Phishing (hameçonnage) : le reconnaître et s’en protéger

Vous avez déjà reçu un mail « Votre compte va être bloqué », un SMS « colis en attente de paiement » ou un message Messenger d’un soi-disant ami qui réclame de l’argent en urgence ? Vous n’êtes pas seul. Aujourd’hui, particuliers, pros, étudiants, seniors… tout le monde reçoit ce genre de messages frauduleux, parfois plusieurs fois par semaine.

Bonne nouvelle : repérer l’hameçonnage, ou phishing, n’a rien de magique. Avec quelques réflexes simples, on apprend vite à reconnaître un faux mail de banque, un SMS frauduleux ou un faux site qui imite les impôts. Le principe reste toujours le même : un faux message imite un organisme de confiance (banque, administration, La Poste, opérateur, réseau social) pour voler vos identifiants ou votre argent. Derrière chaque mail mal écrit, il y a un projet organisé de cybercriminalité.

À lire Pourquoi utiliser une URL masquée sur Leboncoin pour votre sécurité et confidentialité

Comprendre le phishing : ce que cherchent vraiment les cybercriminels #

L’hameçonnage (phishing) est une technique de fraude qui utilise un message (email, SMS, message vocal, réseau social, QR code…) pour pousser quelqu’un à révéler des données sensibles ou à payer. Cybermalveillance.gouv.fr le résume clairement : le fraudeur se fait passer pour un tiers de confiance pour obtenir des données personnelles ou bancaires et les utiliser ensuite de façon frauduleuse.

Concrètement, les objectifs les plus fréquents sont :

• Vol d’identifiants (adresse mail, mot de passe, accès à des services financiers).
• Usurpation de votre messagerie puis attaque de vos proches via votre compte.
• Détournement de comptes bancaires et vols d’argent, parfois en quelques minutes.
• Collecte de données personnelles : carte d’identité, RIB, numéro de carte, justificatifs.
• Installation de logiciels malveillants via pièces jointes ou liens piégés.

Les canaux sont variés : phishing par email, SMS frauduleux (smishing), appels vocaux, messages sur réseaux sociaux, faux sites web et codes QR malveillants qui renvoient vers un site frauduleux. Certains attaquants pratiquent même le spear phishing ciblé, en visant une personne ou une entreprise précise avec un message sur-mesure.

Le phishing n’est pas une « petite arnaque » de bricoleurs. C’est un vrai business criminel, organisé et rentable, alimenté par des campagnes de phishing massives. Plus on le comprend, plus on accepte que la vigilance doit devenir une habitude.

À lire Comment supprimer un compte iCloud d’un ancien propriétaire en toute sécurité

Les signaux d’alerte qui doivent vous faire douter tout de suite #

La plupart des messages frauduleux présentent des signaux assez visibles quand on sait où regarder. La CNIL, Cybermalveillance.gouv.fr et plusieurs guides de sécurité listent des signes récurrents.

Les « drapeaux rouges » les plus fréquents :

• Message inattendu ou incohérent : on vous parle d’un colis alors que vous n’attendez rien, d’un remboursement d’impôts que vous n’avez pas demandé, ou d’un ami qui réclame en urgence de l’argent par WhatsApp.
• Ton urgent, menaçant, anxiogène : « Votre compte va être bloqué », « Dernier avertissement », « Action immédiate requise », souvent avec des délais artificiels.
• Demande de données sensibles : mot de passe, codes de validation, coordonnées bancaires, copie de pièce d’identité… Les institutions sérieuses ne vous demandent jamais ces infos par mail ou SMS.
• Adresse d’expéditeur suspecte : nom de domaine avec une faute, ajout de mots bizarres, adresse sans rapport avec l’organisme prétendu. Et même quand l’adresse paraît correcte, l’usurpation d’identité reste possible.
• Forme peu professionnelle : fautes d’orthographe, phrases étranges, logos flous, mise en page bancale, liens qui ne correspondent pas au texte affiché.

Ces signaux sont au centre de la détection des messages frauduleux. Dès que deux ou trois se cumulent, le réflexe devrait être clair : doute, puis vérification.

Analyser un e-mail suspect pas à pas : la méthode simple #

Avant de cliquer, il suffit souvent de 10 secondes pour analyser un message suspect. Microsoft, la CNIL et Cybermalveillance donnent tous la même logique.

On peut suivre cette mini-checklist :

• Vérifier l’expéditeur : regardez l’adresse complète, le domaine (ce qui vient juste avant .fr ou .com), comparez avec vos précédents mails officiels de la banque ou de l’administration.
• Regarder l’objet et le ton : phrases agressives, promesses trop belles, urgence artificielle, menaces de blocage ou d’amende.
• Inspecter les liens sans cliquer : sur ordinateur, survolez le lien avec la souris pour afficher l’URL réelle ; sur mobile, faites un appui long. Si le domaine ne correspond pas au site officiel, c’est non.
• Examiner les pièces jointes : fichiers inattendus, archives (.zip), extensions étranges (.exe, .html) sont très suspectes.
• Questionner la cohérence : ce message correspond-il à une démarche réelle (achat, inscription, demande) que vous avez faite ? Si ça tombe de nulle part, alerte.

Si le moindre doute persiste, le meilleur réflexe reste de ne pas cliquer, ne pas répondre et ne pas ouvrir la pièce jointe. Le doute, ici, protège votre argent et vos données personnelles.

Phishing par SMS, QR code et réseaux sociaux : les pièges qui montent #

Beaucoup de gens se concentrent sur les mails, alors qu’une grande partie des attaques de phishing arrive aujourd’hui par SMS, QR code et réseaux sociaux.

Par SMS (smishing), les scénarios typiques, relevés par les guides de La Poste et les autorités, sont :

• « Votre colis est en attente, payez les frais de douane » avec un lien raccourci.
• « Avis de la banque : compte bloqué, connectez-vous ici ».
• « Amende non payée » ou faux message des impôts.

Ces messages utilisent souvent des liens raccourcis, des numéros courts ou anonymes, et un ton très urgent.

Les codes QR malveillants : collés sur une affiche, une boîte aux lettres ou un prospectus, ils renvoient vers un faux site ou déclenchent le téléchargement d’un malware. Avant de scanner, regardez l’aperçu de l’URL quand c’est possible, privilégiez une application de scan qui affiche le lien, et méfiez-vous des QR « sauvages » dans l’espace public.

Sur les réseaux sociaux, les attaques les plus fréquentes :

• Faux profils de « support client » qui vous demandent de « vérifier votre compte » via un lien.
• Messages provenant de comptes d’amis piratés qui réclament un virement urgent ou un code reçu par SMS.
• Faux concours et tirages au sort qui exigent vos coordonnées bancaires pour un prétendu « remboursement ».

Un compte se compromet en quelques secondes, puis sert à viser tous ses contacts. D’où l’intérêt d’étendre vos réflexes de prévention à tous les outils numériques, pas seulement la boîte mail.

Les réflexes immédiats à adopter en cas de doute #

La CNIL et Cybermalveillance sont très clairs : face à un message suspect, le meilleur réflexe, c’est de ne rien faire… tant qu’on n’a pas vérifié.

• Ne pas répondre, ne pas cliquer, ne pas ouvrir la pièce jointe tant que le doute subsiste.
• Si le message est manifestement un mail frauduleux, le supprimer et vider la corbeille, après l’avoir éventuellement signalé.
• En cas de doute sérieux, contacter l’organisme (banque, opérateur, administration) via ses canaux officiels : numéro figurant au dos de votre carte ou sur le site officiel, espace client, jamais via les coordonnées du message suspect.
• Sur un compte professionnel, transférer au service informatique / RSSI et attendre leurs consignes avant de supprimer.

Une règle simple protège déjà d’une grande partie des fraudes en ligne : ne jamais cliquer sur un lien qui vous fait peur ou qui vous presse, sans vérification par un canal indépendant.

Que faire si vous avez déjà cliqué ou donné des informations ? #

Ça arrive. Vous étiez pressé, sur mobile, le message était bien fait… et vous avez cliqué ou même rempli le formulaire. L’important maintenant, c’est d’agir vite. Les fiches de La Poste, de la CNIL et de Cybermalveillance vont toutes dans le même sens.

• Coordonnées bancaires communiquées : appelez immédiatement votre banque, faites opposition, surveillez vos comptes, gardez les preuves (captures, mails, SMS).
• Identifiants ou mots de passe transmis : changez les mots de passe concernés, en priorité votre adresse mail et vos comptes financiers, activez l’authentification multifacteur quand c’est possible, vérifiez les connexions récentes et déconnectez les sessions actives.
• Pièce jointe suspecte ouverte : lancez un scan complet avec un antivirus à jour, déconnectez si besoin l’appareil du réseau, demandez l’aide d’un professionnel ou du support informatique.
• Usurpation d’identité avérée : déposez plainte (commissariat, gendarmerie) et signalez via internet-signalement.gouv.fr ou cybermalveillance.gouv.fr.

L’erreur ne veut pas dire que vous êtes naïf : certaines campagnes de phishing sont très bien faites. La vraie différence, c’est la rapidité de réaction.

Renforcer sa protection au quotidien : outils et bonnes pratiques #

Au-delà des réflexes, quelques habitudes d’« hygiène numérique » réduisent fortement le risque, comme le rappellent la CNIL, Microsoft et les guides officiels.

• Installer un antivirus fiable, l’actualiser régulièrement, et activer les protections web et anti-phishing.
• Utiliser les filtres anti-spam et les avertissements contre les sites dangereux dans le navigateur et la messagerie.
• Désactiver le volet de prévisualisation et lire en texte brut si possible, pour limiter certains risques.
• Choisir des mots de passe robustes, tous différents, idéalement via un gestionnaire, et activer systématiquement l’authentification multifacteur (2FA) sur les services sensibles.
• Éviter les réseaux Wi-Fi publics pour les opérations bancaires ou administratives, garder son système et ses applications à jour, vérifier régulièrement les paramètres de sécurité des comptes.

La double authentification mérite d’être considérée comme non négociable sur la banque, la messagerie et les réseaux sociaux. Sans elle, une simple fuite de mot de passe peut se transformer en identifiants volés qui ouvrent l’accès à toute votre vie numérique.

Tableau pratique : signaux d’alerte vs ce qu’ils cachent #

Signal d’alerte	Ce que ça cache souvent
Message urgent « compte bloqué »	Vol d’identifiants de connexion sur un faux site web imitant la banque ou l’administration.
SMS avec lien raccourci pour « colis en attente »	Collecte de données bancaires ou installation de malware via une URL piégée ou un code QR malveillant.
Demande d’envoi de mot de passe ou de code SMS	Prise de contrôle de votre messagerie ou de votre compte bancaire pour réaliser des fraudes en ligne.
Mail avec pièces jointes .zip ou .exe inattendues	Installation d’un logiciel malveillant, vol de données, espionnage de l’appareil.
Message d’« ami » qui demande un virement urgent	Usurpation d’identité via un compte piraté, et tentative d’arnaque ciblée sur ses contacts.

Signaler un phishing : à qui s’adresser en France ? #

Le signalement ne sert pas seulement à « se défouler ». Il aide à améliorer les filtres, à repérer des campagnes de phishing et à protéger les autres.

• Pour un SMS frauduleux : transférez-le au 33700 (service national de signalement des SMS et appels indésirables).
• Pour un mail frauduleux ou un spam : signalez-le via Signal Spam.
• Pour une escroquerie ou un contenu illicite en ligne : internet-signalement.gouv.fr (plateforme Pharos).
• Pour être conseillé, assisté ou mis en relation avec un professionnel : cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes.

Avant suppression, gardez les preuves : captures d’écran, mails, numéros. Et parlez-en autour de vous. Plus on partage ces exemples, plus on développe une culture de vigilance numérique, notamment auprès des personnes moins à l’aise avec le numérique.

Le « pourquoi » du phishing : psychologie et réflexes #

Les attaquants ne se contentent pas d’envoyer des messages au hasard : ils jouent sur notre comportement humain. Peur de perdre son compte, envie d’un remboursement, urgence, confiance dans les marques… Le message s’insère dans notre quotidien : impôts, livraison, factures, réseaux sociaux, démarches administratives.

La réponse la plus efficace, c’est d’installer une vraie hygiène numérique de vigilance. Prendre quelques secondes de recul avant de cliquer, vérifier l’expéditeur, le contexte, le lien, la demande de données sensibles. Une forme de méfiance bienveillante : on reste ouvert, mais on se demande systématiquement « Est-ce que ce message est cohérent avec ma vie réelle ? ».

Au final, la question à se poser à chaque fois est simple : « Est-ce que j’agis parce que je suis pressé ou paniqué, ou parce que j’ai vraiment vérifié cette demande ? ». Répondre honnêtement à cette question, c’est déjà être nettement mieux armé face au phishing.

Questions fréquentes #

Comment reconnaître un phishing (hameçonnage) ?

Un message de phishing cumule souvent plusieurs signaux : un ton urgent ou menaçant (« compte bloqué », « dernier avertissement »), une demande de données sensibles (mot de passe, code, coordonnées bancaires), une adresse d’expéditeur douteuse, des fautes, et un lien dont l’URL réelle ne correspond pas au site officiel. Dès que deux ou trois de ces signaux se cumulent : doute, puis vérification par un canal officiel.

Que faire si j’ai déjà cliqué ou donné mes informations ?

Agissez vite. Si vous avez communiqué des coordonnées bancaires, appelez votre banque et faites opposition. Si vous avez transmis un mot de passe, changez-le immédiatement (mail et comptes financiers en priorité) et activez la double authentification. Si vous avez ouvert une pièce jointe, lancez un scan antivirus complet. En cas d’usurpation d’identité, déposez plainte et signalez sur internet-signalement.gouv.fr ou cybermalveillance.gouv.fr.

Une banque ou une administration peut-elle demander mon mot de passe par mail ou SMS ?

Non. Un organisme sérieux (banque, impôts, La Poste, opérateur) ne demande jamais votre mot de passe, un code de validation ou une copie de pièce d’identité par mail ou par SMS. Toute demande de ce type est un signal fort de tentative d’hameçonnage.

Où signaler un phishing en France ?

Pour un SMS frauduleux : transférez-le au 33700. Pour un mail frauduleux : signalez-le via Signal Spam. Pour une escroquerie en ligne plus large : internet-signalement.gouv.fr (plateforme Pharos). Pour être conseillé et assisté : cybermalveillance.gouv.fr. Avant de supprimer, conservez les preuves (captures d’écran, mails, numéros).