Vous ouvrez votre boîte mail et une enseigne annonce une commande coûteuse que vous ne reconnaissez pas. Une fausse confirmation sert souvent à vous faire cliquer ou appeler un numéro, mais un nom, une adresse ou un IBAN exacts ne suffisent pas à prouver qu’elle est authentique.
Le réflexe le plus sûr est de vérifier hors du message
- Aucune commande reconnue : ouvrez l’application ou le site officiel de l’enseigne par vos propres moyens.
- Un lien ou un numéro vous presse d’agir : ne cliquez pas et ne rappelez pas.
- Vous avez transmis des données bancaires : contactez rapidement votre banque par un canal connu.
- Un IBAN ou votre nom apparaît : ces détails peuvent avoir été récupérés après une fuite de données.
Le logo et le montant ne disent pas qui a envoyé le mail
Une commande inconnue, un gros montant et un bouton « annuler » font monter la pression. C’est justement ce qui peut pousser à cliquer avant de réfléchir. Le message cherche souvent à déclencher une réaction rapide, vers un faux site ou un prétendu service d’opposition.
Je me méfie davantage du chemin proposé par le mail que de son apparence. Un logo peut être copié, et le nom affiché comme expéditeur peut être trompeur. Pour vérifier, ouvrez directement l’application de l’enseigne ou saisissez vous-même son adresse habituelle, puis regardez l’historique des commandes et les paiements.
| Ce que vous voyez | Ce que cela peut indiquer | Que faire |
|---|---|---|
| Une commande inconnue avec un bouton d’annulation | Un appât pour vous faire ouvrir un faux formulaire ou appeler un faux service | Vérifiez dans votre compte officiel et auprès de votre banque, sans utiliser le mail |
| Une adresse d’expéditeur étrange ou un lien dont le domaine ne correspond pas à l’enseigne | Une usurpation possible | Ne cliquez pas et signalez le message comme hameçonnage dans votre messagerie |
| Un nom, une adresse ou un IBAN exacts | Des données personnelles peuvent avoir été obtenues ailleurs | Ne prenez pas ces détails comme une preuve d’authenticité ; vérifiez par un canal indépendant |
| Un paiement inconnu dans votre compte bancaire | Une opération frauduleuse est peut-être déjà en cours | Contactez immédiatement votre banque avec le numéro figurant sur votre carte ou votre relevé |
Un détail juste peut donc rendre le piège plus convaincant sans le rendre légitime. C’est particulièrement vrai pour les courriels récents.
Un IBAN exact ne prouve pas que la commande existe
Les faux messages peuvent reprendre des informations personnelles pour sembler crédibles. Dans son bilan des hameçonnages observés en 2025, Cybermalveillance.gouv.fr relève que les fausses confirmations de commande ont été plus présentes que les années précédentes, notamment dans des campagnes massives imitant Amazon et personnalisées avec des données comme l’IBAN et le BIC.
La présence de ces coordonnées ne confirme donc ni un achat ni l’identité de l’expéditeur. Elle peut plutôt signaler que des données ont circulé après une fuite. Si le mail vous demande de téléphoner pour annuler, de « sécuriser » un compte ou de valider une opération, ne suivez pas sa procédure : contactez l’entreprise ou la banque depuis ses coordonnées officielles.
Après un clic, la suite dépend des données communiquées
Un clic seul ne signifie pas automatiquement qu’un compte a été piraté. En revanche, un mot de passe, un code reçu par SMS ou des coordonnées de carte transmis sur une page suspecte demandent une réaction rapide.
- Vous avez seulement ouvert le mail : fermez-le, ne répondez pas et ne téléchargez aucune pièce jointe.
- Vous avez saisi un mot de passe : changez-le depuis le site ou l’application officiels, puis modifiez-le aussi sur les autres services où vous l’avez réutilisé. Activez la double authentification si elle est proposée.
- Vous avez communiqué les données de votre carte : faites opposition sans attendre en contactant votre banque par un numéro connu. Surveillez ensuite les opérations et conservez le mail ainsi que les captures utiles.
- Une opération par carte apparaît sans votre accord : après avoir contacté la banque, vous pouvez la signaler sur Perceval si vous avez toujours la carte. Le signalement Perceval ne remplace pas une plainte.
Service-Public distingue le signalement d’une fraude par carte du dépôt de plainte : Perceval est un signalement, pas une plainte officielle. Si vous avez transmis seulement un IBAN, avertissez votre banque et surveillez les mouvements du compte ; ne communiquez jamais un code de validation à une personne qui vous appelle ensuite en prétendant vous aider.
Signalez le mail et son lien par les bons canaux
Un signalement peut aider à faire repérer le message ou le site frauduleux. Utilisez la fonction « signaler comme hameçonnage » de votre messagerie, ou transmettez le courriel à Signal Spam ; pour l’adresse d’un site suspect, Phishing Initiative est le canal adapté. Cybermalveillance.gouv.fr distingue bien ces démarches selon qu’il s’agit du mail ou du site vers lequel il renvoie.
Évitez de transférer le message à des proches sans précaution : le lien reste actif et peut les piéger à leur tour. Signalez-le, puis supprimez-le une fois les éventuelles preuves conservées si vous avez communiqué des informations ou constaté un paiement suspect.
Gardez une vérification simple quand le doute persiste
Si la commande n’apparaît pas dans votre compte officiel et qu’aucune opération correspondante ne figure sur votre relevé, le mail ne justifie pas d’agir par son lien ou son numéro. Archivez-le ou signalez-le comme indésirable. Si un paiement apparaît, traitez d’abord la situation avec votre banque, même si le courriel semble parfaitement imiter une enseigne connue.