Ce mail est vrai ou pas ?

Lundi matin, 9h43. Une cliente me transfère un mail avec un seul commentaire : « Important non ?? »

Le mail en question : une alerte de sécurité signée Google, tout en anglais, avec un « Severity: HIGH » bien anxiogène au milieu. Le genre de message qui te laisse hésiter entre tout débrancher et faire comme si de rien n’était.

Elle a fait exactement ce qu’il fallait : rien. Pas de clic, pas de réponse. Elle a demandé à quelqu’un de confiance.

Le twist ? Ce mail-là était authentique. Google la prévenait, en tant que responsable de son nom de domaine, que quelqu’un de son équipe avait signalé un mail frauduleux. Le système avait fonctionné. Mais elle n’avait aucun moyen de le savoir.

Et c’est ça, le vrai problème de 2026 : les vrais messages de sécurité ressemblent à des arnaques, et les arnaques ressemblent à des messages de sécurité. Ton instinct ne suffit plus. Voilà pourquoi, et surtout, voilà quoi faire.

Pourquoi ton instinct ne suffit plus

Tu as peut-être vu passer les gros titres cet été. L’ANTS, l’agence qui gère les cartes grises, les permis et les passeports : 11,7 millions de comptes exposés en avril. Les impôts : 678 000 contribuables touchés, reconnu par la DGFiP le 14 août. Quatre jours plus tard, de faux mails « alerte DGFiP » circulaient déjà, calqués sur la vraie annonce. Même Bloctel, l’ancienne liste anti-démarchage, a fui. La presse spécialisée a résumé la période en un titre : « l’infernal été des fuites » des services de l’État.

Ajoute les fuites privées de ces derniers mois (Free, sanctionné de 42 millions d’euros par la CNIL en janvier pour une fuite de 24 millions de comptes, IBAN compris, puis Bouygues Telecom, SFR cet été, une mutuelle de plus d’un million d’assurés fin août) et tu obtiens ce chiffre, publié en juillet : 43 millions de comptes français compromis sur le seul premier semestre 2026. Record d’Europe.

Concrètement, qu’est-ce que ça change pour toi ? Tout.

Ces données se revendent, puis servent à fabriquer des messages sur mesure. En juin, des milliers de Français ont reçu la relance d’un abonnement fantôme à 69 euros. Dans le mail : leur vrai nom, leur vraie adresse, leur vrai IBAN. Difficile de ne pas y croire.

Pendant ce temps, l’IA a réglé le dernier détail qui trahissait les escrocs : les fautes d’orthographe ont pratiquement disparu des messages frauduleux.

Autrement dit, tes deux vieux réflexes sont morts :

« Il y a des fautes, c’est louche. » Les arnaques sont désormais mieux écrites que certains vrais courriers.
« Il connaît mon IBAN, c’est forcément vrai. » Ton IBAN est peut-être déjà dans la nature.

Les chiffres officiels racontent la même histoire. En 2025, Cybermalveillance.gouv.fr a traité 504 000 demandes d’aide, en hausse de 20 % sur un an. Le phishing a bondi de 70 %, l’arnaque au faux conseiller bancaire de 159 %. Et la Banque de France a compté 245 millions d’euros détournés « par manipulation » sur le seul premier semestre 2025. Pas par piratage de haut vol : par persuasion. On ne force plus ta serrure, on te convainc d’ouvrir la porte.

La bonne nouvelle : quelques réflexes simples suffisent à fermer cette porte. Les voici.

Avant de cliquer

1. Un message qui te presse est un message qui te piège. Payer avant ce soir, colis renvoyé demain, compte suspendu sous 24 heures : l’urgence est l’outil numéro un des escrocs, parce qu’elle court-circuite ta réflexion. Aucune démarche légitime ne meurt en cinq minutes. Prends le temps d’un café avant d’agir.

2. Lis l’adresse, pas le nom. Le nom affiché (« Google », « La Poste », « Service des impôts ») se falsifie en deux clics. Ce qui compte, c’est l’adresse complète de l’expéditeur et son domaine exact : les impôts n’écrivent que depuis dgfip.finances.gouv.fr, les amendes depuis antai.gouv.fr. Un domaine à rallonge, exotique ou à une lettre près : poubelle.

3. Un mail parfait qui te connaît peut être faux. Ton nom, ton adresse, ton IBAN, ta plaque d’immatriculation : tout cela circule après les fuites. Un message impeccable qui cite tes vraies informations ne prouve plus rien. Juge la demande, pas la politesse du message.

4. Ne te connecte jamais via un lien reçu. Banque, impôts, Ameli, suivi de colis : toujours l’application officielle, ou l’adresse tapée à la main dans le navigateur. Un QR code est un lien comme un autre, même règle : on en colle des faux sur les bornes de recharge, les parcmètres et les pare-brise.

Au téléphone

5. Raccroche, et rappelle toi-même. Le numéro qui s’affiche peut être falsifié ; cette usurpation a explosé de 517 % en 2025. « Ta banque » t’appelle pour une opération suspecte ? Tu raccroches, tu rappelles le numéro au dos de ta carte. Ce réflexe neutralise à lui seul l’arnaque au faux conseiller bancaire, la plus coûteuse du moment.

6. Un code reçu par SMS ne se donne jamais. Et on ne valide jamais une opération dans son appli parce qu’une voix au téléphone le demande, même rassurante, même qui connaît ton nom. Aucune banque ne procède comme ça. Celui qui insiste vient de se démasquer.

7. Depuis le 11 août, raccrocher est ton droit absolu. Le démarchage téléphonique sans ton consentement est désormais interdit, tous secteurs confondus. Un appel commercial que tu n’as pas sollicité (CPF, énergie, placements, « Google ») est donc illégal ou frauduleux. Dans les deux cas, la réponse est la même : tu raccroches, sans remords.

8. L’écran qui hurle au virus ment. Une page qui bloque ton navigateur avec une alarme et un numéro à appeler, c’est du théâtre. Microsoft n’appelle jamais et n’affiche jamais de numéro de téléphone. Ferme le navigateur (par le gestionnaire de tâches s’il le faut) et ne laisse jamais personne prendre la main sur ton ordinateur à distance.

Ton argent, ta boîte mail : le volet pro

9. Changement de RIB = coup de fil obligatoire. Un fournisseur qui annonce de nouvelles coordonnées bancaires par mail, un salarié qui demande à changer son RIB : tu vérifies de vive voix, au numéro que tu connaissais déjà, jamais à celui écrit dans le mail. Et depuis octobre, ta banque vérifie que le nom du bénéficiaire correspond à l’IBAN avant un virement : si elle affiche une alerte, écoute-la.

10. Ta boîte mail est la clé de toutes les autres. Qui contrôle ta boîte mail peut réinitialiser tes mots de passe, lire tes factures et écrire à tes clients en ton nom. C’est d’ailleurs la première menace visant les professionnels. Active la double authentification dessus en priorité, puis partout ailleurs. Et adopte un gestionnaire de mots de passe : un mot de passe unique par compte, sans effort de mémoire.

11. Mets à jour, sauvegarde à part. Les mises à jour bouchent les trous connus ; une sauvegarde déconnectée est le filet quand tout le reste a raté. Ça paraît basique ? Près d’une victime de rançongiciel sur deux accompagnée par l’ANSSI est une TPE ou une PME.

Dans le doute, et si c’est trop tard

12. Le doute suffit. Tu n’as pas à prouver qu’un message est une arnaque pour l’ignorer. Pas sûr ? Tu ne cliques pas, tu ne réponds pas, tu vérifies par le canal officiel. Ou tu demandes (j’y viens).

13. Si tu as cliqué ou payé, tout n’est pas perdu. Opposition immédiate auprès de ta banque, changement des mots de passe concernés, captures d’écran pour garder les preuves. Et retiens ceci : le remboursement d’une opération que tu n’as pas autorisée est un droit, et la jurisprudence récente protège de mieux en mieux les victimes de ces manipulations. Ne laisse personne te faire porter le chapeau.

14. Signale : ça protège tout le monde. Un SMS louche se transfère au 33700. Pour le reste, 17cyber.gouv.fr te guide 24h/24 et peut te mettre en relation avec un policier ou un gendarme. Et le bouton « Signaler comme hameçonnage » de ta messagerie sert vraiment : c’est ce signalement, fait par l’équipe de ma cliente, qui avait déclenché l’alerte de lundi matin. La boucle est bouclée.

Le 15e réflexe

Il ne figure dans aucun guide officiel, et c’est pourtant le plus simple : dans le doute, transfère-moi le mail.

Beaucoup d’entre vous le font déjà, souvent en s’excusant de me déranger. Ne vous excusez plus : c’est officiellement le réflexe maison. Un coup d’œil me suffit dans la plupart des cas pour te dire si c’est du vrai ou du toc, et je préfère mille fois répondre « fausse alerte » que t’aider à ramasser les morceaux après.

Alors en cette rentrée, un seul devoir de vacances : au moindre doute sur un mail, un SMS ou un appel, tu ne cliques pas, tu transfères.

Bonne rentrée, prudente et sereine.

Matthieu

PS : pour ceux qui ont une fiche d’établissement Google (autant dire presque tous mes clients) : Google ne facture jamais le maintien d’une fiche et ne t’appellera jamais pour menacer de la suspendre. Quelqu’un qui t’appelle « de la part de Google » veut ton argent ou tes accès. Tu connais la chanson maintenant : tu raccroches, et tu m’écris.