Un message de votre banque qui vous demande de « confirmer vos informations », un colis bloqué faute de 1,99 € de frais, une amende impayée, un remboursement de l’Assurance maladie… Ces messages ont tous un point commun : ils cherchent à vous faire cliquer, puis à vous soutirer un mot de passe ou un numéro de carte. C’est le phishing, ou hameçonnage, et c’est aujourd’hui la menace numérique la plus répandue en France.
Dans ce guide, vous allez apprendre à reconnaître ces messages en quelques secondes, à connaître les scénarios les plus utilisés par les escrocs, et surtout à savoir exactement quoi faire si vous avez déjà cliqué.
L’essentiel en 30 secondes
- Le phishing est la première menace traitée par le dispositif national Cybermalveillance.gouv.fr.
- Un organisme sérieux ne vous demande jamais votre mot de passe, le code de votre carte ou un code reçu par SMS.
- Le réflexe qui protège de presque tout : ne pas cliquer, et vérifier par un autre canal (appli officielle, site tapé à la main, numéro habituel).
- Si vous avez cliqué : changez le mot de passe concerné, prévenez votre banque si besoin, et suivez la procédure plus bas.
Pourquoi le phishing explose
Selon le rapport d’activité 2025 de Cybermalveillance.gouv.fr, publié en mars 2026, la plateforme a reçu plus de 500 000 demandes d’assistance en 2025, soit environ 20 % de plus qu’en 2024, et l’hameçonnage s’y impose comme la menace principale. Le même rapport souligne que les violations de données ont plus que doublé sur un an.
Les deux phénomènes sont liés. Quand une entreprise se fait voler sa base clients, les escrocs récupèrent des noms, adresses, numéros de téléphone, parfois des numéros de contrat. Ils peuvent alors envoyer des messages personnalisés, beaucoup plus crédibles qu’avant : « Bonjour Madame Martin, votre contrat n°… ». La faute d’orthographe grossière n’est plus le signe infaillible qu’elle était.
Les 10 signes qui doivent vous alerter
1. L’adresse de l’expéditeur ne correspond pas
Le nom affiché (« Service client », « Ameli », « La Poste ») se choisit librement ; l’adresse réelle, elle, est plus difficile à falsifier. Touchez ou cliquez sur le nom pour afficher l’adresse complète. Méfiez-vous d’un domaine qui ressemble au vrai sans l’être (un tiret en plus, une extension exotique, une lettre doublée) ou d’une adresse de messagerie gratuite pour un organisme officiel.
2. Le message crée un sentiment d’urgence
« Votre compte sera suspendu sous 24 h », « Dernier avis avant poursuites », « Votre colis sera renvoyé ce soir ». L’urgence est une technique de manipulation : elle vous pousse à agir avant de réfléchir. Une vraie administration ne vous menace pas d’une sanction immédiate par SMS.
3. On vous demande des informations confidentielles
Mot de passe, code de carte bancaire, cryptogramme, code de validation reçu par SMS : aucun organisme légitime ne vous les demandera par e-mail, SMS ou téléphone. C’est la règle absolue. Si on vous les demande, c’est une fraude.
4. Le lien ne mène pas là où il prétend
Sur ordinateur, survolez le lien sans cliquer : la vraie adresse s’affiche en bas à gauche de la fenêtre. Sur smartphone, faites un appui long sur le lien. Lisez l’adresse de droite à gauche à partir du premier « / » : c’est la fin du nom de domaine qui compte. « impots.gouv.fr.verification-dossier.com » appartient à « verification-dossier.com », pas aux impôts.
5. Un petit montant à payer
Frais de livraison de 1,99 €, frais de dossier de 2,50 € : le montant est volontairement faible pour que vous ne vous méfiiez pas. L’objectif n’est pas ces quelques euros, mais votre numéro de carte complet, réutilisé ensuite pour des achats bien plus importants.
6. Une salutation impersonnelle… ou trop bien renseignée
« Cher client » reste un indice classique. Mais avec les fuites de données, un message peut aussi contenir votre vrai nom et votre adresse. Ce n’est donc plus une preuve d’authenticité : c’est le contenu de la demande qui compte.
7. Une pièce jointe inattendue
Facture, avis de passage, devis, « document partagé avec vous » que vous n’attendiez pas : n’ouvrez pas. Les pièces jointes piégées servent à installer des logiciels espions ou des rançongiciels. Un fichier compressé (.zip) ou une page web jointe (.html) sont particulièrement suspects.
8. Une offre trop belle pour être vraie
Smartphone à 1 €, gain à un jeu auquel vous n’avez pas participé, remboursement surprise, placement « garanti » à 15 % : si c’est trop beau, c’est que ce n’est pas vrai.
9. Une mise en page approximative
Logo flou, couleurs légèrement différentes, pied de page vide, mélange de vouvoiement et de tutoiement. C’est un indice parmi d’autres : les escrocs copient de mieux en mieux les vrais messages.
10. Le canal est inhabituel
Votre banque vous parle d’habitude dans son application ? Votre opérateur dans votre espace client ? Un e-mail ou un SMS qui sort de ces habitudes mérite une vérification.
Les scénarios les plus fréquents
| Scénario | Ce qu’on vous dit | Ce qu’on veut obtenir |
|---|---|---|
| Faux colis | Livraison en attente, frais à régler | Numéro de carte bancaire |
| Fausse banque | Opération suspecte, compte bloqué | Identifiants et validation d’une opération |
| Fausse administration | Amende, remboursement, carte Vitale à renouveler | Coordonnées personnelles et bancaires |
| Faux compte de formation | Droits qui vont expirer | Identifiants de connexion |
| Faux support de messagerie | Boîte pleine, mot de passe expiré | Mot de passe de messagerie |
Le faux conseiller bancaire mérite une mention spéciale : un premier SMS vous alerte d’une opération suspecte, puis un « conseiller » vous appelle avec le numéro de votre agence affiché. Il vous demande de valider une opération « d’annulation » dans votre application… qui est en réalité un virement vers l’escroc. Votre banque ne vous demandera jamais de valider une opération pour en annuler une autre. Raccrochez et rappelez vous-même votre conseiller.
Les bons réflexes au quotidien
- Ne cliquez pas sur un lien reçu par e-mail ou SMS pour vous connecter à un compte sensible. Passez par l’application officielle ou tapez l’adresse vous-même.
- Activez la double authentification sur votre messagerie, vos réseaux sociaux et vos comptes importants : même si votre mot de passe est volé, il ne suffira pas.
- Utilisez un mot de passe différent par site, idéalement avec un gestionnaire de mots de passe.
- Mettez à jour votre téléphone, votre ordinateur et votre navigateur.
- Signalez les messages suspects : transférez les SMS frauduleux au 33700 et les e-mails à Signal Spam.
Vous avez cliqué ? La marche à suivre
Pas de panique : la rapidité compte plus que tout.
- Vous avez saisi un mot de passe : changez-le immédiatement, et partout où vous utilisiez le même. Commencez par la messagerie, qui permet de réinitialiser tous les autres comptes. Activez la double authentification.
- Vous avez donné votre numéro de carte : appelez votre banque ou le centre d’opposition pour bloquer la carte, puis surveillez vos relevés.
- Vous avez validé une opération : prévenez immédiatement votre banque ; selon les circonstances, une contestation est possible.
- Vous avez ouvert une pièce jointe : déconnectez l’appareil d’Internet (Wi-Fi et câble), ne l’éteignez pas brutalement s’il s’agit d’un poste professionnel, et faites-le analyser.
- Faites-vous accompagner : le site cybermalveillance.gouv.fr propose un diagnostic en ligne, et le 17Cyber permet de signaler une cyberattaque et d’être orienté.
- Portez plainte en cas de préjudice financier, en conservant les messages, captures d’écran et relevés.
Exemple : le faux SMS de livraison
Situation typique : un retraité de la vallée de l’Ariège reçoit un SMS lui indiquant qu’un colis est en attente et qu’il doit régler 1,49 € de frais. Il attendait justement une commande. Le lien mène vers une page aux couleurs d’un transporteur, qui demande nom, adresse, puis carte bancaire. Les signaux d’alerte : un numéro d’expéditeur inconnu, une adresse web sans rapport avec le transporteur, et une demande de paiement inhabituelle. Le bon réflexe : vérifier le suivi directement sur le site du vendeur, à partir de l’e-mail de confirmation de commande.
Check-list à imprimer
- ☐ J’ai vérifié l’adresse réelle de l’expéditeur.
- ☐ Le message ne me met pas sous pression.
- ☐ On ne me demande ni mot de passe, ni code, ni carte bancaire.
- ☐ J’ai lu l’adresse du lien sans cliquer.
- ☐ Dans le doute, je passe par l’application ou le site officiel.
Questions fréquentes
Mon antivirus suffit-il à me protéger du phishing ?
Non. Il bloque une partie des sites frauduleux connus, mais les escrocs créent de nouvelles adresses chaque jour. Votre vigilance et la double authentification restent les meilleures protections.
Peut-on être piraté juste en ouvrant un e-mail ?
Dans l’immense majorité des cas, non : le danger vient du clic sur un lien, de la saisie d’informations ou de l’ouverture d’une pièce jointe. Gardez néanmoins votre messagerie et votre système à jour.
Comment savoir si mes données ont fuité ?
Les organismes victimes d’une fuite doivent informer les personnes concernées lorsque le risque est élevé. Des services en ligne permettent aussi de vérifier si une adresse e-mail apparaît dans des fuites connues. Dans tous les cas, des mots de passe uniques limitent les dégâts.
Que faire si un proche âgé s’est fait piéger ?
Agissez avec lui sans le culpabiliser : opposition bancaire, changement des mots de passe, plainte. Puis installez ensemble des protections simples : double authentification, filtrage anti-spam, et la règle « je ne clique pas, j’appelle ».
Le phishing touche-t-il aussi les entreprises ?
Oui, et c’est souvent la porte d’entrée des rançongiciels et des fraudes au virement. Une sensibilisation des équipes et un audit de cybersécurité réduisent fortement le risque.
Sources
- Cybermalveillance.gouv.fr, rapport d’activité 2025 (publié en mars 2026).
- CNIL, rapport annuel 2025 (publié en mai 2026).
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
