Phishing : reconnaître et prévenir | Securevalley

2 juillet 2026 · Nouh Droussi · Cybersécurité · Maroc · 4 min de lecture · Mis à jour 26 septembre 2026

Comment repérer un e-mail d'hameçonnage et bâtir une défense en couches : SPF, DKIM, DMARC, filtrage, MFA FIDO2 et procédure de réponse.

Le phishing (hameçonnage) consiste à usurper l'identité d'un interlocuteur de confiance pour pousser une personne à cliquer, ouvrir une pièce jointe, saisir ses identifiants ou valider un paiement. On le repère grâce à quelques signaux concrets, et on le prévient en combinant mesures techniques, authentification résistante au phishing et procédures claires pour les utilisateurs. Aucune mesure isolée ne suffit : c'est l'empilement des défenses qui réduit le risque.

Les principales formes de phishing

Le principe reste le même, mais les canaux et les cibles varient :

• le phishing de masse par e-mail, qui imite une banque, un transporteur ou un service en ligne ;
• le spear phishing, ciblé sur une personne ou un service, préparé à partir d'informations publiques (réseaux sociaux, site de l'entreprise) ;
• la fraude au président ou compromission de messagerie professionnelle (BEC), où l'attaquant se fait passer pour un dirigeant ou un fournisseur afin d'obtenir un virement ;
• le smishing (par SMS) et le vishing (par téléphone), souvent utilisés pour compléter un e-mail ou obtenir un code d'authentification ;
• le phishing par QR code, qui fait sortir la victime des protections de la messagerie en l'amenant à scanner un code avec son téléphone.

L'objectif final est souvent le vol d'identifiants, qui sert ensuite à accéder à la messagerie, au VPN ou aux applications cloud, ou l'installation d'un logiciel malveillant qui prépare une intrusion plus large.

Reconnaître un message suspect

Les utilisateurs restent la dernière ligne de défense. Quelques points de contrôle simples, régulièrement rappelés, permettent d'en détecter une grande partie :

• une demande inhabituelle ou urgente : changement de coordonnées bancaires, réinitialisation de mot de passe non sollicitée, menace de suspension de compte ;
• une adresse d'expéditeur ou un nom de domaine légèrement différents du nom attendu, parfois à un caractère près ;
• un lien dont la destination réelle (visible au survol) ne correspond pas au texte affiché ;
• une pièce jointe inattendue, notamment une archive, un document demandant d'activer des macros ou un fichier HTML ;
• une offre trop avantageuse ou une demande de données sensibles par e-mail ou par téléphone.

Le bon réflexe en cas de doute : ne pas répondre au message, et vérifier la demande par un autre canal connu (numéro habituel, annuaire interne).

Les défenses techniques côté messagerie

Plusieurs couches techniques filtrent les messages avant qu'ils n'atteignent l'utilisateur :

• l'authentification du domaine expéditeur avec SPF, DKIM et DMARC. Une politique DMARC en mode « quarantine » ou « reject » limite l'usurpation directe de votre propre domaine ;
• une passerelle de sécurité de messagerie qui analyse la réputation, les liens et les pièces jointes, avec analyse en bac à sable (sandbox) pour les fichiers suspects ;
• la réécriture et l'analyse des liens au moment du clic, puisqu'un site peut devenir malveillant après la réception du message ;
• le filtrage web et DNS au niveau du pare-feu ou du poste, qui bloque l'accès aux sites d'hameçonnage connus même si l'e-mail est passé.

Dans un environnement Fortinet, ces fonctions relèvent notamment de FortiMail pour la messagerie et des profils de filtrage web et DNS du FortiGate.

L'authentification résistante au phishing

Le vol d'identifiants reste l'objectif le plus fréquent. Un mot de passe seul ne protège plus, et certaines méthodes d'authentification multifacteur (code SMS, code à usage unique, notification push acceptée par réflexe) peuvent être contournées par un site de relais qui intercepte la session. Dans leur guide commun sur le phishing, la CISA, la NSA, le FBI et le MS-ISAC recommandent de privilégier une authentification multifacteur résistante au phishing. Les méthodes basées sur FIDO2/WebAuthn (clés de sécurité, passkeys) répondent à ce besoin, car l'authentification est liée cryptographiquement au domaine légitime et ne fonctionne pas sur un faux site.

Préparer la réponse à incident

Même bien protégée, une organisation recevra des messages malveillants qui passeront les filtres. Il faut donc prévoir la suite :

• un bouton ou une adresse dédiée pour que les utilisateurs signalent facilement un message suspect ;
• une procédure pour rechercher et retirer des boîtes aux lettres les messages identiques ;
• en cas d'identifiants saisis : réinitialisation du mot de passe, révocation des sessions actives, contrôle des règles de transfert créées dans la messagerie ;
• la conservation du message original et des journaux pour l'analyse ;
• des exercices de simulation, suivis d'un retour pédagogique et non d'une sanction.

Compétences et formation

La lutte contre le phishing mobilise plusieurs métiers : administrateurs, analystes SOC, gestionnaires d'incidents. La préparation à CompTIA Security+ pose les bases des menaces d'ingénierie sociale et des contrôles associés. Pour traiter les incidents de bout en bout, EC-Council ECIH détaille la gestion des incidents liés à la messagerie, et Certified SOC Analyst (CSA) prépare à la détection et au triage des alertes en centre opérationnel.

Conclusion

Le phishing exploite la confiance plus que la technique. Pour le contrer, combinez authentification des domaines, filtrage de la messagerie et du web, authentification multifacteur résistante au phishing et utilisateurs formés à signaler plutôt qu'à se taire. Une procédure de réponse rodée limite ensuite l'impact des messages qui passent entre les mailles.