Reconnaître un courriel d'hameçonnage : 5 exemples d'ici

Un texto vous annonce un remboursement d'Hydro-Québec. Un courriel de « Postes Canada » réclame 2,99 $ pour libérer un colis. Votre adjointe reçoit un avis de Revenu Québec avec un lien « sécurisé ».

Ces messages imitent des organismes que tout le monde connaît au Québec. C'est justement pour ça qu'ils fonctionnent.

La bonne nouvelle : ces organismes ont publié ce qu'ils ne font jamais par courriel ou par texto. Quand on connaît ces règles, la plupart des faux tombent en dix secondes. Voici les signes à vérifier, puis cinq exemples décortiqués.

En bref

Avant de cliquer, posez trois questions : qui m'écrit, que me demande-t-on, et pourquoi si vite ?
Hydro-Québec, Revenu Québec, l'ARC, Postes Canada et la SAAQ disent tous ne pas faire de remboursement ni demander de renseignements bancaires par un lien dans un texto ou un courriel.
Dans le doute, n'utilisez jamais le lien reçu : tapez l'adresse vous-même ou appelez un numéro que vous connaissez déjà.
Signalez le message à votre TI, transférez les textos au 7726, puis supprimez-les.

Les 7 signes à vérifier avant de cliquer

Le Centre canadien pour la cybersécurité résume bien le problème : un message est suspect quand il presse, quand il demande des renseignements ou quand il vous invite à vous connecter par un lien. Cochez mentalement cette liste :

L'urgence : un délai, une menace de coupure, de suspension ou de pénalité.
La demande : mot de passe, numéro de carte, NAS, code reçu par texto.
Le lien : l'adresse réelle ne correspond pas au site officiel de l'organisme.
L'expéditeur : un nom connu, mais une adresse courriel étrange ou un numéro inconnu.
L'offre trop belle : un remboursement, un crédit, un prix que vous n'attendiez pas.
Le canal : un organisme qui dit ne pas texter… vous texte.
Le contexte : vous n'attendez ni colis, ni remboursement, ni document partagé.

Une mise en garde : ne comptez plus sur les fautes d'orthographe. Le Centre pour la cybersécurité note que l'IA rend ces indices moins fiables. Un français impeccable ne prouve rien.

Cinq exemples reconstitués, décortiqués

Les messages ci-dessous sont des reconstitutions fictives, inspirées des stratagèmes que les organismes eux-mêmes ont dénoncés. Les adresses utilisent le domaine réservé .example : elles ne mènent nulle part.

1. Le faux remboursement d'Hydro-Québec

Texto : « Hydro-Québec : un trop-perçu de 86,40 $ a été détecté sur votre compte. Réclamez votre remboursement avant 23 h 59 : hq-remboursement.example/client »

Ce qui cloche : Hydro-Québec affirme ne jamais faire de remboursement ou de dédommagement par texto ou par courriel. Ajoutez l'échéance de minuit et une adresse qui n'est pas celle d'Hydro-Québec : trois signaux sur sept.

2. Le virement de « Revenu Québec » ou de l'ARC

Courriel : « Avis de remboursement. Vous avez droit à 412,15 $. Pour le recevoir par virement Interac, confirmez votre identité et vos coordonnées bancaires : revenu-qc-avis.example/depot »

Ce qui cloche : Revenu Québec indique que ses alertes ne contiennent ni hyperlien ni pièce jointe, et qu'il ne demande pas de renseignements personnels par courriel ou par texto. L'Agence du revenu du Canada, de son côté, précise qu'elle n'envoie pas de remboursement par virement électronique ou par texto.

3. Le colis retenu de Postes Canada

Texto : « Postes Canada : votre colis est retenu au centre de tri. Des frais de 2,99 $ sont requis, sinon il sera retourné à l'expéditeur : postes-livraison.example/suivi »

Ce qui cloche : Postes Canada ne demande jamais, par courriel ou par texto, de paiement pour libérer une livraison, ni vos renseignements de carte de crédit. Le petit montant est un appât : ce qu'on veut, c'est votre numéro de carte.

4. Le « trop-perçu » de la SAAQ

Texto : « SAAQ : un montant vous a été facturé en trop lors du renouvellement de votre permis. Obtenez votre crédit ici : saaq-credit.example »

Ce qui cloche : en décembre 2024, la SAAQ a dénoncé ce scénario précis et rappelé qu'elle ne communique jamais avec sa clientèle par texto pour ce genre de situation. Pour vérifier votre dossier, passez par SAAQclic en tapant vous-même l'adresse.

5. La fausse page Microsoft 365 (celle qui vise l'entreprise)

Courriel : « Un document vous a été partagé : Facture_T3.pdf. Connectez-vous pour l'afficher. » Le bouton mène à login-m365.example.

Ce qui cloche : ce message ne veut pas votre carte de crédit, il veut votre mot de passe professionnel, parfois avec votre code MFA. Un vrai partage s'ouvre aussi en vous connectant normalement à votre espace OneDrive ou SharePoint. Une boîte volée de cette façon sert souvent de tremplin à une fraude du président.

Ce que ces organismes disent ne jamais faire

Gardez ce tableau à portée de main, ou affichez-le près de la réception.

Organisme	Leurre fréquent	Ce que l'organisme affirme
Hydro-Québec	Remboursement, trop-perçu, retard de paiement	Aucun remboursement ni dédommagement par texto ou courriel ; jamais de demande de carte de crédit ou d'informations bancaires par courriel ou SMS
Revenu Québec	Remboursement, virement, avis	Pas de renseignements personnels demandés par courriel ou texto ; ses alertes n'ont ni hyperlien ni pièce jointe
Agence du revenu du Canada	Virement Interac, menace d'arrestation	Pas de remboursement par virement électronique ou texto ; pas de textos ni de messagerie instantanée (sauf code MFA si vous l'avez choisi)
Postes Canada	Colis retenu, frais de livraison	Jamais de carte, de mot de passe ni de paiement pour libérer une livraison par courriel ou texto
SAAQ	Trop-perçu, crédit, renouvellement	Pas de contact par texto pour ce genre de situation

Vérifier sans prendre de risque

Vous avez un doute ? Voici comment trancher sans vous exposer.

N'utilisez jamais le lien reçu. Tapez l'adresse officielle dans votre navigateur ou ouvrez l'application de l'organisme. Si le problème est réel, il sera affiché dans votre dossier.
Regardez l'adresse sans l'ouvrir. Survolez le lien à la souris, ou faites un appui long sur cellulaire. Un domaine qui « ressemble » au vrai ne suffit pas.
Appelez un numéro que vous connaissez déjà : celui de votre facture ou du site officiel, jamais celui du message.
Vérifiez par un autre canal quand le message vient d'un collègue ou d'un fournisseur. Un coup de fil règle la question.
Méfiez-vous aussi des codes QR. Le Centre pour la cybersécurité les range parmi les vecteurs d'hameçonnage. Même règle : on ne scanne pas un code reçu sans contexte.

Signaler, puis supprimer

Un signalement prend une minute et protège vos collègues.

Au travail : transférez le message à votre responsable TI, ou utilisez le bouton « Signaler » de votre messagerie. Ne le transférez pas à des collègues « pour avoir leur avis ».
Textos : transférez-les au 7726. Votre fournisseur de téléphonie pourra bloquer l'expéditeur.
Hydro-Québec : l'organisme demande d'envoyer une copie des messages suspects à Surveillance.Fraudes@hydro.qc.ca.
Centre antifraude du Canada : en ligne, sur la plateforme fédérale Signaler la cybercriminalité et la fraude, ou au 1-888-495-8501.

Ensuite, supprimez le message. Vous avez déjà cliqué ? Pas de panique : suivez notre guide J'ai cliqué sur un lien d'hameçonnage : que faire.

Ce que l'entreprise peut faire de son côté

Former l'œil des employés, c'est essentiel. Mais une PME peut aussi réduire le nombre de faux qui arrivent dans les boîtes.

Protéger votre propre domaine. Sans DMARC, un fraudeur peut envoyer des courriels avec votre adresse exacte à vos clients. Notre vérificateur DMARC, SPF et DKIM vous dit en quelques secondes où vous en êtes.
Entraîner l'équipe. Une simulation d'hameçonnage avec des exemples comme ceux-ci montre qui clique, et surtout qui signale.
Régler la messagerie. Bandeau « expéditeur externe », filtrage des pièces jointes, MFA partout : ces réglages font partie de notre audit Microsoft 365 et Google Workspace.
Féliciter les signalements. Quand la direction d'une entreprise de paysagement de Terrebonne remercie publiquement l'employé qui a repéré un faux, elle envoie le bon message à toute l'équipe : signaler, c'est bien vu, même pour une fausse alerte.

Le meilleur réflexe tient en une phrase : on ne répond jamais à une demande pressante par le canal qui l'a apportée.

Questions fréquentes

Un courriel sans faute d'orthographe peut-il être de l'hameçonnage ?+

Oui. Le Centre canadien pour la cybersécurité souligne que l'intelligence artificielle rend les indices classiques, comme les fautes ou un ton robotique, moins fiables. Fiez-vous plutôt à la demande elle-même : un lien pour vous connecter, un paiement urgent ou des renseignements personnels à fournir doivent toujours être vérifiés par un autre canal.

Hydro-Québec ou Revenu Québec peuvent-ils m'envoyer un texto avec un lien ?+

Hydro-Québec affirme ne jamais faire de remboursement par texto ou par courriel, et ne jamais demander de numéro de carte de crédit par ces moyens. Revenu Québec indique que ses alertes ne contiennent ni hyperlien ni pièce jointe et ne demandent aucun renseignement personnel. Un texto qui vous invite à cliquer pour un remboursement est donc à traiter comme une fraude.

Faut-il signaler un hameçonnage si on n'a pas cliqué ?+

Oui. Au travail, signalez-le à votre responsable TI : d'autres employés ont probablement reçu le même message. Vous pouvez aussi transférer les textos frauduleux au 7726 et faire un signalement au Centre antifraude du Canada, qui recueille aussi les tentatives sans perte.

Comment vérifier un lien sans cliquer dessus ?+

Sur un ordinateur, survolez le lien avec la souris pour afficher l'adresse réelle ; sur un cellulaire, un appui long l'affiche sans l'ouvrir. Mais la méthode la plus sûre reste de ne pas utiliser le lien du tout : tapez vous-même l'adresse officielle de l'organisme ou ouvrez son application.