Comment reconnaître un courriel
de phishing au Canada

Le phishing (hameçonnage) consiste à tromper quelqu'un pour qu'il révèle des informations sensibles — mots de passe, numéros de carte, NAS — en se faisant passer pour une organisation de confiance. Les techniques se sont considérablement affinées : les courriels de phishing modernes sont souvent graphiquement parfaits et difficiles à distinguer du vrai.

Les 7 signaux d'alarme d'un courriel de phishing

• 1
  🚨 Sentiment d'urgence artificielle

  « Votre compte sera suspendu dans 24 heures », « Action requise immédiatement », « Dernier avertissement avant fermeture du compte ». L'urgence est une technique de manipulation classique — elle court-circuite ton jugement et te pousse à agir sans réfléchir. Les vraies organisations ne fonctionnent pas comme ça.

• 2
  📧 Adresse d'expéditeur bizarre ou légèrement incorrecte

  L'adresse d'affichage peut dire « Service client Desjardins », mais l'adresse réelle est [email protected] ou [email protected]. Clique sur le nom de l'expéditeur pour voir l'adresse réelle. Méfie-toi des variations : postescanada vs postes-canada, canada.ca vs canada-gov.ca.

• 3
  🔗 Lien qui ne correspond pas à l'organisation

  Survole le lien sans cliquer — l'URL réelle s'affiche en bas de ton navigateur ou dans une infobulle sur mobile. Si le courriel prétend venir de Desjardins mais le lien pointe vers desjardins-accesplusvip.com ou accespluslogin.net — c'est du phishing.

• 4
  ✏️ Fautes d'orthographe ou de grammaire inhabituelles

  Les grandes organisations canadiennes ont des équipes de révision. Un courriel avec des accents manquants, des tournures maladroites, ou des phrases qui « sonnent » comme une traduction automatique est suspect. Attention : les courriels de phishing générés par IA sont maintenant souvent parfaitement rédigés — l'absence de fautes ne garantit pas la légitimité.

• 5
  🔐 Demande d'informations personnelles par courriel

  Aucune organisation légitime — banque, gouvernement, service en ligne — ne te demandera ton mot de passe, ton NAS, ton numéro de carte bancaire, ou ton numéro d'assurance maladie par courriel. Jamais. Si un courriel te demande ces infos, c'est une arnaque à 99,9%.

• 6
  📎 Pièce jointe inattendue

  Une pièce jointe que tu n'attendais pas — surtout si c'est un fichier .exe, .zip, .docm (Word avec macros), ou .xlsm (Excel avec macros) — est un signal d'alarme sérieux. Même si l'expéditeur semble légitime, contacte-les directement (par téléphone ou en visitant le site officiel) avant d'ouvrir quoi que ce soit.

• 7
  🎁 Trop beau pour être vrai

  Tu as gagné un prix que tu n'as pas réclamé, tu as droit à un remboursement d'impôt inattendu, une récompense de fidélité exceptionnelle. Si l'offre semble trop généreuse et que tu n'as rien déclenché, c'est du leurre. Les vrais remboursements de l'ARC se font par chèque postal ou dépôt direct — pas par un lien dans un courriel.

Exemples canadiens — les arnaques les plus fréquentes

🏛️ Faux ARC (Agence du revenu du Canada)

C'est l'une des arnaques les plus courantes au Canada. Un courriel prétend que tu dois un montant d'impôt et que ton compte sera gelé, ou à l'inverse, qu'un remboursement t'attend. Il inclut un lien vers un faux site Canada.ca qui ressemble à l'original.

La vérité : L'ARC communique principalement par courrier postal. Pour les communications numériques, l'ARC utilise Mon dossier sur Canada.ca — accède-y directement sans jamais cliquer sur un lien dans un courriel.

📦 Faux Postes Canada

« Votre colis n'a pas pu être livré — des frais de 2,99 $ sont requis pour reprendre la livraison ». Ce type d'arnaque est particulièrement efficace parce que beaucoup de Canadiens attendent des colis. Le lien mène à une fausse page Postes Canada où on te demande ta carte de crédit pour « les frais de relivraison ».

La vérité : Postes Canada ne demande pas de paiement par courriel pour des colis non livrés. En cas de doute, va sur canadapost.ca et entre ton numéro de suivi directement.

🏦 Faux Desjardins (et autres banques canadiennes)

Des courriels imitant Accès D de Desjardins, la Banque Nationale, TD, BMO, ou d'autres institutions financières canadiennes. Ils signalent une « activité suspecte » sur ton compte et t'invitent à te connecter pour vérifier.

Comment vérifier un lien sans cliquer

Si tu reçois un lien suspect et que tu veux savoir s'il est dangereux sans prendre de risques, voici les méthodes :

Méthode 1 — Survoler avec la souris

Sur ordinateur, place ton curseur sur le lien sans cliquer. L'URL réelle s'affiche dans la barre de statut en bas à gauche de ton navigateur. Si l'URL affichée ne correspond pas à l'organisation qui prétend t'envoyer le message — signal d'alarme.

Méthode 2 — URLScan.io

Copie le lien (clic droit → Copier l'adresse du lien), puis va sur urlscan.io et colle-le dans la barre de recherche. URLScan analyse l'URL et te montre une capture d'écran du site sans que tu y accèdes, ainsi que des informations sur sa réputation.

Méthode 3 — VirusTotal

VirusTotal (virustotal.com) analyse les URLs avec plus de 70 moteurs antivirus différents. Soumets l'URL suspecte dans l'onglet « URL » — tu obtiens un rapport qui indique si des moteurs l'ont signalé comme malveillant.

Méthode 4 — Google Safe Browsing (vérification rapide)

Tu peux utiliser l'outil de transparence de Google : transparencyreport.google.com/safe-browsing/search. Entre l'URL pour vérifier si Google la signale comme dangereuse.

Signaler un courriel de phishing au Canada

Signaler les tentatives de phishing aide à protéger les autres Canadiens. Voici où signaler :

• Centre canadien de lutte contre les arnaques (CAFC) : antifraudcentre.ca ou 1-888-495-8501. C'est l'organisme national pour les fraudes et arnaques.
• Centre antispam canadien (CRTC) : fightspam.gc.ca. Pour le spam et les courriels frauduleux qui violent la Loi canadienne anti-pourriel (LCAP).
• À ton fournisseur de messagerie : Dans Gmail, Outlook, et la plupart des services de messagerie, tu peux signaler un courriel comme phishing directement (icône de signalement). Ça aide les filtres à bloquer les futures tentatives similaires.
• À l'organisation imitée : Desjardins, la Banque Nationale, et les grandes banques canadiennes ont des adresses pour signaler les faux courriels en leur nom. Cherche « signaler phishing [nom de la banque] » pour trouver leur canal officiel.

Si tu as cliqué — protocole d'urgence 5 étapes