Aller au contenu

Phishing (hameçonnage)

En clair

Un email qui a l'air de venir de votre banque, des impôts ou d'un service que vous utilisez vous demande de vous connecter. Le lien mène à une copie du site, et ce que vous y tapez part chez l'escroc.

Ce que cherche l'attaquant : voler des identifiants.

Définition

L'hameçonnage est un message frauduleux qui imite un expéditeur légitime — banque, administration, service en ligne, employeur — pour obtenir des identifiants, des données bancaires, ou faire ouvrir une pièce jointe malveillante. L'email en est le canal le plus courant ; le SMS, l'appel téléphonique et le QR code en sont des variantes traitées séparément.

À ne pas confondre avec

Phishing (hameçonnage)Smishing (hameçonnage par SMS)
Le principe : un message qui imite un expéditeur légitime pour obtenir vos identifiants ou vos données bancaires, le plus souvent par email.La même méthode par SMS, sur un écran où l'adresse du lien s'affiche souvent tronquée.

Ce qui les distingue : Le smishing n'est pas une autre arnaque : c'est l'hameçonnage par SMS. Ce qui change, c'est ce que vous pouvez vérifier sur un téléphone.

Phishing (hameçonnage)Vishing (hameçonnage par téléphone)
Le principe, le plus souvent par écrit : un message, un lien, une page à inspecter.La même méthode à l'oral : rien n'est écrit, rien ne peut être relu, et l'interlocuteur impose son rythme.

Ce qui les distingue : Un appel n'a pas de lien à inspecter : la seule vérification possible est de raccrocher et de rappeler l'organisme par un numéro que vous connaissez déjà.

Phishing (hameçonnage)Quishing (QR code frauduleux)
Le principe, dans un message reçu : l'adresse du lien peut être lue avant d'être ouverte.La même méthode par QR code, souvent hors de l'écran : affiche, horodateur, courrier. Le code masque l'adresse.

Ce qui les distingue : Avec un QR code, l'adresse ne se lit qu'une fois le code scanné : c'est à ce moment qu'il faut la vérifier, avant d'ouvrir la page.

Toutes les attaques qu'on confond, côte à côte : le comparateur « X ou Y ? »

Comment ça fonctionne

Le mécanisme est le même quel que soit le canal : imiter un expéditeur de confiance, fabriquer une raison d'agir vite, et fournir un chemin — un lien, un numéro, une pièce jointe — qui court-circuite la vérification. Par email, la forme la plus répandue, cela donne ceci. L'attaquant envoie un message reprenant l'identité visuelle d'un organisme connu : logo, mise en page, ton habituel. Le message annonce un problème à régler rapidement (compte suspendu, facture impayée, colis bloqué) et propose un lien. Ce lien mène à une page de connexion imitant le site officiel. Tout ce qui y est saisi part directement chez l'attaquant, qui s'en sert immédiatement pour se connecter au vrai service.

Pourquoi ça marche

Il ne parie pas sur votre naïveté mais sur votre routine : vous recevez chaque semaine de vrais emails de vos services, et celui-ci a la même forme. L'urgence fait le reste, en remplaçant la question « est-ce bien eux ? » par « comment régler ça vite ? ».

Sur quoi cette attaque s'appuie

L'urgenceL'autoritéLa peur

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

  • Adresse d'expéditeur qui ne correspond pas au domaine officiel de l'organisme
  • Demande de « confirmer » ou « vérifier » des identifiants via un lien
  • Urgence ou menace de conséquence immédiate (suspension, pénalité)
  • Formulation impersonnelle (« Cher client ») alors que l'organisme connaît votre nom
  • Pièce jointe inattendue, en particulier un fichier à activer ou à autoriser

Exemple

Exemple fictif — aucune organisation ni adresse réelle

Email reçu un lundi matin, en apparence de votre fournisseur d'énergie.

Objet : Votre espace client sera désactivé Bonjour, Nous n'avons pas pu confirmer vos coordonnées. Sans action de votre part sous 24 heures, votre espace client sera désactivé. Confirmer mes informations : https://espace-client.energie-verif.example-not-real.test Le service clients

Ce qui le trahit

  • Le lien mène à un domaine qui n'est pas celui de votre fournisseur.
  • Un délai de 24 heures, sans motif précis.
  • « Bonjour » sans votre nom, alors que le fournisseur le connaît.
D'autres exemples fictifs, canal « Email »

Comment vérifier

N'utilisez pas le lien du message. Ouvrez votre navigateur et rejoignez le service par un chemin que vous maîtrisez : un favori enregistré, l'application officielle, ou l'adresse saisie à la main. Si le message était authentique, l'information s'y retrouvera.

Les questions à se poser, dans l'ordre

  1. Le message vous demande-t-il d'agir depuis un lien ou une pièce jointe qu'il fournit ?

    Si oui : N'utilisez ni l'un ni l'autre : ouvrez le service par votre favori ou son application.

  2. Une fois connecté par vos propres moyens, l'alerte annoncée est-elle absente ?

    Si oui : Le message est faux : signalez-le comme hameçonnage dans votre messagerie, puis supprimez-le.

  3. Avez-vous déjà cliqué et saisi un mot de passe ?

    Si oui : Changez ce mot de passe depuis le vrai service et fermez les sessions ouvertes, sans attendre.

Que faire

Ne cliquez pas, ne répondez pas, ne téléchargez pas la pièce jointe. Signalez le message comme hameçonnage dans votre messagerie, puis supprimez-le.

Si c'est déjà arrivé

Changez immédiatement le mot de passe du compte concerné, puis celui de tout autre compte réutilisant le même mot de passe. Activez la double authentification. Si des données bancaires ont été saisies, contactez votre banque sans attendre. Signalez les faits sur cybermalveillance.gouv.fr.

Pour que ça ne se reproduise pas

  • Enregistrez un favori pour chaque service sensible et n'utilisez que lui pour vous connecter.
  • Utilisez un gestionnaire de mots de passe : il ne propose rien sur un faux domaine.
  • Activez la double authentification sur votre messagerie et votre banque.

Ce qui arrive aussi par email

Les autres fiches dont le scénario passe par email. Quand la simulation d'une fiche se joue sur ce canal, c'est son message qui est résumé, et vous pouvez vous y entraîner.

Les gestes qui déjouent cette attaque

Testez-vous

Un email soigné vous demande de « revalider » votre accès avant la fermeture de votre compte.

Lancer la simulation « Phishing (hameçonnage) »

Questions fréquentes

Comment distinguer un vrai email de ma banque d'un faux ?
Une banque ne demande jamais vos identifiants complets, votre code secret ou un code reçu par SMS, quel que soit le canal. En cas de doute, n'utilisez pas le lien : passez par l'application officielle ou le numéro figurant au dos de votre carte.
Est-ce dangereux d'avoir simplement ouvert l'email ?
Ouvrir un email est rarement suffisant pour compromettre un appareil. Le risque vient de ce que l'on fait ensuite : cliquer sur le lien, saisir des informations, ou ouvrir une pièce jointe.
J'ai cliqué sur le lien mais rien saisi, que faire ?
Le risque principal reste limité si aucune information n'a été saisie et aucun fichier téléchargé. Par précaution, vérifiez l'activité récente du compte concerné et changez son mot de passe.

Attaques liées

Sources officielles

Aussi appelée : hameçonnage, hameçonnage par email, phishing par email, hameçonnage par courriel.

Cette fiche fait partie de la famille Ingénierie sociale. Mise à jour : 2026-08-31.