Alerte « connexion inhabituelle » : comment savoir si le mail est vrai

↑ Ce conseil fait partie du guide : Arnaques et hameçonnage

Mail de connexion inhabituelle : que faire ?

Ne touchez à rien dans le message. Une alerte de sécurité authentique se double toujours d'une trace dans le compte : ouvrez l'historique de connexion en tapant vous-même l'adresse du service. Si l'événement y figure, l'alerte est vraie. Sinon, le mail est un hameçonnage, et il n'y a qu'à le signaler.

1. Ne cliquez sur aucun lien, ne répondez pas, n'appelez aucun numéro
2. Ouvrez l'activité récente du compte par le chemin habituel
3. Comparez la date, l'heure, le pays et l'adresse IP de la tentative
4. L'événement existe : réinitialiser le mot de passe, déconnecter les sessions
5. L'événement n'existe pas : signalez le message et supprimez-le

La règle : vérifier l'information par l'autre porte

Tout l'effort de l'hameçonnage porte sur l'apparence du message frauduleux : logo juste, mise en page copiée, ton mesuré. Départager le vrai du faux à l'œil est une course perdue. Une connexion inhabituelle réelle, elle, laisse une trace dans votre compte — et cette trace se consulte sans le message.

Google l'écrit noir sur blanc : « Si vous pensez qu'un e-mail en rapport avec la sécurité semblant provenir de Google est frauduleux, accédez directement à la page myaccount.google.com/notifications. » Cybermalveillance.gouv.fr donne la même consigne : « allez directement sur le site de l'organisme en question par un lien favori que vous aurez vous-même créé ».

Le service	Où lire l'activité de connexion, sans passer par le message
Microsoft, Outlook, Hotmail	account.live.com/activity, ou account.microsoft.com → Sécurité → Activité de connexion
Google, Gmail	myaccount.google.com/notifications, et Sécurité → Vos appareils
Apple, iCloud	account.apple.com → Appareils, ou Réglages → votre nom
Facebook, Instagram	Centre de comptes → Mot de passe et sécurité → Où vous êtes connecté
PayPal	Paramètres → Sécurité → Appareils connectés
Banque, opérateur	L'application installée sur le téléphone, jamais le lien du message

Chez Microsoft, l'activité récente couvre trente jours et détaille, par événement, le type d'activité, le navigateur, le système et l'adresse IP ; les lignes rangées sous Activité inhabituelle se déplient et portent un bouton « Ce n'était pas moi ». Chez Google, le même historique s'ouvre depuis Sécurité et connexion, puis Examiner l'activité liée à la sécurité. Dans les deux cas, un appareil inconnu se traite dans un ordre précis.

Ce qu'une vraie alerte veut dire — et ne veut pas dire

Supposons l'alerte de sécurité authentique. La panique vient d'un contresens : beaucoup lisent « connexion inhabituelle » comme « compte piraté ». Microsoft décrit pourtant le déclencheur sans ambiguïté : « Lorsque nous remarquons une tentative de connexion à partir d'un nouvel emplacement ou appareil ». Google parle d'« une tentative de connexion à partir d'un emplacement ou d'un appareil inhabituels ». Une tentative, pas une réussite.

La majorité des alertes authentiques que je vois arriver ont une cause innocente, et c'est le lecteur qui l'a provoquée :

• Un nouvel appareil : téléphone changé, ordinateur réinstallé, tablette prêtée.
• Le passage du wifi à la 4G, ou un changement de box : l'adresse IP change, donc la ville affichée aussi, parfois à cent kilomètres de chez vous. Une IP ne localise jamais une rue.
• Un VPN allumé : le pays affiché est celui du serveur. Le VPN sert dans trois cas précis.
• Un navigateur neuf, ou les cookies effacés : le service ne vous reconnaît plus, et six traces survivent pourtant à un nettoyage.
• Une application ajoutée : logiciel de messagerie, appli photo, assistant qui relève le courrier.

Le partage se fait sur un mot de l'historique. Tentative de connexion bloquée ou connexion refusée : le mot de passe a tenu. Connexion réussie depuis un pays où vous n'étiez pas : là, le mot de passe est connu et l'ordre des comptes à reprendre compte. Pour remonter plus loin, cinq traces restent lisibles après coup.

Les quatre contrôles sur le message

Vous tenez à trancher sur le mail lui-même ? Quatre contrôles, du plus décisif au moins.

1. Le champ « À » porte-t-il votre adresse ? Le contrôle le plus sous-estimé, et la suite dira pourquoi. Une alerte de sécurité vous est adressée nominativement : votre adresse e-mail, seule, en destinataire. Une liste d'inconnus, ou un non-divulgué, indiquent un message réexpédié ou envoyé en masse.

2. L'adresse de l'expéditeur, lue en entier. Le nom affiché ne vaut rien : il se choisit librement. Microsoft écrit depuis account-security-noreply@accountprotection.microsoft.com, Google depuis no-reply@accounts.google.com. Sur téléphone, l'adresse réelle est masquée : appuyez sur le nom. Quatre lignes d'en-tête disent d'où part vraiment un message.

3. Ce que le message demande. Une vraie notification de sécurité informe : elle ne réclame rien. Gmail l'écrit : « Gmail ne vous demandera jamais d'envoyer vos informations personnelles par e-mail, comme votre mot de passe. » Cybermalveillance aussi : « aucune administration ou société commerciale sérieuse ne vous demandera vos données bancaires ou vos mots de passe par message électronique ou par téléphone ». Un formulaire qui réclame le nom d'utilisateur et le mot de passe sur le même écran est un faux.

4. L'horloge et le compte à rebours. Une alerte authentique arrive dans la minute qui suit l'événement. Un message daté de la semaine dernière, ou qui annonce une suppression « sous 24 heures », joue sur l'urgence : aucun fournisseur ne ferme un compte faute de clic dans un courriel. C'est le ressort de tous les faux messages administratifs, et de la relance prétendument fiscale.

Le piège : un vrai mail de Google, réexpédié

Une catégorie de messages met en échec le contrôle n° 2 — c'est pourquoi le n° 1 passe devant. En avril 2025, une campagne documentée par Kaspersky a fait envoyer par Google lui-même, depuis no-reply@accounts.google.com, des alertes de sécurité contenant un texte d'hameçonnage.

Les attaquants enregistrent un domaine qui imite une adresse technique de Google, y ouvrent un espace Workspace gratuit, puis déclarent une application dans son système d'authentification. Le champ « nom de l'application » accepte un texte long : ils y collent le message d'hameçonnage en entier. Google envoie alors sa notification habituelle à l'administrateur — donc à eux — avec ce texte dedans. Il ne reste qu'à faire suivre ce message authentique et signé vers les victimes.

La leçon dépasse ce cas : une adresse d'expéditeur exacte prouve que le message est passé par les serveurs du fournisseur, pas qu'il vous était destiné ni que son contenu vient de lui. D'où la vérification dans le compte, et nulle part ailleurs.

Les liens raccourcis, et le cas aka.ms

Le conseil habituel — « ne cliquez jamais sur un lien raccourci » — tombe à plat ici, pour une raison gênante : Microsoft en utilise un. aka.ms est son raccourcisseur maison, réservé à son usage interne, et il apparaît vraiment dans ses messages et ses SMS. Écarter par principe tout lien court reviendrait donc à écarter aussi les vraies notifications.

Le seul contrôle qui tienne porte sur l'hôte, caractère par caractère : il doit être exactement aka.ms. Les imitations jouent sur la ressemblance — un tiret à la place du point, une terminaison en .com, un rn qui se lit m. Et comme un lien court cache sa destination, le survoler n'apprend rien.

Le SMS, l'appel, et la notification qui insiste

La même alerte de sécurité circule par d'autres canaux, avec des pièges propres à chacun.

• Par SMS. Votre fournisseur envoie de vrais codes par SMS, ce qui rend le faux crédible. Le signalement se fait au 33700, gratuitement. Si vos SMS cessent soudain d'arriver, c'est plus grave : la carte SIM a pu être détournée.
• Par téléphone. « Nous avons bloqué une connexion suspecte, je vous accompagne. » Aucun service n'appelle pour cela. La conversation vise une prise en main à distance, ou un code lu à voix haute : c'est le faux support technique, et sa version bancaire, le faux conseiller.
• Par notification sur le téléphone. « Est-ce bien vous ? » alors que vous ne vous connectez à rien. Refusez, puis changez le mot de passe : la demande prouve que vos identifiants corrects viennent d'être présentés. Certaines campagnes la répètent des dizaines de fois dans la nuit. La double authentification tient — tant qu'on ne la valide pas pour l'attaquant.
• Par un code reçu sans raison. Un code à six chiffres arrivé seul dit la même chose : quelqu'un tente d'entrer en ce moment.

Le compte que je n'ai pas créé, ou que je ne peux plus ouvrir

La méthode de cette fiche suppose que vous puissiez entrer dans le compte. Deux situations la mettent en défaut, et ce sont elles qui font les appels les plus longs.

Premier cas : l'alerte porte sur un compte que vous n'avez pas ouvert. « Bienvenue », « confirmez votre adresse e-mail », « votre nouveau compte est prêt » : le message arrive sur une adresse électronique que vous n'avez inscrite nulle part. Trois explications, par ordre de fréquence.

• Quelqu'un s'est trompé en tapant la sienne. De loin le cas le plus courant — et la croyance qui circule est fausse. Beaucoup accusent les points d'une adresse email Gmail ; Google écrit l'inverse : « l'ajout de points ne modifie pas votre adresse et n'explique donc pas pourquoi vous recevez le courrier adressé à un autre destinataire ». C'est une saisie erronée, pas un alias.
• Un inconnu ouvre un compte à votre nom, pour l'adosser à une usurpation d'identité. Plus rare, mais c'est celui qui coûte cher.
• Le message d'activation est lui-même un hameçonnage : la création d'un compte n'a jamais eu lieu, et seul le clic est recherché.

Le test qui tranche n'emprunte rien au message : n'utilisez ni le lien d'activation, ni le bouton « ce n'était pas moi ». Allez sur le site par votre propre chemin et lancez « mot de passe oublié » avec votre adresse email. Si un courriel de réinitialisation arrive dans votre messagerie, le compte existe et il porte votre adresse. Sinon, il n'y a pas de compte : le courriel était frauduleux.

Lisez le résultat sur ce que vous recevez, pas sur ce qui s'affiche : beaucoup de sites répondent volontairement « si un compte existe, vous recevrez un message », pour ne pas confirmer à un inconnu qu'une adresse mail est enregistrée chez eux. Cette prudence vous protège aussi : elle empêche de dresser la liste de vos comptes à partir d'un email.

Second cas : le compte existe, mais vous n'y entrez plus. Vieille boîte mail, identifiants oubliés, téléphone de secours changé. La même procédure sert de porte d'entrée, à un détail près qui bloque beaucoup de monde : chez Google comme chez Microsoft, le nom d'utilisateur est l'adresse e-mail, et le formulaire ne sait réinitialiser que celle qui porte réellement le compte — pas les deux autres dont vous vous servez. Cinq autres preuves existent quand le numéro ne répond plus.

Dans les deux cas, ne livrez jamais vos informations personnelles — date de naissance, pièce d'identité — à un formulaire atteint depuis le message : ces vérifications existent chez les grands services, mais on y arrive par le site. Et quand l'accès revient, choisissez un nouveau mot de passe qui n'a jamais servi ailleurs : réemployé, le nouveau mot retombe dans la première fuite venue.

J'ai déjà cliqué, ou déjà validé

Beaucoup arrivent ici après coup. L'ordre des gestes compte plus que la vitesse.

1. Lien ouvert, rien saisi : rien de grave presque toujours. Fermez l'onglet. Ce qui se joue vraiment après un clic tient en quelques vérifications.
2. Identifiants saisis : changez le mot de passe depuis un autre appareil, en commençant par votre messagerie, puis déconnectez les sessions actives. Si ce mot de passe servait ailleurs, chaque compte qui le réutilise est à reprendre.
3. Un code à usage unique communiqué : considérez le compte comme ouvert. Reprenez-le — côté Microsoft, côté Gmail, côté Apple — et vérifiez les renvois automatiques : une règle de transfert laisse six traces et survit au nouveau mot de passe.
4. Coordonnées bancaires données : opposition immédiate, puis contestation écrite. Le délai est long, mais il se compte.
5. Ensuite : remettez la double authentification, ou mieux une clé d'accès qui ne peut pas être hameçonnée, et rangez le reste dans un gestionnaire gratuit.
6. Si de l'argent est parti : le bon guichet dépend du préjudice, et le message se signale à Signal Spam.

Ce qui ne sert à rien

• Répondre, ou chercher le désabonnement. Les deux confirment que l'adresse mail est lue par un humain, ce qui augmente sa valeur de revente.
• Cliquer sur « Ce n'était pas moi » dans le message. Dans une vraie alerte ce bouton est utile ; dans un faux, c'est l'appât principal, parce que c'est celui qu'un lecteur inquiet choisit. Le même bouton existe dans votre compte.
• Changer le mot de passe depuis le lien du mail. Si le message est frauduleux, vous donnez l'ancien et le nouveau mot de passe d'un coup.
• Supprimer le message sans vérifier le compte. On se débarrasse de l'angoisse, pas du problème.
• Ouvrir un nouveau compte pour « repartir de zéro ». Les abonnements et les mots de passe enregistrés dans le navigateur restent attachés au premier, et un compte abandonné finit par se fermer seul.

Si ces messages se multiplient, l'ordinateur n'est pas en cause : votre adresse électronique circule dans une liste issue de fuites chez des tiers. Un test gratuit dit où elle a fuité, et l'alerte affichée par un iPhone obéit à une autre logique.

Questions fréquentes

L'adresse de l'expéditeur est la bonne : le mail est-il forcément vrai ?

Non. Une adresse exacte prouve que le message est passé par les serveurs du fournisseur, pas qu'il vous était destiné. Des campagnes ont fait envoyer par Google lui-même une alerte de sécurité contenant un texte d'hameçonnage, avant de la réexpédier aux victimes. Regardez le champ « À » : il ne porte pas votre adresse.

Une connexion inhabituelle signifie-t-elle que mon mot de passe est connu ?

Pas nécessairement. Beaucoup d'alertes signalent une tentative bloquée, donc un mot de passe qui n'a pas suffi ; d'autres sont déclenchées par vous : nouveau téléphone, VPN, voyage, navigateur neuf. Ouvrez l'historique de connexion : s'il affiche connexion réussie depuis un pays où vous n'étiez pas, alors seulement le mot de passe est à changer.

Où voir l'historique de connexion de mon compte Microsoft ?

Tapez vous-même account.live.com/activity, ou passez par account.microsoft.com puis Sécurité. La page couvre les trente derniers jours et détaille, pour chaque événement, le type d'activité, le navigateur, le système et l'adresse IP. Dépliez les lignes de la section Activité inhabituelle et marquez « Ce n'était pas moi » pour ce que vous ne reconnaissez pas.

Je reçois des mails de confirmation pour un compte que je n'ai pas créé

Ne cliquez pas sur le lien d'activation. Allez sur le site par votre propre chemin et lancez « mot de passe oublié » avec cette adresse email : si un lien de réinitialisation arrive, le compte existe et il est à vous de le reprendre. Sinon, la création d'un compte n'a jamais eu lieu. Le plus souvent, un inconnu s'est simplement trompé en tapant son adresse e-mail.

Le lien commence par aka.ms : est-ce un lien raccourci suspect ?

aka.ms est le raccourcisseur officiel de Microsoft, réservé à son usage interne : il apparaît vraiment dans ses messages et ses SMS. C'est ce qui rend le conseil « ne cliquez jamais sur un lien raccourci » inopérant ici. Le seul contrôle valable est que l'hôte soit exactement aka.ms. Dans le doute, allez dans votre compte.

J'ai cliqué sur le lien du mail d'alerte, sans rien saisir : est-ce grave ?

Non, dans l'immense majorité des cas : ouvrir une page ne vole rien. Le risque commence à la saisie des identifiants ou d'un code reçu par SMS. Fermez l'onglet, ne remplissez rien, vérifiez par votre compte. Si vous avez saisi quelque chose, changez le mot de passe depuis un autre appareil, en commençant par votre messagerie.

Mon téléphone affiche « Est-ce bien vous ? » alors que je ne me connecte à rien

Refusez, puis changez le mot de passe sans attendre. Cette demande prouve que quelqu'un vient de présenter vos identifiants corrects : il ne lui manque que votre accord. Des campagnes répètent la notification des dizaines de fois dans la nuit pour obtenir une validation d'épuisement. Si le téléphone qui porte vos codes est perdu, des recours gratuits existent.

À lire aussi : un appareil inconnu dans la liste · un code reçu sans l'avoir demandé · la boîte mail d'un opérateur bloquée.