Le phishing : ce que c’est et comment reconnaître un faux message

Ce qu’est le phishing

Le mot anglais vient de fishing, la pêche, et la comparaison explique bien la méthode : l’escroc jette un appât, qui est le message, et attend que quelqu’un morde. Le nom français, hameçonnage, dit la même chose. Cybermalveillance.gouv.fr, le service public d’assistance aux victimes, le décrit comme une technique frauduleuse destinée à leurrer l’internaute pour l’inciter à communiquer des données personnelles, et les signaux qu’il liste reviennent toujours : l’urgence, une conséquence annoncée si vous n’agissez pas maintenant, et une demande qui arrive alors que vous n’avez rien demandé.

Ce que le message cherche, ce sont vos mots de passe, les codes de validation qui confirment une connexion ou un paiement, vos identifiants bancaires, votre numéro de carte, et des documents comme une copie de pièce d’identité, un justificatif de domicile ou un relevé d’identité bancaire, qui serviront plus tard dans une autre fraude. Un point de cette liste mérite qu’on s’y arrête : le code reçu par SMS vaut autant qu’un mot de passe, parce que c’est exactement ce qui permet au service de décider que la personne qui se connecte, c’est vous.

Le phishing est une forme d’ingénierie sociale, le nom donné à la conversation et à la pression qui amènent quelqu’un à agir contre son propre intérêt. Il ne dépend pas des fautes d’orthographe. Un faux message peut être bien écrit, contenir de vraies informations sur vous et venir avec une explication qui tient debout.

C’est aussi, de loin, ce qui touche le plus de monde. Dans son rapport d’activité 2025, publié le 26 mars 2026, Cybermalveillance.gouv.fr compte plus de 500 000 victimes assistées, en hausse de 20 % par rapport à 2024, et place l’hameçonnage au premier rang des menaces, tous publics confondus, en augmentation de 70 %. Pour les particuliers, il représente à lui seul environ un tiers des demandes d’assistance.

Les signaux qui doivent vous arrêter

Les fiches de Cybermalveillance.gouv.fr et les alertes des administrations pointent toujours le même petit groupe d’indices. Méfiez-vous d’un message qui :

• vous demande un mot de passe, un code de validation, vos identifiants ou votre numéro de carte ;
• annonce que votre compte ou un service va être bloqué ou résilié tout de suite ;
• propose un gain, un remboursement ou un paiement que vous n’attendiez pas ;
• vous demande de mettre à jour vos informations en urgence ;
• contient un lien raccourci, de ceux qui cachent leur destination, ou une adresse qui n’est pas celle que l’entreprise utilise d’habitude ;
• emploie un ton alarmant pour que vous répondiez vite.

Les fautes d’orthographe font aussi partie de la liste, mais un texte bien écrit ne prouve rien. Un message peut reprendre le ton et l’allure d’une vraie entreprise et rester faux, et il peut vous appeler par votre prénom simplement parce que votre prénom est facile à obtenir. Cybermalveillance.gouv.fr note d’ailleurs qu’un nombre croissant de SMS et de courriels d’hameçonnage sont personnalisés avec les informations du destinataire. Pour lire une adresse avant de l’ouvrir, voyez comment vérifier si un lien est sûr.

Les formes les plus courantes

Le courrier électronique a été le premier canal, mais la même idée se présente aujourd’hui sous plusieurs formes. Certaines ont fini par avoir leur propre nom. Plus utile que de retenir les noms : reconnaître la situation.

• Le message de masse : le même texte part vers des milliers de personnes, du genre votre compte va être bloqué ou un remboursement vous attend, en comptant sur le fait qu’une partie des destinataires a vraiment ce compte ou ce dossier en cours.
• Le message écrit pour vous : il reprend votre nom, votre métier, un achat récent ou un déplacement prévu. Les détails viennent en général d’un annuaire professionnel, d’un profil public ou d’une fuite de données.
• Par SMS ou par téléphone : un SMS frauduleux, c’est le smishing, et un appel frauduleux, c’est le vishing. Le réflexe est le même, même si chaque canal a ses histoires préférées.
• Un QR code qui mène ailleurs : collé par-dessus celui d’un horodateur, imprimé sur un prospectus ou glissé dans un message, le code ouvre une fausse page ou un paiement vers un inconnu. Lisez l’adresse qui s’affiche avant d’écrire quoi que ce soit dessus.
• Une fausse annonce sponsorisée : elle apparaît tout en haut d’un moteur de recherche ou dans un fil de réseau social, en imitant un commerçant ou une banque. Lisez l’adresse affichée par le résultat, pas le nom écrit au-dessus.
• Une page clonée : une copie du vrai site, à une adresse voisine, qui récupère tout ce que vous tapez. Voyez comment reconnaître un faux site.

La demande en dit plus que l’apparence

Un message peut porter un logo, un nom connu et même des informations vraies sur vous. Rien de tout cela ne prouve qui l’a envoyé. Regardez plutôt le moment où quelqu’un réclame un mot de passe, le code qui vient d’arriver sur votre téléphone, l’installation d’un logiciel, un paiement vers un nouveau compte, ou un accès par un lien contenu dans la conversation elle-même.

Cet exemple est inventé. Il reprend une situation qui existe vraiment, sans copier le message, la charte ni le numéro d’une entreprise réelle.

Que faire quand un message comme celui-là arrive

1. N’utilisez ni le bouton, ni le lien, ni le numéro reçus. Fermez le message sans répondre.
2. Allez vous-même sur le service. Ouvrez l’application que vous aviez déjà installée, ou tapez une adresse que vous connaissez déjà.
3. Cherchez la même situation à l’intérieur de votre compte. Regardez si l’achat, le prélèvement, la livraison ou l’alerte de connexion s’y trouvent vraiment.
4. Lisez qui va recevoir le paiement ou l’information. Si le nom ne correspond pas à ce que vous attendiez, n’allez pas plus loin.

Le raisonnement vaut pour les administrations aussi. Les faux messages qui reprennent l’identité de l’Agence nationale de traitement automatisé des infractions, du site des amendes ou des impôts font partie des prétextes les plus utilisés en 2025, selon Cybermalveillance.gouv.fr. Un dossier réel se retrouve toujours en se connectant soi-même à son espace personnel sur le site en .gouv.fr concerné, sans passer par le lien reçu.

Ensuite, signalez. Un SMS frauduleux se transfère gratuitement au 33700, la plateforme de signalement des messages et appels indésirables gérée avec les opérateurs : vous recevez un SMS automatique en retour, auquel vous répondez en indiquant le numéro de l’expéditeur. Pour un e-mail, Cybermalveillance.gouv.fr explique comment signaler un message d’hameçonnage et vers quelles plateformes se tourner selon qu’il s’agit du message ou du faux site qu’il contient. Marquez aussi le message comme indésirable dans votre application, pour que le filtre apprenne.

Si vous préférez être guidé avant de toucher à quoi que ce soit, 17Cyber, proposé par la police nationale, la gendarmerie nationale et Cybermalveillance.gouv.fr, pose quelques questions pour identifier ce qui vous arrive et indique les démarches. Info Escroqueries, au 0 805 805 817, renseigne aussi les victimes, du lundi au vendredi de 9 h à 18 h 30, appel et service gratuits.

Si vous avez déjà donné une information ou payé

Fermez la page et commencez par ce qui peut faire le plus de dégâts. La faute revient à celui qui a monté la fraude, et ce qui est utile maintenant, c’est de limiter ce qui peut encore arriver.

1. Si de l’argent est parti, appelez votre banque tout de suite. Dites que c’est une fraude, expliquez comment vous avez payé et demandez ce qui est possible pour ce moyen de paiement, parce qu’un paiement par carte, un virement que vous avez validé vous-même et un prélèvement ne sont pas dans la même situation. Le code monétaire et financier distingue l’opération que vous n’avez pas autorisée de celle que vous avez autorisée : pour une opération non autorisée, service-public.gouv.fr rappelle que la banque doit vous rembourser immédiatement, au plus tard à la fin du premier jour ouvrable suivant votre contestation, et que vous avez 13 mois pour contester. Quand c’est vous qui avez validé le virement, même trompé, la banque du bénéficiaire ne peut pas reprendre l’argent sans l’accord de celui qui l’a reçu. C’est pour cela que la rapidité compte plus que tout aujourd’hui.
2. Si vous avez donné des données de carte, faites opposition maintenant. Par l’application de votre banque, par le numéro imprimé au dos de la carte, ou par le serveur interbancaire d’opposition au 0 892 705 705, joignable 24 heures sur 24. Conservez le numéro d’enregistrement qui vous est donné. Ensuite, si votre carte est toujours en votre possession et que l’opposition est faite, vous pouvez signaler les achats frauduleux sur Perceval, le téléservice du ministère de l’Intérieur. Ce n’est pas une plainte : c’est un signalement qui vous renvoie un récépissé, utile pour vos démarches auprès de la banque.
3. Changez le mot de passe que vous avez tapé. Faites-le dans l’application ou sur le site officiel, et changez-le partout où vous utilisiez le même. Activez la double authentification, qui demande une confirmation en plus du mot de passe et bloque une connexion faite à votre insu.
4. Si vous avez communiqué un code, reprenez le compte par le chemin officiel. Cherchez dans les réglages la liste des appareils connectés ou des sessions ouvertes, fermez celles que vous ne reconnaissez pas, et prévenez l’entreprise par un canal que vous utilisiez déjà.
5. Si vous avez installé un logiciel parce qu’on vous l’a demandé, il s’agit souvent d’un outil de prise en main à distance, de ceux qui permettent à quelqu’un de voir et de piloter votre écran. Déconnectez cet appareil d’internet et servez-vous d’un autre pour appeler la banque et changer vos mots de passe.
6. Portez plainte et gardez les preuves. La plainte se dépose dans n’importe quel commissariat ou brigade de gendarmerie, et une partie des escroqueries en ligne peut se déposer directement sur THESEE, le service de plainte en ligne du ministère de l’Intérieur, réservé aux particuliers majeurs. Si un site marchand est en cause, signalez-le aussi sur SignalConso, le service de la répression des fraudes. France Victimes, au 116 006, accompagne gratuitement les victimes. En cas de danger immédiat, ce sont le 17 et le 112. Gardez le message, l’adresse de la page, les justificatifs et tous les numéros de dossier.

Rien de tout cela ne dit quoi que ce soit sur la personne qui a répondu. Ces messages sont écrits pour ressembler à ceux que vous recevez déjà, et ils arrivent un soir comme un autre, au milieu du reste. Qu’un seul passe n’est pas une inattention. C’est exactement ce pour quoi il a été fabriqué.

Questions fréquentes sur le phishing