Comment reconnaître et éviter les tentatives de phishing

« Bonjour, votre colis est en attente de livraison. Cliquez ici pour régler les frais de douane : 1,99 €. »

Il est 7 h 12. Le message tombe alors que je prépare mon café, une main encore engourdie. Le logo du transporteur est bon. Le ton est poli. Le montant ridicule. Et pourtant, j'ai failli cliquer. Pas par naïveté — parce que j'attendais réellement un colis ce jour-là.

Voilà toute la mécanique du phishing : vous ne tombez pas dans le piège parce que vous êtes distrait. Vous tombez parce que le message tombe au bon moment, avec la bonne histoire, sur la bonne personne. La technique ne cible pas votre intelligence. Elle cible votre contexte.

Je reçois ce genre de questions en permanence. « Comment je sais si c'est une arnaque ? », « J'ai cliqué, c'est grave ? ». Alors j'ai décidé de poser tout à plat : les signaux qui ne trompent pas, ce qu'il faut faire dans les secondes qui suivent une erreur, et pourquoi certaines arnaques sont aujourd'hui indétectables à l'œil nu. Spoiler : la faute d'orthographe n'est plus le critère fiable que tout le monde croit.

Reconnaître une tentative de phishing : les signaux qui ne trompent pas

Oubliez la liste habituelle. J'ai commencé à m'intéresser sérieusement au sujet après qu'un client m'a transféré un mail « évident », selon lui. Le mail était parfait. Bonne syntaxe, logo net, signature conforme. Le seul défaut : l'adresse d'expédition réelle ne correspondait pas au nom affiché. C'est précisément ce que personne ne pense à vérifier.

Le nom affiché ment, l'adresse réelle ne ment pas

Dans presque tous les logiciels de messagerie, ce que vous voyez en premier, c'est le nom de l'expéditeur — « Service Client », « Impôts », « Chronopost ». Ce nom est un texte libre. N'importe qui peut écrire ce qu'il veut dedans. L'adresse technique, celle qui est entre chevrons, est la seule qui compte.

Sur mobile, il faut souvent appuyer sur le nom pour la révéler. Faites-le systématiquement. Une adresse qui se termine par un domaine bizarre, ou qui ressemble à s'y méprendre au vrai sans l'être (banque-securite-info.com au lieu de banque.com) doit déclencher l'alerte immédiatement.

L'urgence fabriquée

« Votre compte sera suspendu dans 24 h. » « Une transaction suspecte a été détectée. » Le but n'est pas de vous convaincre. Le but est de vous empêcher de réfléchir.

J'ai vu une amie, développeuse pourtant, paniquer sur un faux message de sa banque un dimanche soir. Elle a saisi ses identifiants en quatre-vingt-dix secondes. Ce qui l'a fait réagir, ce n'est pas la logique — c'est le fait que sa vraie banque ne l'aurait jamais contactée un dimanche à 22 h. La contrainte de temps est toujours artificielle. Une institution légitime ne vous met jamais le couteau sous la gorge.

Le lien qui ne mène pas où il dit

Sur ordinateur, survolez le lien sans cliquer. L'URL réelle apparaît en bas de la fenêtre. Si l'ancre affiche « www.mabanque.fr » et que l'aperçu montre autre chose, vous avez votre réponse.

Sur mobile, ce survol n'existe pas. Du coup, l'astuce est différente : ne cliquez jamais dans le message. Tapez vous-même l'adresse du site dans le navigateur, ou ouvrez directement l'application officielle. Une notification importante y apparaîtra de toute façon. Si elle n'y est pas, le message était faux.

• Expéditeur inconnu mais qui prétend vous connaître
• Demande d'informations que l'organisme possède déjà (numéro de carte entier, mot de passe)
• Pièce jointe inattendue, même d'un contact connu — son compte a peut-être été piraté
• Formulaire qui vous redirige vers une page demandant vos identifiants juste après le clic
• Ton menaçant. Une vraie administration écrit sec, jamais agressif.

Exemple de phishing : ce que ça donne vraiment

Les captures d'écran que l'on trouve un peu partout montrent des fautes grossières. La réalité de 2026 est plus dérangeante.

Il y a quelques mois, je reçois un message d'un « fournisseur » avec qui je travaille réellement. Facture en pièce jointe, montant cohérent avec nos échanges précédents, référence de commande correcte. Tout était juste. Sauf que le texte du mail demandait de régler sur un IBAN différent de celui enregistré dans ma comptabilité.

C'est l'arnaque au faux fournisseur, et c'est probablement la plus rentable aujourd'hui. Le fraudeur ne devine rien : il a lu vos échanges, il connaît vos partenaires, il sait quand une facture est attendue. Le montant moyen arraché sur ce type d'attaque dépasse largement ce que rapportent les faux SMS de colis.

Exemple de phishing bancaire

Le classique du faux conseiller. Vous recevez un appel : « Bonjour, je suis de la lutte anti-fraude de votre banque, nous avons détecté un paiement suspect de 780 €. Pour annuler, je vous envoie un code par SMS que vous allez me confirmer. »

Le code arrive. Il vient bien du numéro de votre banque. Faux problème : ce SMS, c'est en réalité le code de validation d'un virement que le fraudeur est en train de faire depuis votre compte. Vous confirmez vous-même l'opération qui vous vide. Aucune banque ne vous demandera jamais un code reçu par SMS au téléphone. Jamais.

« Fishing » ou « phishing » : la bonne orthographe

Les deux se prononcent pareil, un seul est correct. Fishing, avec un f, c'est la pêche au sens propre — celle du poisson. Phishing, avec ph, désigne la fraude dont on parle ici, par analogie avec la pêche à la ligne : on lance un appât et on attend la morsure. Beaucoup écrivent « fishing » dans un contexte informatique ; techniquement, c'est une faute. Vous verrez aussi le terme français officiel, hameçonnage, utilisé par les administrations. Même chose, même piège.

Que faire en cas de phishing : la procédure selon ce qui s'est passé

La réponse dépend d'un seul facteur : jusqu'où êtes-vous allé ? Voici la marche à suivre, du cas le plus bénin au plus grave.

Ce que vous avez fait	Action immédiate	Délai
Juste reçu le message, rien cliqué	Signaler et supprimer	Maintenant
Cliqué sur le lien, page ouverte, rien saisi	Fermer l'onglet, lancer une analyse antivirus	Dans l'heure
Saisi un mot de passe	Le changer partout où il était réutilisé + activer la double authentification	Dans les 10 minutes
Communiqué des données bancaires	Faire opposition sur la carte, contacter la banque	Immédiatement
Confirmé un code reçu par SMS	Appeler la banque, demander le blocage des virements	Sans attendre

Que faire en cas de phishing par SMS ?

Ne répondez pas. Ne cliquez pas. Sur la plupart des téléphones, vous pouvez signaler le message comme indésirable directement depuis la conversation — cela alimente les filtres et protège les autres. Ensuite, transférez le SMS au 33700, le dispositif national de signalement des spams par SMS. C'est gratuit et ça prend dix secondes.

Si vous avez cliqué et laissé des informations : même procédure que pour un mail. Le canal change, la conséquence non. J'insiste sur un point qu'on oublie toujours — le mot de passe saisi sur un faux site est capturé en clair. Il faut le changer avant de faire autre chose.

Signaler une tentative de phishing par SMS ou par mail

Signaler n'est pas une démarche administrative lourde. Pour les mails, la plateforme Signal Spam permet de transmettre le message suspect en un clic, et les données remontent aux opérateurs et aux autorités. Pour les SMS frauduleux, le 33700 reste la référence. Les contenus manifestement illicites peuvent aussi être remontés à la CNIL via son service de signalement en ligne.

Franchement, la majorité des gens ne signalent jamais. C'est compréhensible — on se dit que ça ne sert à rien. Mais ces signalements agrégés servent à bloquer des campagnes entières avant qu'elles ne touchent d'autres boîtes. Trente secondes de votre part, c'est potentiellement des milliers de personnes épargnées.

Comment se débarrasser d'un phishing ?

Une fois signalé, supprimez le message. Point. Ne répondez pas pour insulter l'expéditeur, ne cliquez pas « pour voir ». Chaque interaction confirme à l'attaquant que votre adresse est active — et une adresse qui répond vaut bien plus cher sur les marchés de données qu'une adresse morte.

Si le message prétendait venir d'un service que vous utilisez réellement, prévenez ce service par un canal séparé. Jamais en répondant au message suspect.

Comment savoir si on a été victime de phishing ?

Le problème, c'est que la plupart des victimes ne le découvrent pas par elles-mêmes. Elles l'apprennent par un prélèvement inattendu ou par un appel de leur banque.

Quelques signaux concrets à surveiller dans les jours qui suivent un clic douteux :

• Des mails de connexion que vous n'avez pas demandés (réinitialisation de mot de passe)
• Des notifications de connexion depuis un appareil ou une ville inconnus
• Des contacts qui reçoivent des messages étranges venant de votre adresse
• Des opérations de faible montant sur votre compte — les fraudeurs commencent souvent petit pour tester

Un détail que je trouve sous-estimé : vérifiez vos règles de transfert automatique dans votre messagerie. Les attaquants en créent discrètement une pour rediriger une copie de vos mails vers une adresse externe. Vous continuez à tout recevoir normalement, donc rien ne saute aux yeux. J'ai mis des mois à piger ce mécanisme, et je ne suis visiblement pas le seul.

Dans le doute, la mesure la plus efficace reste de changer le mot de passe concerné et d'activer la double authentification partout où c'est possible. Pas glamour. Mais c'est ce qui bloque la quasi-totalité des récidives.

La double authentification est votre meilleure assurance

Si vous ne retenez qu'une chose de cet article, retenez celle-là. Un mot de passe volé seul ne suffit plus à ouvrir un compte protégé par double authentification. Le fraudeur a la clé, mais pas la serrure temporaire.

Cela dit, méfiance : les attaques modernes contournent même cette protection en récupérant le code en temps réel, comme dans l'exemple bancaire plus haut. La double authentification n'est pas une armure absolue. C'est juste la marche la plus haute, celle qui décourage le plus grand nombre.

La vraie défense tient à un réflexe unique, que je répète à mes proches à chaque dîner de famille : ne jamais agir depuis un message. Toujours couper le fil. Fermer le mail, ouvrir l'application, vérifier par soi-même. Ce simple geste rend inopérantes la quasi-totalité des campagnes.

Je me souviens d'un message que j'ai reçu il y a deux ans et qui m'a vraiment déstabilisé : il reprenait mot pour mot le vocabulaire de ma banque, y compris le nom de ma conseillère. Ce qui m'a sauvé, ce n'est pas ma méfiance. C'est le fait que j'étais sur le point de partir et que je me suis dit « je regarderai ça ce soir ». Le soir, j'avais oublié. Le lendemain, l'arnaque était signalée dans la presse spécialisée.

Parfois, la meilleure protection contre le phishing, c'est simplement de ne pas être disponible.