Se prémunir efficacement contre le phishing : le guide utile

Le phishing, ou hameçonnage, est une escroquerie conçue pour vous faire agir à la place du fraudeur. Le message imite une banque, une administration, un transporteur, une mutuelle, un commerçant ou même un proche. Son but peut être de récupérer votre mot de passe, vos coordonnées bancaires, un code de validation, une copie de pièce d’identité ou de vous faire installer un logiciel malveillant.

Le piège ne passe plus seulement par e-mail. SMS, messages WhatsApp ou réseaux sociaux, faux appels téléphoniques, publicités sponsorisées et QR codes peuvent tous mener vers un faux site. Le point commun est toujours le même : vous pousser à agir vite, en dehors de vos habitudes.

Les formes de phishing les plus courantes

Les escrocs adaptent leur scénario à la saison et à l’actualité. Un colis « bloqué », un remboursement d’impôt, une amende à régler, un renouvellement de carte Vitale ou une alerte de compte bancaire sont des prétextes fréquents. Un message peut aussi reprendre votre prénom, votre adresse ou une commande réelle obtenue lors d’une fuite de données : cette information ne prouve pas qu’il est légitime.

Le smishing est le phishing par SMS. Il conduit souvent vers une page qui imite un suivi de colis et réclame quelques centimes de frais, puis les coordonnées de carte. Le vishing est l’arnaque par téléphone : le faux conseiller vous met sous pression et demande un code reçu par SMS ou vous pousse à installer une application de prise en main à distance.

Le phishing ciblé est plus crédible. Un faux fournisseur peut écrire à une petite entreprise, un faux recruteur demander des documents, ou un faux proche solliciter un virement. Méfiez-vous aussi du QR code collé sur un parcmètre, une borne, un menu ou un avis de passage : un code visuellement propre peut ouvrir une page frauduleuse.

Détecter les signaux d’alerte sans se fier aux apparences

Un logo net, une signature complète et un français correct ne sont plus des garanties. Les kits de fraude sont soignés et les outils de traduction ont réduit les fautes grossières. À l’inverse, un e-mail authentique peut parfois commencer par une formule générale. Regardez surtout ce que le message vous demande de faire et où il vous envoie.

Dans un e-mail, affichez l’adresse complète de l’expéditeur, pas seulement le nom visible. Une adresse du type service-client@banque-exemple-securite.com n’appartient pas à banque-exemple.fr. Attention aux lettres remplacées, aux tirets ajoutés et aux sous-domaines trompeurs : dans banque-exemple.connexion-fraude.net, le vrai domaine est connexion-fraude.net.

Avant d’ouvrir un lien sur ordinateur, survolez-le sans cliquer pour afficher son adresse. Sur téléphone, faites un appui long si le système le permet, sans l’ouvrir. Ne vous fiez pas au cadenas dans le navigateur : il indique que la connexion est chiffrée, pas que le site est honnête. Une fausse page peut aussi utiliser le protocole HTTPS.

Le bon geste : vérifier sans utiliser le message

Ne répondez pas à un e-mail douteux et n’appelez pas le numéro qu’il contient. Ne cliquez pas non plus sur « se désabonner » dans un message clairement frauduleux : cela peut confirmer que votre adresse est active. Fermez le message, puis ouvrez vous-même le site officiel, l’application habituelle ou un favori déjà enregistré.

Pour votre banque, utilisez le numéro au dos de votre carte ou celui affiché dans votre espace client. Pour un colis, consultez directement le site ou l’application du transporteur avec le numéro de suivi, si vous en avez un. Pour un organisme public, partez de son site officiel ou de votre espace personnel. Si aucune alerte ne figure dans cet espace, le message était probablement frauduleux.

Mettre en place une protection qui résiste à une erreur

Aucune vigilance n’est parfaite, surtout lorsque vous êtes pressé ou fatigué. L’objectif est donc d’empêcher qu’un seul mot de passe divulgué ouvre tous vos comptes. Commencez par votre boîte e-mail : elle permet souvent de réinitialiser les mots de passe des autres services. Protégez aussi en priorité la banque, les achats en ligne, les réseaux sociaux, les comptes administratifs et les espaces de stockage de documents.

Utilisez un mot de passe long, unique et généré pour chaque service. Un gestionnaire de mots de passe reconnu évite les réutilisations et peut refuser de préremplir vos identifiants sur un domaine qui ne correspond pas au vrai site. Ce n’est pas une protection absolue, mais c’est un filet utile.

Activez la double authentification partout où elle existe. Une application d’authentification, une clé de sécurité physique ou une passkey est généralement plus résistante au phishing qu’un code par SMS. Le SMS reste néanmoins préférable à l’absence de second facteur. Lisez précisément les notifications : refusez toute demande de connexion ou de paiement que vous n’avez pas déclenchée.

Vous avez cliqué ou transmis des informations : agir selon le cas

Cliquer sur un lien ne signifie pas automatiquement que votre appareil est infecté. Si vous avez seulement ouvert une page, fermez-la, ne téléchargez rien et ne saisissez aucune donnée. Mettez à jour votre navigateur et lancez l’analyse de sécurité intégrée à votre appareil si un fichier a été téléchargé ou si un comportement inhabituel apparaît.

Si vous avez saisi un mot de passe, changez-le immédiatement depuis le vrai site, en commençant par la boîte e-mail concernée si elle utilise le même mot de passe. Déconnectez les sessions actives et activez la double authentification. Si ce mot de passe est réutilisé ailleurs, modifiez sans attendre tous les comptes concernés : la réutilisation est ce qui transforme souvent une erreur unique en série de piratages.

Si vous avez donné des données de carte, un code de validation ou validé un paiement, contactez votre banque via son canal officiel sans attendre. Demandez la marche à suivre, surveillez les opérations et faites opposition à la carte si la banque le recommande ou si des opérations inconnues apparaissent. Ne vous fiez pas à un nouvel appel proposant de « récupérer » vos fonds : ce peut être une seconde arnaque.

Vous avez installé un logiciel à la demande d’un inconnu ? Coupez la connexion internet de l’appareil, désinstallez l’outil si vous le pouvez et contactez un professionnel de confiance ou le support de votre entreprise avant de vous reconnecter. Dans un contexte professionnel, prévenez immédiatement le service informatique, même si vous n’êtes pas certain : quelques minutes comptent.

Signaler le piège et limiter les récidives

Signaler aide à faire bloquer les campagnes et évite que vos proches tombent dans le même piège. En France, les SMS indésirables peuvent être transférés au 33700. Les e-mails et sites frauduleux peuvent être signalés via les dispositifs spécialisés, notamment Signal Spam ou Phishing Initiative. Ne transférez pas un lien piégé à vos proches « pour les prévenir » sans explication : une capture d’écran est plus sûre.

Pour une fraude avérée, conservez les preuves avant de supprimer les messages. Votre banque reste le premier interlocuteur pour une carte ou un paiement. Selon la situation, les plateformes publiques d’assistance aux victimes et de signalement, comme 17Cyber ou THESEE, peuvent orienter vos démarches. Les procédures évoluent : vérifiez toujours les conditions d’accès sur les sites officiels.

Un antivirus et les filtres de messagerie sont utiles, mais ils ne peuvent pas décider à votre place lorsqu’un site vous paraît crédible ou lorsqu’un faux conseiller vous appelle. La meilleure routine reste courte : pas de clic sous pression, connexion par vos propres moyens, et aucun code communiqué.