — comptes de test et accès aux bêtas sans laisser de trace permanente liée à leur vraie identité.
Les chercheurs et journalistes — accéder à des sources, plateformes et services sans créer un sillage de données qui pourrait être ciblé.
Les voyageurs — passer les portails Wi-Fi des aéroports et des hôtels sans donner une vraie adresse.
Les professionnels — étudier des concurrents et évaluer des services sans déclencher de relances commerciales.
Les utilisateurs soucieux de leur vie privée — toute personne qui considère son e-mail réel comme un actif à protéger plutôt que comme une marchandise à distribuer.
Que faire si vous avez déjà cliqué sur un lien de phishing
Agissez tout de suite. Plus vous attendez, plus les dégâts s’aggravent.
Si vous avez saisi des identifiants : changez votre mot de passe sur le service concerné et sur tout autre service où vous utilisez le même. Activez immédiatement l’authentification à deux facteurs sur votre messagerie principale.
Si vous avez saisi des informations de paiement : contactez votre banque sans attendre et demandez le blocage ou le remplacement de la carte. Contestez tout débit que vous ne reconnaissez pas.
Si vous avez téléchargé un fichier : lancez un scan antivirus complet avant de continuer à utiliser l’appareil. Coupez la connexion internet si vous suspectez une infection active.
Dans tous les cas : utilisez le vérificateur de fuites d’e-mail pour voir si vos identifiants circulent déjà, et surveillez vos comptes de près pendant les semaines qui suivent.
À lire ensuite
- Qu’est-ce qu’un e-mail jetable ? Le guide complet
- Comment l’e-mail temporaire protège votre vie privée en ligne
- Le guide complet de la confidentialité des e-mails
- Comment éviter le spam : 7 stratégies éprouvées
- Temp mail qui ne reçoit pas l’OTP ? Réparez ça vite
- Comment vérifier SPF, DKIM et DMARC
- E-mail jetable, burner email et temp mail comparés
Comprendre comment fonctionne l’authentification e-mail vous aide aussi à juger quels fournisseurs de temp mail méritent votre confiance.
Le moyen le plus simple de réduire votre surface d’attaque au phishing, c’est de réduire le nombre de services qui détiennent votre vraie adresse. Commencez avec une boîte jetable gratuite — deux secondes suffisent et rien ne vous est demandé.
Your temp mail is ready right now
No signup, no password. A disposable inbox waiting the moment you open the page.
Get My Free Temp Mail →