Le phishing, c'est quoi ?

Le phishing, ou hameçonnage en français, est une technique d'escroquerie qui consiste à se faire passer pour un organisme de confiance (banque, administration, livreur, opérateur) afin de vous pousser à cliquer sur un lien, à donner des informations personnelles ou à effectuer un paiement.

Selon cybermalveillance.gouv.fr, l'hameçonnage reste la première menace en ligne pour tous les publics, particuliers comme entreprises. Il arrive par e-mail, par SMS (on parle alors de « smishing »), par messagerie instantanée ou sur les réseaux sociaux.

Les arnaques les plus courantes

Les escrocs s'appuient sur des situations du quotidien, pour que leur message paraisse naturel. Voici les scénarios que l'on rencontre le plus souvent.

• Le faux colis : « Votre colis n'a pas pu être livré, réglez les frais de réexpédition. »

• La fausse amende : un message de l'administration vous demandant de payer une contravention en ligne.

• Le faux remboursement : l'Assurance maladie ou les impôts vous annoncent un remboursement à condition de saisir vos coordonnées bancaires.

• Le compte bloqué : votre banque, votre messagerie ou un service de streaming vous demande de « vérifier votre compte » sous peine de suspension.

• Le faux proche : « Coucou maman, j'ai perdu mon téléphone, voici mon nouveau numéro », suivi d'une demande d'argent.

• Le faux renouvellement : votre carte Vitale, votre abonnement ou votre nom de domaine arriverait à expiration.

8 signes qui doivent vous alerter

Aucun message n'est parfait pour un escroc, même à l'heure de l'intelligence artificielle. Prenez quelques secondes pour vérifier ces points avant de cliquer.

1. L'urgence : « dernier rappel », « sous 24 heures », « votre compte sera supprimé ». La pression est la première arme du phishing.

2. L'adresse de l'expéditeur : un nom rassurant peut cacher une adresse e-mail sans aucun rapport avec l'organisme.

3. Le lien : survolez-le sans cliquer (ou faites un appui long sur mobile). Une adresse qui ne correspond pas au site officiel est un signal fort.

4. La demande d'informations sensibles : mot de passe, code reçu par SMS, numéro de carte. Un organisme sérieux ne les demande jamais ainsi.

5. Un petit montant à payer : 1,99 € de frais de livraison ou de réexpédition, pour récupérer vos coordonnées bancaires.

6. Un message inattendu : un colis que vous n'avez pas commandé, un remboursement que vous n'avez pas demandé.

7. Les formules impersonnelles : « Cher client », sans votre nom, alors que l'organisme vous connaît.

8. Le canal inhabituel : une administration qui vous contacte par SMS avec un lien de paiement.

À noter : les fautes d'orthographe ne sont plus un indice fiable. Avec l'IA, les messages frauduleux sont désormais souvent rédigés sans erreur.

Que faire face à un message suspect ?

En cas de doute, la règle est simple : ne cliquez pas, et vérifiez par vous-même. Voici la marche à suivre.

1. Ne cliquez sur aucun lien et n'ouvrez aucune pièce jointe.

2. Ne répondez pas au message, même pour dire que vous n'êtes pas concerné.

3. Vérifiez par un autre canal : connectez-vous directement à votre espace client en tapant l'adresse du site vous-même, ou appelez l'organisme sur son numéro officiel.

4. Signalez le message : un SMS frauduleux peut être transféré gratuitement au 33700. Un e-mail peut être signalé comme indésirable dans votre messagerie.

5. Supprimez-le une fois signalé.

Vous avez cliqué ou donné des informations : les bons réflexes

Cela arrive à tout le monde. L'essentiel est de réagir rapidement pour limiter les conséquences.

• Vous avez donné vos coordonnées bancaires : appelez immédiatement votre banque pour faire opposition sur votre carte, et surveillez vos opérations.

• Vous avez saisi un mot de passe : changez-le tout de suite, ainsi que sur tous les comptes où vous l'utilisiez, et activez la double authentification.

• Vous avez téléchargé une pièce jointe : lancez une analyse antivirus et, en cas de doute, faites vérifier votre appareil.

• Vous avez été victime d'un paiement frauduleux : contestez-le auprès de votre banque et portez plainte auprès de la police ou de la gendarmerie.

• Vous avez besoin d'aide : la plateforme publique cybermalveillance.gouv.fr propose un diagnostic et oriente les victimes vers des solutions adaptées.

Comment se protéger durablement

Quelques habitudes simples vous mettent à l'abri de la grande majorité des tentatives d'hameçonnage.

• Activez la double authentification sur vos comptes importants : même si un escroc obtient votre mot de passe, il ne pourra pas se connecter.

• Utilisez un mot de passe différent pour chaque service, idéalement avec un gestionnaire de mots de passe.

• Accédez toujours à vos comptes directement, via l'application officielle ou en tapant l'adresse du site, jamais depuis un lien reçu.

• Tenez vos appareils à jour : système, navigateur et applications.

• Parlez-en autour de vous, en particulier aux personnes âgées, souvent ciblées.

FAQ : phishing et hameçonnage

Voici les réponses aux questions que l'on se pose le plus souvent face à un message suspect.

Ouvrir un e-mail de phishing est-il dangereux ?

Simplement ouvrir un e-mail présente généralement peu de risques. Le danger vient du clic sur un lien, de l'ouverture d'une pièce jointe ou de la saisie d'informations.

Ma banque peut-elle me demander un code par téléphone ?

Non. Aucune banque ne vous demandera jamais un code de validation reçu par SMS, un mot de passe ou un virement par téléphone. Toute demande de ce type est une arnaque.

Comment signaler un SMS frauduleux ?

Transférez-le gratuitement au 33700, le service de signalement des opérateurs, puis supprimez-le.

Pourquoi je reçois autant de messages frauduleux ?

Votre numéro ou votre adresse e-mail a pu apparaître dans une fuite de données. Les escrocs utilisent ces listes pour envoyer des messages en masse, parfois personnalisés.

Les escrocs utilisent-ils l'IA ?

De plus en plus, notamment pour rédiger des messages sans fautes et adaptés à chaque victime. Raison de plus pour se fier à la vérification par un autre canal plutôt qu'à l'apparence du message.

Sources

Cet article s'appuie sur les recommandations des autorités publiques en matière de cybersécurité.

• Cybermalveillance.gouv.fr : violation de données personnelles chez Free : vigilance face aux e-mails, SMS et appels frauduleux après une fuite.

• info.gouv.fr : bien sécuriser ses mots de passe : bonnes pratiques recommandées par l'ANSSI.