Phishing (hameçonnage)

Le phishing (mot-valise anglais formé sur fishing, « pêche ») est la cybermenace la plus répandue auprès des particuliers comme des entreprises. Le terme français officiel est hameçonnage. L’escroc ne pirate pas votre ordinateur : il vous trompe pour que vous lui remettiez vous-même vos informations. On parle d'ingénierie sociale.

Les principales formes

Les outils d’IA générative permettent désormais des messages sans fautes, bien imités, et même des voix clonées : l’absence de fautes n’est plus un indice de fiabilité.

Comment reconnaître une tentative de phishing

Les signaux d’alerte

1. L’urgence ou la menace : « sous 24 heures », « dernier avis », « votre compte sera bloqué ».
2. Une demande inhabituelle : identifiants, code reçu par SMS, numéro de carte, validation d’une opération dans l’application bancaire.
3. Un expéditeur suspect : le nom affiché est rassurant, mais l’adresse réelle ne correspond pas (service-client@banque-securite-verif.com).
4. Un lien trompeur : en survolant le lien (sans cliquer), l’adresse affichée n’est pas celle du site officiel, ou elle l’imite (amazon-livraison-fr.com, impots.gouv.fr.verification.info).
5. Une offre trop belle : gain, remboursement, cadeau.
6. Un ton impersonnel (« Cher client ») de la part d’un organisme qui connaît votre nom.
7. Une pièce jointe inattendue, surtout un fichier compressé, un document demandant d’activer des macros ou un fichier exécutable.

Lire une adresse web

Le vrai nom de domaine est ce qui se trouve juste avant la première barre oblique, à gauche de l’extension (.fr, .com) : dans https://www.impots.gouv.fr/accueil, c’est impots.gouv.fr. Dans https://impots.gouv.fr.remboursement-info.com, c’est remboursement-info.com : un faux site. Le cadenas (HTTPS) prouve seulement que la connexion est chiffrée, pas que le site est honnête (voir fonctionnement d’internet).

Les bons réflexes

• Ne pas cliquer sur un lien reçu par message non sollicité : aller sur le site officiel en tapant soi-même l’adresse ou via l’application.
• Raccrocher et rappeler sa banque au numéro habituel en cas d’appel suspect.
• Ne jamais communiquer de code reçu par SMS à un tiers.
• Activer la double authentification et, quand c’est possible, les clés d’accès (passkeys), qui résistent au phishing (voir mots de passe sécurisés).
• Tenir à jour système, navigateur et logiciels.
• Prendre le temps : l’urgence est l’arme de l’escroc, qui joue sur nos biais cognitifs (autorité, peur, rareté).

Que faire si l’on s’est fait piéger ?

1. Coordonnées bancaires communiquées : faire opposition immédiatement auprès de sa banque (application, numéro d’opposition figurant au dos de la carte ou sur le site de la banque) ; contester les opérations frauduleuses.
2. Identifiants saisis : changer immédiatement le mot de passe du compte concerné et de tous les comptes qui utilisaient le même ; vérifier les options de récupération et les appareils connectés.
3. Pièce jointe ouverte ou logiciel installé : déconnecter l’appareil d’internet, lancer une analyse antivirus, demander de l’aide à un professionnel si besoin ; en entreprise, prévenir immédiatement le service informatique.
4. Garder les preuves : captures d’écran, messages, numéros.
5. Porter plainte au commissariat, à la gendarmerie ou en ligne lorsque c’est possible ; pour une fraude à la carte bancaire, la plateforme Perceval (service-public.fr) permet de signaler les achats frauduleux.

Où signaler en France

Au Québec et au Canada, les fraudes se signalent au Centre antifraude du Canada et à la police locale.

En entreprise

Le phishing est la porte d’entrée la plus courante des rançongiciels. Les mesures clés : sensibilisation régulière des salariés (avec exercices de faux phishing), double authentification, filtrage des messages, procédure de double validation pour tout changement de RIB fournisseur ou virement inhabituel, sauvegardes hors ligne. Une fuite de données personnelles doit être notifiée à la CNIL sous 72 heures si elle présente un risque (voir RGPD).

Questions fréquentes

Est-ce dangereux d’ouvrir un courriel de phishing ?

Ouvrir le message est en général sans risque ; le danger vient du clic sur un lien, de l’ouverture d’une pièce jointe ou de la réponse. Ne répondez pas : cela confirme que votre adresse est active.

J’ai cliqué sur le lien mais je n’ai rien saisi : que faire ?

Le risque est faible si rien n’a été saisi ni téléchargé. Fermez la page, vérifiez que votre navigateur et votre système sont à jour, et soyez attentif aux messages suivants. En cas de téléchargement, lancez une analyse antivirus.

Comment l’escroc connaît-il mon nom et ma banque ?

Souvent grâce à des fuites de données d’entreprises, revendues ou publiées, ou à des informations publiques (réseaux sociaux). Cela rend les messages crédibles, mais ne prouve pas leur authenticité.

La banque rembourse-t-elle en cas de phishing ?

Le droit impose en principe le remboursement des opérations non autorisées, sauf « négligence grave » de la victime, notion appréciée au cas par cas par les banques et les tribunaux. Il faut signaler l’opération à la banque sans tarder (au plus tard dans les 13 mois suivant le débit).