🔎 Réponse rapide
Un courriel d'hameçonnage (phishing) se reconnaît à : une adresse d'expéditeur qui ne correspond pas à l'organisation supposée, un ton d'urgence exagérée, des liens dont l'URL réelle diffère du texte affiché, des fautes d'orthographe, une demande d'informations personnelles ou financières, et des pièces jointes non sollicitées. En cas de doute, contactez directement l'organisation via son site officiel — jamais via les coordonnées du courriel suspect.
L'hameçonnage (phishing) est la cybermenace numéro un au Canada en 2026. Selon le Centre antifraude du Canada, les Québécois ont perdu plus de 60 millions de dollars à des fraudes par courriel l'an dernier. Et les techniques ne cessent de s'affiner — certains courriels frauduleux sont désormais quasi impossibles à distinguer des vrais à l'œil non averti.
Ce guide vous donne les outils pour identifier les tentatives d'hameçonnage avec les 8 signaux d'alarme les plus fiables, illustrés par des exemples concrets tirés de cas réels vus au Québec.
Les 8 Signes Révélateurs d'un Courriel d'Hameçonnage
L'Adresse de l'Expéditeur Est Suspecte
C'est le premier réflexe à avoir : regardez l'adresse courriel complète de l'expéditeur, pas seulement le nom affiché. Les fraudeurs utilisent des adresses qui ressemblent aux vraies mais comportent de légères différences.
Pour voir l'adresse complète dans Gmail : cliquez sur le nom de l'expéditeur. Dans Outlook : passez la souris dessus ou ouvrez les propriétés du message.
Le Ton d'Urgence Artificielle
Les courriels frauduleux créent délibérément un sentiment de panique pour vous pousser à agir vite, sans réfléchir. Si vous avez l'impression d'être "obligé" de cliquer dans l'heure, prenez une grande respiration — c'est précisément ce que le fraudeur veut.
Les organisations légitimes (banques, gouvernement, Revenu Québec, Postes Canada) ne vous demanderont jamais d'agir "immédiatement" sous peine de conséquences irrémédiables via un seul courriel.
Les Liens Suspects
Ne cliquez jamais sur un lien sans avoir vérifié sa destination réelle. Dans un courriel, le texte affiché d'un lien peut dire "Connexion sécurisée RBC" alors que le lien pointe vers un site frauduleux.
Comment vérifier : Passez la souris sur le lien sans cliquer — l'URL réelle apparaît dans la barre d'état en bas de votre fenêtre (ou en bas de l'écran sur mobile en maintenant le lien). Sur mobile, maintenez le lien appuyé pour voir l'URL avant d'ouvrir.
Les Fautes d'Orthographe et de Grammaire
Les fautes flagrantes sont moins fréquentes qu'avant — les fraudeurs utilisent maintenant des outils d'IA pour améliorer leurs textes. Mais des incohérences subtiles persistent : tournures de phrases inhabituelles, mélange de registres formels/informels, erreurs de majuscules, ou traductions maladroites.
Attention toutefois : l'absence de fautes n'est plus une garantie de légitimité. Les courriels d'hameçonnage les plus sophistiqués (spear phishing) sont rédigés parfaitement.
La Demande d'Informations Personnelles ou Financières
C'est la règle d'or : aucune organisation légitime ne vous demandera jamais votre mot de passe, votre NIP, votre numéro de carte de crédit complet, ou votre NAS par courriel. Ni votre banque, ni le gouvernement du Canada, ni Revenu Québec, ni Hydro-Québec.
Si un courriel vous demande de "confirmer" ou "mettre à jour" ces informations via un formulaire ou un lien, c'est une tentative de fraude, peu importe à quel point le courriel paraît légitime.
Les Pièces Jointes Non Sollicitées
N'ouvrez jamais une pièce jointe que vous n'attendiez pas, même si l'expéditeur vous semble connu — son adresse courriel a peut-être été usurpée ou compromise. Les formats les plus dangereux : .exe, .zip, .docm, .xlsm (fichiers Office avec macros), .pdf (peuvent contenir du code malveillant), .iso.
Les fichiers Word ou Excel avec des macros sont particulièrement vicieux — ils vous demandent d'"activer le contenu" pour afficher le document, ce qui déclenche le malware.
L'Offre Trop Belle pour Être Vraie
Les courriels promettant des gains impossibles — loteries que vous n'avez pas jouées, héritages de personnes inconnues, remboursements gouvernementaux inattendus, prix de concours auxquels vous n'avez pas participé — sont invariablement des fraudes.
Ces courriels ciblent souvent les personnes vulnérables et peuvent mener à des pertes de plusieurs milliers de dollars si la victime "paie les frais" pour recevoir son "gain".
L'Absence de Personnalisation
Les organisations avec lesquelles vous avez une relation utilisent généralement votre prénom et nom dans leurs communications. Un courriel de votre banque qui commence par "Cher(e) client(e)" ou "Cher utilisateur" plutôt que "Bonjour Jean-Pierre Tremblay" est suspect.
Ce signe est moins fiable pour les newsletters ou communications massives légitimes, mais pour toute communication urgente concernant votre compte, l'absence de votre nom est un signal d'alarme.
Que Faire si Vous Avez Cliqué sur un Lien d'Hameçonnage ?
Ne paniquez pas — agissez méthodiquement. La rapidité est importante, mais pas plus que les bonnes actions dans le bon ordre.
🚨 Agissez dans les 30 premières minutes
Si vous pensez avoir cliqué sur un lien frauduleux ou entré des informations personnelles sur un faux site, chaque minute compte. Plus vous agissez vite, plus vous limitez les dégâts potentiels.
- Ne saisissez plus rien — fermez immédiatement toute page ou formulaire suspect
- Déconnectez l'appareil d'internet — coupez le Wi-Fi pour limiter la propagation
- Changez vos mots de passe depuis un autre appareil — surtout courriel, banque, et tout service utilisé récemment
- Contactez votre banque immédiatement si vous avez entré des informations financières — ils peuvent bloquer les transactions suspectes
- Activez l'authentification à deux facteurs (2FA) sur vos comptes importants
- Scannez votre ordinateur avec Malwarebytes pour détecter tout malware téléchargé
- Signalez la fraude au Centre antifraude du Canada : 1-888-495-8501 ou antifraudcentre-centreantifraude.ca
- Signalez à votre fournisseur de courriel en marquant le message comme phishing
Les Formes d'Hameçonnage les Plus Fréquentes au Québec en 2026
✓ La Règle des 3 Secondes
Avant de cliquer sur n'importe quel lien dans un courriel, posez-vous ces 3 questions : 1) Est-ce que j'attendais ce courriel ? 2) L'expéditeur est-il vraiment qui il prétend être ? 3) Est-ce que je reconnaîtrais l'urgence si j'appelais l'organisation directement ? Si vous répondez "non" à l'une d'elles, ne cliquez pas.
🛡 Votre Entreprise est Ciblée par du Phishing ?
IT Cares offre des formations anti-phishing pour vos équipes et des solutions de filtrage de courriels pour les PME québécoises. Protégez votre organisation avant qu'il ne soit trop tard.
Questions Fréquentes
Que faire si j'ai cliqué sur un lien d'hameçonnage ?
Agissez immédiatement : déconnectez l'appareil d'internet, changez les mots de passe des comptes potentiellement compromis depuis un autre appareil, activez l'authentification à deux facteurs, scannez l'ordinateur avec Malwarebytes, et contactez votre banque si des informations financières ont été saisies. Signalez aussi au Centre antifraude du Canada au 1-888-495-8501.
Les courriels d'hameçonnage peuvent-ils infecter mon ordinateur sans que je clique ?
Rarement, mais c'est possible via des vulnérabilités dans les clients de messagerie. La majorité des infections se produisent uniquement si vous cliquez sur un lien ou ouvrez une pièce jointe. Maintenez votre client de messagerie et votre système à jour pour réduire ce risque.
Comment signaler un courriel d'hameçonnage au Canada ?
Au Canada, signalez les tentatives d'hameçonnage au Centre antifraude du Canada (antifraudcentre-centreantifraude.ca) ou par téléphone au 1-888-495-8501. Si vous avez été victime d'une fraude financière, contactez aussi votre banque et la GRC.
Le hameçonnage par texto (smishing) est-il aussi dangereux ?
Oui, le smishing (SMS phishing) est en forte hausse en 2026. Les faux textos imitent des livraisons de colis (Postes Canada), des alertes bancaires ou des messages gouvernementaux. Appliquez les mêmes principes : ne cliquez pas sur les liens, vérifiez directement sur le site officiel de l'organisation concernée.