Exemples d'Emails de Phishing en 2026 : Comment les Reconnaître

Comment reconnaître un email de phishing ? Vérifiez le domaine exact de l'expéditeur (pas seulement le nom affiché), survolez les liens sans cliquer pour voir la vraie destination, méfiez-vous de toute urgence artificielle, et rappelez-vous qu'aucune organisation légitime ne demande un mot de passe par courriel. En cas de doute, contactez l'organisation via un canal que vous connaissez déjà, jamais via les coordonnées fournies dans le message.

Notre article Comment reconnaître un courriel d'hameçonnage : 8 signes révélateurs couvre déjà les signaux généraux à surveiller. Celui-ci va plus loin avec une approche complémentaire : dix scénarios concrets, inspirés des tentatives les plus fréquemment signalées par nos clients à Montréal en 2026, chacun accompagné des signaux d'alerte spécifiques à repérer. Par souci d'exactitude et pour éviter toute association injuste avec une marque précise, les exemples ci-dessous utilisent des désignations génériques (« une banque », « un service de livraison », « Microsoft 365 » lorsque le format concerné est factuellement standardisé) plutôt que d'imiter fidèlement une entreprise réelle.

Pourquoi le phishing reste la porte d'entrée numéro un des cyberattaques

Année après année, le rapport Data Breach Investigations de Verizon identifie l'hameçonnage et le vol d'identifiants comme l'un des vecteurs d'attaque initiale les plus fréquents dans les incidents de sécurité étudiés, toutes tailles d'organisations confondues. Le Centre antifraude du Canada reçoit chaque année des dizaines de milliers de signalements liés à des fraudes par courriel, et les experts s'entendent pour dire que le nombre réel de tentatives est très largement sous-déclaré — la plupart des gens qui reconnaissent une tentative de phishing la suppriment simplement sans la signaler.

Ce qui rend le phishing particulièrement efficace, ce n'est pas la sophistication technique — contrairement à un virus ou un rançongiciel, un courriel de phishing n'a besoin d'aucune faille logicielle pour fonctionner. Il exploite directement des réflexes humains bien documentés : la confiance envers une marque reconnue, la peur de manquer une échéance, la curiosité face à un gain inattendu, et surtout l'urgence, qui pousse à agir avant de réfléchir. C'est exactement pour cette raison que la meilleure défense reste la vigilance et une procédure de vérification systématique, plutôt qu'un seul outil technique.

1. La fausse facture impayée

Le scénario : vous recevez un courriel prétendant provenir de votre fournisseur d'électricité, de télécommunications ou d'un logiciel utilisé au bureau (comptabilité, hébergement web), indiquant qu'une facture est en souffrance et qu'une pièce jointe PDF ou Excel détaille le montant dû. Le ton reste professionnel, souvent accompagné d'un vrai logo copié d'une page officielle.

Signaux d'alerte à repérer :

• L'adresse de l'expéditeur ne correspond pas au domaine officiel du fournisseur (par exemple un domaine se terminant en .info ou .xyz plutôt que le domaine habituel)
• La pièce jointe est un fichier .zip ou un document Office demandant d'« activer le contenu » ou les macros pour afficher la facture
• Le montant réclamé est légèrement différent de vos factures habituelles, une tactique pour éveiller la curiosité sans éveiller la méfiance
• Aucun numéro de compte client ou de référence personnalisée, contrairement à vos factures réelles

2. Le faux colis à livrer

Le scénario : un message texte ou un courriel affirme qu'un service de livraison n'a pas pu remettre votre colis en raison de « frais de douane impayés » ou d'une « adresse incomplète », avec un lien pour « confirmer vos informations et régler les frais ».

Signaux d'alerte à repérer :

• Vous n'attendez aucun colis, ou le message ne mentionne aucun numéro de suivi vérifiable sur le site officiel du transporteur
• Le lien mène vers une page de paiement qui demande un numéro de carte de crédit complet pour des « frais » minimes (souvent 1 $ à 3 $), une tactique conçue pour valider que la carte est active avant une fraude plus importante
• Le nom de domaine dans le lien ne correspond pas au transporteur réel — survolez toujours le lien avant de cliquer
• Urgence artificielle : « colis retourné à l'expéditeur dans 24 heures si non confirmé »

3. La fausse alerte de sécurité de compte

Le scénario : un courriel affirme qu'une « connexion inhabituelle » a été détectée sur votre compte de messagerie, réseau social ou service infonuagique, et vous invite à « vérifier votre identité immédiatement » via un lien, sous peine de suspension du compte.

Signaux d'alerte à repérer :

• Le lien de « vérification » mène vers une page qui ressemble à la page de connexion officielle, mais dont l'adresse dans la barre du navigateur est subtilement différente (lettre substituée, sous-domaine ajouté, extension différente)
• La page demande votre mot de passe ET un code de vérification à deux facteurs sur le même écran — les pages légitimes ne demandent presque jamais les deux simultanément de cette façon
• Le courriel ne mentionne aucun détail précis (aucune heure, aucune localisation approximative) de la prétendue connexion suspecte, contrairement aux vraies alertes de sécurité qui incluent généralement ces détails

4. Le faux support technique

Le scénario : un courriel (parfois précédé d'une fenêtre pop-up alarmante sur votre navigateur) prétend qu'un virus a été détecté sur votre ordinateur, avec un numéro de téléphone « d'assistance urgente » à composer ou un lien pour « lancer une analyse gratuite ». Cette technique est étroitement liée aux fenêtres pop-up frauduleuses que nous détaillons dans notre article Arnaque pop-up virus : comment réagir.

Signaux d'alerte à repérer :

• Aucune entreprise légitime de logiciel de sécurité ne détecte un virus sur votre appareil par courriel non sollicité — la détection se fait via votre propre antivirus installé, jamais par un tiers externe qui vous contacte en premier
• Le message crée une panique immédiate (« votre ordinateur est compromis, agissez maintenant ») pour court-circuiter votre jugement
• Si vous appelez le numéro fourni, un faux technicien demande un accès à distance à votre ordinateur pour « réparer » le problème — ne donnez jamais cet accès à un numéro reçu par courriel
• Une fois l'accès obtenu, le faux technicien invente souvent un problème plus grave pour vous facturer un service inutile ou installer un logiciel malveillant

5. La fausse offre d'emploi

Le scénario : vous recevez une offre d'emploi non sollicitée, souvent pour un poste de « représentant » ou « assistant administratif » à distance très bien rémunéré, avec peu d'exigences et une embauche presque instantanée après un bref échange par messagerie texte plutôt que par appel vidéo.

Signaux d'alerte à repérer :

• Aucun entretien vidéo réel n'est proposé, uniquement des échanges par messagerie texte ou clavardage
• On vous demande rapidement des informations bancaires pour un « dépôt direct » avant même la signature d'un contrat formel
• On vous envoie un chèque pour acheter du matériel « de bureau », en vous demandant de renvoyer la différence — ce chèque s'avère frauduleux une fois encaissé, vous laissant responsable du montant
• Le domaine de l'entreprise dans l'adresse courriel ne correspond à aucune entreprise réelle vérifiable, ou imite légèrement le nom d'une entreprise connue

6. Le faux remboursement d'impôts

Le scénario : particulièrement fréquent au printemps, un courriel prétend provenir de l'Agence du revenu du Canada ou de Revenu Québec, annonçant un remboursement en attente et demandant de « confirmer vos coordonnées bancaires » via un lien pour recevoir le dépôt.

Signaux d'alerte à repérer :

• Ni l'Agence du revenu du Canada ni Revenu Québec ne demandent d'informations bancaires par courriel ou par lien — les remboursements se font uniquement via le dépôt direct déjà enregistré dans votre dossier fiscal
• Le lien mène vers une page imitant le portail gouvernemental mais avec une adresse ne se terminant pas en .gc.ca ou .gouv.qc.ca
• Le message utilise un ton urgent inhabituel pour une communication gouvernementale habituellement neutre et procédurale
• Des fautes de terminologie fiscale (mauvais nom de formulaire, montant présenté de façon inhabituelle) trahissent parfois le manque de familiarité du fraudeur avec le système réel

7. La compromission de compte professionnel (fraude du président / BEC)

Le scénario : un employé du service de comptabilité ou des finances reçoit un courriel semblant provenir directement de la direction générale ou d'un fournisseur habituel, demandant un virement bancaire urgent et confidentiel, souvent en insistant pour que la demande reste discrète (« je suis en réunion, je ne peux pas parler, procède directement »).

Signaux d'alerte à repérer :

• L'adresse courriel du « dirigeant » diffère légèrement de l'adresse habituelle (domaine similaire mais pas identique, ou compte de messagerie personnel gratuit utilisé exceptionnellement)
• La demande insiste sur la confidentialité et la rapidité, deux éléments qui court-circuitent délibérément les processus habituels de validation à deux personnes
• Le montant ou les coordonnées bancaires du fournisseur diffèrent de la dernière transaction connue avec ce même fournisseur
• La demande arrive à un moment stratégique (vendredi après-midi, veille de congé) où la vérification directe avec la personne concernée est plus difficile

8. La fausse notification Microsoft 365 / expiration de mot de passe

Le scénario : très courant en environnement professionnel, un courriel imitant le format des notifications Microsoft 365 avertit que votre mot de passe expire dans quelques heures ou que votre boîte de réception est « presque pleine », avec un lien pour « mettre à jour vos identifiants immédiatement ».

Signaux d'alerte à repérer :

• Le lien mène vers une fausse page de connexion Microsoft copiant l'apparence visuelle réelle, mais hébergée sur un domaine qui n'a rien à voir avec microsoft.com ou le domaine de votre entreprise (souvent un service d'hébergement de formulaires gratuit)
• Les vraies notifications d'expiration de mot de passe proviennent généralement de votre service informatique interne ou du portail d'administration configuré par votre entreprise, pas d'un courriel externe générique
• Ce type de message cible spécifiquement les environnements professionnels parce qu'un identifiant Microsoft 365 compromis donne souvent accès à l'ensemble des courriels, fichiers partagés et contacts de l'entreprise

9. La fausse alerte bancaire

Le scénario : un courriel ou un message texte prétendant provenir d'une banque signale une « transaction suspecte » ou un « virement bloqué », avec un lien pour « confirmer votre identité » ou « débloquer votre compte ».

Signaux d'alerte à repérer :

• Aucune institution bancaire sérieuse ne demande votre NIP complet, votre mot de passe ou un code de vérification à deux facteurs par courriel ou lien texte
• Le message ne mentionne pas les quatre derniers chiffres réels de votre carte ou compte, contrairement aux alertes authentiques qui incluent habituellement ce détail pour se différencier justement du phishing
• Le lien mène vers une page de connexion bancaire copiée, mais l'adresse du navigateur diffère du domaine officiel de votre institution
• Le meilleur réflexe reste d'appeler le numéro inscrit au dos de votre carte bancaire, jamais celui fourni dans le message

10. Le faux concours ou gain surprise

Le scénario : un courriel annonce que vous avez gagné un prix, une carte-cadeau ou un tirage auquel vous ne vous souvenez pas avoir participé, avec un lien pour « réclamer votre gain » qui demande vos informations personnelles ou un petit paiement de « frais de traitement ».

Signaux d'alerte à repérer :

• Vous n'avez participé à aucun concours reconnu correspondant à ce prétendu gain
• Un gain légitime ne demande jamais de paiement préalable pour être « débloqué » ou « livré »
• Le formulaire de réclamation demande des informations largement excessives par rapport à un simple concours (numéro d'assurance sociale, informations bancaires complètes)
• La pression au temps limité (« réclamez dans les 24 heures ou le prix sera attribué à quelqu'un d'autre ») vise à empêcher toute vérification

Comment vérifier si un email est légitime

Peu importe le scénario, la même checklist s'applique. Voici la procédure que nos techniciens recommandent de suivre systématiquement avant de cliquer sur un lien ou de répondre à une demande sensible reçue par courriel.

Que faire si vous avez cliqué

Un clic accidentel arrive à tout le monde, même aux professionnels de la sécurité informatique. Ce qui compte, c'est la rapidité et l'ordre des actions qui suivent. Voici la procédure d'urgence que nos techniciens appliquent en intervention.

Si vous avez seulement cliqué sur le lien, sans rien saisir

1. Fermez immédiatement l'onglet ou la fenêtre, sans interagir davantage avec la page
2. Ne téléchargez et n'ouvrez aucun fichier proposé par la page
3. Lancez une analyse antivirus complète de votre appareil, au cas où le simple chargement de la page aurait déclenché un téléchargement invisible
4. Videz le cache et l'historique récent de votre navigateur par précaution

Si vous avez saisi votre mot de passe sur une fausse page

1. Rendez-vous immédiatement sur le site officiel réel (jamais via le lien du courriel) et changez ce mot de passe
2. Si ce mot de passe était réutilisé ailleurs, changez-le également sur tous les autres comptes concernés — c'est le moment idéal pour envisager un gestionnaire de mots de passe qui élimine ce risque de réutilisation à l'avenir
3. Activez l'authentification à deux facteurs si ce n'est pas déjà fait
4. Vérifiez l'historique de connexion récent du compte pour repérer un accès non autorisé
5. Déconnectez toutes les sessions actives depuis les paramètres de sécurité du compte, si cette option existe

Si vous avez communiqué des informations bancaires

1. Contactez votre institution financière immédiatement via le numéro inscrit au dos de votre carte, pas via un moteur de recherche
2. Demandez le blocage ou le remplacement de la carte concernée
3. Surveillez vos relevés de compte quotidiennement dans les jours suivants
4. Signalez l'incident au Centre antifraude du Canada

Si vous soupçonnez une compromission de compte professionnel (BEC) ayant mené à un virement

1. Contactez immédiatement votre banque pour tenter de rappeler ou suspendre le virement — chaque minute compte
2. Informez votre supérieur ou la direction sans délai, même si l'erreur est embarrassante — plus l'alerte est rapide, plus les chances de récupération sont élevées
3. Documentez l'ensemble des courriels échangés pour l'enquête interne et un éventuel signalement aux autorités
4. Faites auditer vos comptes de messagerie professionnels pour vérifier qu'aucun accès non autorisé ni règle de redirection cachée n'a été mis en place

Si votre ordinateur ou votre réseau d'entreprise montre des signes de ralentissement inhabituel, de fenêtres suspectes ou d'activité anormale après un clic sur un lien douteux, notre article 15 signes qu'un ordinateur est piraté détaille les indices à surveiller de près dans les jours suivants.

Phishing, smishing et vishing : la même arnaque, trois canaux différents

Le phishing par courriel n'est qu'un des trois canaux principaux utilisés par les fraudeurs, et les mêmes dix scénarios présentés plus haut se déclinent presque tous par SMS (« smishing ») ou par appel téléphonique (« vishing »). Comprendre cette distinction aide à repérer une tentative même lorsqu'elle change de canal en cours de route.

Le smishing reprend les mêmes scénarios — colis, alerte bancaire, remboursement — mais par message texte, un canal où les liens raccourcis rendent la vérification du domaine réel plus difficile et où l'aspect « urgent » d'un message reçu sur le téléphone personnel semble souvent plus légitime qu'un courriel. Le vishing consiste en un appel téléphonique, parfois précédé d'un courriel qui annonce l'appel à venir pour renforcer la crédibilité, où un faux représentant tente d'obtenir verbalement les mêmes informations qu'un lien de phishing chercherait à collecter. Une variante en forte croissance combine désormais l'intelligence artificielle de synthèse vocale pour imiter la voix d'une personne connue (technique parfois appelée « fraude à la voix clonée »), rendant certains appels de vishing particulièrement convaincants.

Le réflexe de vérification reste identique peu importe le canal : ne jamais confirmer une information sensible en réaction à un message ou un appel non sollicité, et toujours rappeler ou vérifier via un numéro ou une adresse que vous connaissiez déjà avant de recevoir la communication suspecte. Notre article Phishing : reconnaître et éviter les arnaques couvre plus en détail ces variantes par SMS et par téléphone.

Un dernier point mérite d'être souligné : les fraudeurs combinent de plus en plus ces canaux dans une même campagne. Un courriel de phishing initial peut être suivi, quelques heures plus tard, d'un appel téléphonique « de suivi » qui référence le courriel précédent pour paraître légitime, ou d'un second courriel plus insistant si le premier n'a généré aucune réaction. Cette approche multicanal augmente les chances de succès du fraudeur en misant sur le fait qu'une seule tentative parmi plusieurs suffira à convaincre la cible. Rester méfiant face à toute communication non sollicitée, peu importe le canal ou le nombre de fois qu'elle se répète, demeure la meilleure protection.

Questions fréquentes — Emails de phishing