Comment Reconnaître un Courriel d'Hameçonnage : 8 Signes Révélateurs

🔎 Réponse rapide

Un courriel d'hameçonnage (phishing) se reconnaît à : une adresse d'expéditeur qui ne correspond pas à l'organisation supposée, un ton d'urgence exagérée, des liens dont l'URL réelle diffère du texte affiché, des fautes d'orthographe, une demande d'informations personnelles ou financières, et des pièces jointes non sollicitées. En cas de doute, contactez directement l'organisation via son site officiel — jamais via les coordonnées du courriel suspect.

L'hameçonnage (phishing) est la cybermenace numéro un au Canada en 2026. Selon le Centre antifraude du Canada, les Québécois ont perdu plus de 60 millions de dollars à des fraudes par courriel l'an dernier. Et les techniques ne cessent de s'affiner — certains courriels frauduleux sont désormais quasi impossibles à distinguer des vrais à l'œil non averti.

Ce guide vous donne les outils pour identifier les tentatives d'hameçonnage avec les 8 signaux d'alarme les plus fiables, illustrés par des exemples concrets tirés de cas réels vus au Québec.

Les 8 Signes Révélateurs d'un Courriel d'Hameçonnage

1

L'Adresse de l'Expéditeur Est Suspecte

C'est le premier réflexe à avoir : regardez l'adresse courriel complète de l'expéditeur, pas seulement le nom affiché. Les fraudeurs utilisent des adresses qui ressemblent aux vraies mais comportent de légères différences.

Pour voir l'adresse complète dans Gmail : cliquez sur le nom de l'expéditeur. Dans Outlook : passez la souris dessus ou ouvrez les propriétés du message.

Exemples réels observés : au lieu de service@rbc.com — vous verrez service@rbc-securite.com ou service@rbc.support-comptes.net. Au lieu de info@revenuquebec.ca — vous verrez info@revenu-quebec.ca.alertes.com.
2

Le Ton d'Urgence Artificielle

Les courriels frauduleux créent délibérément un sentiment de panique pour vous pousser à agir vite, sans réfléchir. Si vous avez l'impression d'être "obligé" de cliquer dans l'heure, prenez une grande respiration — c'est précisément ce que le fraudeur veut.

Les organisations légitimes (banques, gouvernement, Revenu Québec, Postes Canada) ne vous demanderont jamais d'agir "immédiatement" sous peine de conséquences irrémédiables via un seul courriel.

Phrases d'alarme typiques : "Votre compte sera fermé définitivement dans 24 heures", "Action requise : vérifiez immédiatement ou perdez l'accès", "Votre colis sera retourné demain si vous ne payez pas les frais maintenant".
3

Les Liens Suspects

Ne cliquez jamais sur un lien sans avoir vérifié sa destination réelle. Dans un courriel, le texte affiché d'un lien peut dire "Connexion sécurisée RBC" alors que le lien pointe vers un site frauduleux.

Comment vérifier : Passez la souris sur le lien sans cliquer — l'URL réelle apparaît dans la barre d'état en bas de votre fenêtre (ou en bas de l'écran sur mobile en maintenant le lien). Sur mobile, maintenez le lien appuyé pour voir l'URL avant d'ouvrir.

Signes d'un lien frauduleux : Le domaine principal ne correspond pas à l'organisation (rbc.verif-compte-securite.ru), le lien utilise une IP numérique (http://192.168.1.1/banque), le domaine est très récent ou a des caractères inhabituels (rbc-securite.xyz), ou c'est un lien raccourci (bit.ly, tinyurl) qui cache la vraie destination.
4

Les Fautes d'Orthographe et de Grammaire

Les fautes flagrantes sont moins fréquentes qu'avant — les fraudeurs utilisent maintenant des outils d'IA pour améliorer leurs textes. Mais des incohérences subtiles persistent : tournures de phrases inhabituelles, mélange de registres formels/informels, erreurs de majuscules, ou traductions maladroites.

Attention toutefois : l'absence de fautes n'est plus une garantie de légitimité. Les courriels d'hameçonnage les plus sophistiqués (spear phishing) sont rédigés parfaitement.

Exemples observés : "Votre compte a ete suspendu" (sans accent), "Cher(e) Client(e), Nous vous informon que..." (verbe mal conjugué), texte en français mêlé d'expressions anglaises inhabituelles.
5

La Demande d'Informations Personnelles ou Financières

C'est la règle d'or : aucune organisation légitime ne vous demandera jamais votre mot de passe, votre NIP, votre numéro de carte de crédit complet, ou votre NAS par courriel. Ni votre banque, ni le gouvernement du Canada, ni Revenu Québec, ni Hydro-Québec.

Si un courriel vous demande de "confirmer" ou "mettre à jour" ces informations via un formulaire ou un lien, c'est une tentative de fraude, peu importe à quel point le courriel paraît légitime.

Demandes frauduleuses communes : "Vérifiez vos informations bancaires pour éviter la suspension", "Confirmez votre NAS pour recevoir votre remboursement d'impôt", "Entrez votre mot de passe pour déverrouiller votre compte".
6

Les Pièces Jointes Non Sollicitées

N'ouvrez jamais une pièce jointe que vous n'attendiez pas, même si l'expéditeur vous semble connu — son adresse courriel a peut-être été usurpée ou compromise. Les formats les plus dangereux : .exe, .zip, .docm, .xlsm (fichiers Office avec macros), .pdf (peuvent contenir du code malveillant), .iso.

Les fichiers Word ou Excel avec des macros sont particulièrement vicieux — ils vous demandent d'"activer le contenu" pour afficher le document, ce qui déclenche le malware.

Prétextes fréquents pour les pièces jointes : "Facture en pièce jointe" (d'une entreprise inconnue), "Votre contrat de travail" (approche ciblée), "Document important de l'ARC" (usurpation gouvernementale), "Confirmation de livraison" (imite Purolator, FedEx, UPS).
7

L'Offre Trop Belle pour Être Vraie

Les courriels promettant des gains impossibles — loteries que vous n'avez pas jouées, héritages de personnes inconnues, remboursements gouvernementaux inattendus, prix de concours auxquels vous n'avez pas participé — sont invariablement des fraudes.

Ces courriels ciblent souvent les personnes vulnérables et peuvent mener à des pertes de plusieurs milliers de dollars si la victime "paie les frais" pour recevoir son "gain".

Exemples classiques : "Félicitations, vous avez gagné un iPhone 17 — cliquez pour réclamer", "Remboursement de 847 $ de l'ARC en attente", "Un notaire en Afrique a besoin de votre aide pour transférer 2,5 millions $".
8

L'Absence de Personnalisation

Les organisations avec lesquelles vous avez une relation utilisent généralement votre prénom et nom dans leurs communications. Un courriel de votre banque qui commence par "Cher(e) client(e)" ou "Cher utilisateur" plutôt que "Bonjour Jean-Pierre Tremblay" est suspect.

Ce signe est moins fiable pour les newsletters ou communications massives légitimes, mais pour toute communication urgente concernant votre compte, l'absence de votre nom est un signal d'alarme.

Ouvertures typiques de phishing : "Cher client TD", "Bonjour, utilisateur Amazon", "À notre précieux client". Les vrais courriels de votre banque ou d'Amazon incluront presque toujours votre nom complet.

Que Faire si Vous Avez Cliqué sur un Lien d'Hameçonnage ?

Ne paniquez pas — agissez méthodiquement. La rapidité est importante, mais pas plus que les bonnes actions dans le bon ordre.

🚨 Agissez dans les 30 premières minutes

Si vous pensez avoir cliqué sur un lien frauduleux ou entré des informations personnelles sur un faux site, chaque minute compte. Plus vous agissez vite, plus vous limitez les dégâts potentiels.

  1. Ne saisissez plus rien — fermez immédiatement toute page ou formulaire suspect
  2. Déconnectez l'appareil d'internet — coupez le Wi-Fi pour limiter la propagation
  3. Changez vos mots de passe depuis un autre appareil — surtout courriel, banque, et tout service utilisé récemment
  4. Contactez votre banque immédiatement si vous avez entré des informations financières — ils peuvent bloquer les transactions suspectes
  5. Activez l'authentification à deux facteurs (2FA) sur vos comptes importants
  6. Scannez votre ordinateur avec Malwarebytes pour détecter tout malware téléchargé
  7. Signalez la fraude au Centre antifraude du Canada : 1-888-495-8501 ou antifraudcentre-centreantifraude.ca
  8. Signalez à votre fournisseur de courriel en marquant le message comme phishing

Les Formes d'Hameçonnage les Plus Fréquentes au Québec en 2026

Type de fraude Entité imitée Prétexte utilisé
Fraude bancaireTD, RBC, Desjardins, BMOActivité suspecte, vérification de compte
Fraude fiscaleARC, Revenu QuébecRemboursement en attente, dette fiscale
Fraude livraisonPostes Canada, Purolator, UPSColis retenu, frais de douane à payer
Fraude techMicrosoft, Apple, AmazonCompte piraté, abonnement à annuler
Fraude emploiIndeed, LinkedIn, entreprises connuesOffre d'emploi trop avantageuse

✓ La Règle des 3 Secondes

Avant de cliquer sur n'importe quel lien dans un courriel, posez-vous ces 3 questions : 1) Est-ce que j'attendais ce courriel ? 2) L'expéditeur est-il vraiment qui il prétend être ? 3) Est-ce que je reconnaîtrais l'urgence si j'appelais l'organisation directement ? Si vous répondez "non" à l'une d'elles, ne cliquez pas.

🛡 Votre Entreprise est Ciblée par du Phishing ?

IT Cares offre des formations anti-phishing pour vos équipes et des solutions de filtrage de courriels pour les PME québécoises. Protégez votre organisation avant qu'il ne soit trop tard.

Questions Fréquentes

Que faire si j'ai cliqué sur un lien d'hameçonnage ?

Agissez immédiatement : déconnectez l'appareil d'internet, changez les mots de passe des comptes potentiellement compromis depuis un autre appareil, activez l'authentification à deux facteurs, scannez l'ordinateur avec Malwarebytes, et contactez votre banque si des informations financières ont été saisies. Signalez aussi au Centre antifraude du Canada au 1-888-495-8501.

Les courriels d'hameçonnage peuvent-ils infecter mon ordinateur sans que je clique ?

Rarement, mais c'est possible via des vulnérabilités dans les clients de messagerie. La majorité des infections se produisent uniquement si vous cliquez sur un lien ou ouvrez une pièce jointe. Maintenez votre client de messagerie et votre système à jour pour réduire ce risque.

Comment signaler un courriel d'hameçonnage au Canada ?

Au Canada, signalez les tentatives d'hameçonnage au Centre antifraude du Canada (antifraudcentre-centreantifraude.ca) ou par téléphone au 1-888-495-8501. Si vous avez été victime d'une fraude financière, contactez aussi votre banque et la GRC.

Le hameçonnage par texto (smishing) est-il aussi dangereux ?

Oui, le smishing (SMS phishing) est en forte hausse en 2026. Les faux textos imitent des livraisons de colis (Postes Canada), des alertes bancaires ou des messages gouvernementaux. Appliquez les mêmes principes : ne cliquez pas sur les liens, vérifiez directement sur le site officiel de l'organisation concernée.