Pour détecter un email de phishing, contrôlez ensemble l’identité réelle de l’expéditeur, la destination des liens, le caractère inhabituel de la demande, la pression exercée et le contexte métier. Un logo correct ou l’absence de faute ne prouve rien : la décision doit reposer sur plusieurs signaux concordants.
plaintes BEC en 2025
Le FBI a reçu 24 768 plaintes pour compromission de messagerie professionnelle, avec plus de 3,0 milliards de dollars de pertes déclarées. Le chiffre mesure les signalements reçus, pas l’ensemble des attaques.
FBI — 2025 Internet Crime ReportLes signaux qui méritent vraiment votre attention
Les campagnes modernes copient correctement les chartes graphiques et écrivent dans un français crédible. Cherchez donc une incohérence exploitable : domaine voisin de l’original, adresse de réponse différente, lien raccourci, pièce jointe inattendue, changement soudain de procédure ou demande qui contourne un contrôle habituel.
L’urgence est un amplificateur, pas une preuve. Un message devient particulièrement risqué lorsqu’il combine urgence, action irréversible et secret : payer immédiatement, communiquer un code MFA, ouvrir un document protégé ou modifier un RIB sans validation secondaire.
- Afficher l’adresse complète et le Reply-To
- Survoler le lien sans cliquer
- Vérifier la demande par un canal déjà connu
- Refuser tout partage de mot de passe ou code MFA
La vérification en sept contrôles
Commencez par identifier ce que le message veut obtenir : identifiants, argent, exécution d’un fichier ou ouverture d’une session. Comparez ensuite le domaine visible avec le domaine réel, inspectez la cible du lien, vérifiez si l’expéditeur utilise normalement ce canal et confirmez les faits indépendamment du message.
Sur mobile, où l’adresse et l’URL sont souvent tronquées, différez l’action si vous ne pouvez pas afficher les détails. Accédez au service depuis un favori ou une adresse saisie manuellement plutôt que depuis le bouton reçu.
- Intention de la demande
- Adresse réelle
- Destination réelle
- Contexte attendu
- Canal de confirmation
- Impact d’une erreur
- Signalement avant suppression
Vous avez cliqué : quoi faire dans les dix premières minutes
Ne continuez pas à naviguer dans la page. Déconnectez l’équipement du réseau si un fichier a été exécuté, puis contactez le support ou le SOC avec l’heure, l’objet du message et l’action réalisée. Si des identifiants ont été saisis, changez le mot de passe depuis un appareil sain et révoquez les sessions actives selon la procédure interne.
Le signalement rapide permet aux défenseurs de rechercher le même message, bloquer les domaines et identifier les comptes qui ont interagi. Supprimer silencieusement l’email protège une seule boîte ; le signaler peut protéger toute l’organisation.
Ce que le SOC doit conserver et corréler
Une investigation utile relie l’email aux journaux d’identité, au proxy, au DNS et à l’endpoint. Les en-têtes complets, l’URL normalisée, le hash de la pièce jointe, l’heure du clic et les authentifications qui suivent donnent une chronologie bien plus fiable qu’une capture d’écran.
Le playbook doit distinguer réception, clic, saisie d’identifiants et exécution. Ces quatre situations n’exigent ni le même confinement ni le même niveau d’escalade.
Matrice de décision opérationnelle
| Étape | Question à résoudre | Résultat attendu |
|---|---|---|
| Identifier la demande | Que veut obtenir le message : secret, argent, clic ou exécution ? | Nommer l’impact potentiel |
| Contrôler l’identité | Comparer From, Reply-To et domaine réel. | Écarter les domaines ressemblants |
| Vérifier hors bande | Revenir au service par un favori ou un canal connu. | Confirmer sans répondre au message |
Lecture opérationnelle
La qualité de la langue n’est plus un filtre fiable. La décision vient d’un faisceau de signaux et du contexte métier.
Le bon niveau de contrôle dépend du contexte, des actifs exposés et de l’impact métier : documentez les hypothèses, mesurez le résultat et réévaluez après chaque changement significatif.
Passez du doute à une analyse structurée
The Phish Analyzer réunit dans un même atelier le triage d’un email suspect, l’extraction des indicateurs et les pivots d’investigation utiles à un analyste ou à une équipe SOC.
- Import et analyse d’emails RFC822 ou EML : en-têtes, authentification, URL, domaines, adresses et pièces jointes.
- Investigation des URL, domaines et fichiers avec enrichissements OSINT et signaux de réputation configurables.
- Ouverture contrôlée des liens dans un navigateur distant isolé, avec captures et traces pour documenter le dossier.
Voir la démonstration complèteQuestions fréquentes
Un email sans faute peut-il être du phishing ?
Oui. La qualité du texte n’est plus un critère fiable. Vérifiez surtout le domaine, le lien, la demande et son contexte.
Faut-il répondre à l’expéditeur pour vérifier ?
Non. Utilisez un numéro, un favori ou un canal déjà connu afin de ne pas rester dans le canal potentiellement compromis.
Dois-je supprimer immédiatement le message ?
Signalez-le d’abord avec le mécanisme prévu par votre organisation, puis suivez la consigne de suppression.
Sources officielles
Achraf Hachimi
Ingénieur SOC Senior / CSIRT certifié CISSP, spécialisé en Incident Response, Threat Hunting et Detection Engineering. Huit ans d’expérience en environnements critiques avec Splunk ES, Microsoft Defender XDR, SentinelOne et Cybereason.