Commencez par vérifier si vous avez déclenché cet e-mail
Le signal de confiance le plus important n’est ni le logo ni le ton du message, mais le lien de cause à effet dans le temps. Vous avez demandé un code sur un service précis, puis reçu l’e-mail correspondant quelques secondes plus tard : la chaîne est cohérente. Si vous n’avez rien fait, traitez le message comme un incident, même s’il provient d’une marque connue.
Ne vous précipitez pas pour copier les chiffres et ne cliquez surtout pas sur les liens « Annuler » ou « Ce n’est pas moi ». Ouvrez plutôt l’application officielle du service ou saisissez manuellement l’adresse de son site enregistrée dans vos favoris, puis vérifiez l’activité de connexion et les alertes de sécurité. Un code inattendu peut venir d’une simple erreur d’adresse, mais aussi indiquer qu’un attaquant a déjà franchi la première barrière du mot de passe.
- La demande date de moins de deux minutes et vient bien de vous.
- Le service, l’action et la page actuelle correspondent.
- Le code doit uniquement être saisi sur la page d’origine et ne doit être transmis à personne.
Signal n° 1 : l’heure de la demande correspond à la durée de validité du code
Les codes légitimes sont généralement valables peu de temps et liés à une session précise. Un e-mail reçu avec plus de dix minutes de retard, envoyé plusieurs fois ou continuant d’arriver après la fermeture de la page doit inspirer moins confiance. Un attaquant peut multiplier les demandes pour provoquer une « fatigue aux notifications », puis se faire passer pour le support afin d’obtenir le dernier code.
En cas de retard, revenez de préférence à la page d’origine et demandez un nouveau code. N’utilisez que le dernier reçu et vérifiez que les derniers chiffres affichés ou l’adresse cible correspondent. Considérez les anciens codes comme invalides : ne les essayez pas un par un.
Signal n° 2 : vérifiez le vrai domaine expéditeur, pas le nom affiché
« Centre de sécurité du compte » n’est qu’un nom d’affichage librement configurable. Ouvrez les détails du message et vérifiez l’adresse complète du champ From, le champ Reply-To ainsi que les résultats d’authentification SPF, DKIM ou DMARC. Une authentification réussie ne garantit pas que le service soit légitime, mais une faute dans le domaine, un envoi depuis une messagerie gratuite ou un Reply-To redirigé vers une adresse inconnue sont des raisons suffisantes pour arrêter immédiatement.
| Élément vérifié | Plutôt normal | Suspect |
|---|---|---|
| Nom affiché | Correspond au nom du service | Se fait passer pour un « support urgent » |
| Domaine complet | Domaine de notification utilisé publiquement par le service | Lettres en trop, lettres manquantes ou sous-domaine inhabituel |
| Adresse de réponse | Ne demande pas de répondre avec le code | Adresse personnelle ou compte de messagerie instantanée |
Signal n° 3 : l’action décrite correspond au service ciblé
Un code d’inscription, de connexion ou de réinitialisation n’autorise pas la même action. Vous créez un compte, mais recevez un code pour « réinitialiser le mot de passe existant » ? Arrêtez-vous immédiatement. L’e-mail doit indiquer clairement l’action concernée, sans jamais vous demander d’envoyer le code au support, à un vendeur, à un recruteur ou à un « robot de vérification ».
Pour une inscription temporaire, utilisez une adresse e-mail jetable afin d’isoler le suivi marketing ; mais dès qu’un compte doit pouvoir être récupéré, servir à un paiement ou être conservé durablement, préférez un alias de transfert que vous contrôlez, afin de ne pas perdre l’accès à la récupération lorsque l’adresse temporaire expire.
Signal n° 4 : ne revenez pas à la page de connexion via un lien de l’e-mail
Les e-mails contenant un code peuvent proposer un bouton pratique, mais la méthode la plus sûre consiste à revenir à la page que vous aviez ouverte pour saisir le code. Si elle est fermée, passez par vos favoris, l’application officielle ou saisissez vous-même l’adresse du site. Survoler un lien permet de repérer les problèmes évidents, mais ne prouve pas que la redirection finale est sûre.
Un QR code est aussi un lien. Ne scannez pas un QR code inconnu avec un autre appareil pour « terminer la vérification » : il pourrait autoriser l’attaquant à prendre le contrôle de votre session. Le refus du remplissage automatique par votre gestionnaire de mots de passe est également un signal utile d’incompatibilité de domaine.
Signal n° 5 : l’appareil, la zone géographique et les détails de session concordent
Les alertes de sécurité fiables indiquent souvent le type d’appareil, le navigateur, une zone géographique approximative ou l’heure de la demande. La localisation peut être faussée par un réseau mobile ou un VPN et ne suffit pas à elle seule pour conclure. En revanche, un appareil inconnu, un pays totalement différent et une heure inhabituelle réunis indiquent un risque élevé.
Combinez plusieurs signaux faibles : un écart de ville peut s’expliquer, mais un système inconnu associé à une heure anormale et à une demande que vous n’avez pas initiée doit vous conduire à changer immédiatement le mot de passe, révoquer les sessions et vérifier l’authentification multifacteur.
Que faire après avoir reçu un code inconnu ?
- Ne répondez pas, ne cliquez sur aucun lien du message et ne communiquez les chiffres à personne.
- Depuis l’accès officiel, consultez les connexions récentes et les sessions en cours, puis révoquez les appareils inconnus.
- Modifiez le mot de passe propre à ce service ; s’il a été réutilisé, faites de même sur les autres comptes.
- Activez une application d’authentification ou une clé de sécurité et conservez vos codes de récupération hors ligne.
- Si cette adresse commence à recevoir régulièrement des e-mails malveillants, utilisez l’outil d’évaluation de l’exposition pour déterminer s’il faut migrer ou remplacer l’alias.
Un code est un secret à usage unique, pas une preuve d’identité. Vérifiez simplement qui a lancé la demande, ce qu’elle autorise et où saisir le code : la plupart des pièges se révèlent avant la saisie des chiffres.