Le hameçonnage reste la porte d’entrée principale des fraudes en ligne. La raison est simple : il ne s’attaque pas à la technique mais au comportement. Et depuis que les outils de rédaction automatique se sont banalisés, le vieux critère des fautes d’orthographe ne vaut plus grand-chose.
Le mécanisme, toujours le même
Un message se fait passer pour une organisation en laquelle vous avez confiance. Il crée une raison d’agir vite, et vous dirige vers une page qui imite le site officiel pour capturer ce que vous y saisissez : identifiants, coordonnées bancaires, code de validation.
Trois ingrédients reviennent systématiquement : une autorité crédible, une urgence artificielle, une action unique à réaliser.
Les signaux qui comptent vraiment
- L’urgence. Suspension imminente, dernier avertissement, délai de vingt-quatre heures. Une organisation sérieuse ne fonctionne pas ainsi.
- Une demande d’informations qu’elle possède déjà. Votre banque connaît votre numéro de compte ; elle ne vous le demandera pas par mail.
- Un lien dont la destination ne correspond pas au texte. Survolez sans cliquer et lisez l’adresse réelle.
- Un domaine presque juste. Un tiret ajouté, une lettre remplacée, un sous-domaine trompeur.
- Une pièce jointe inattendue, en particulier une archive ou un document demandant d’activer les macros.
- Un mode de contact inhabituel pour l’organisation concernée.
Lire une adresse de lien correctement
La partie qui compte se situe juste avant la première barre oblique. Dans une adresse construite pour tromper, le nom de la marque apparaît souvent au début ou au milieu, mais le véritable domaine est ailleurs.
Le cadenas et le protocole sécurisé ne prouvent rien : un site frauduleux peut parfaitement disposer d’un certificat valide. Il indique que la connexion est chiffrée, pas que l’interlocuteur est honnête.
Les scénarios les plus fréquents en France
| Prétexte | Ce qui est demandé | Signal d’alerte |
|---|---|---|
| Colis en attente de livraison | Petits frais de dédouanement | Numéro de suivi que vous n’avez jamais commandé |
| Remboursement d’impôts | Coordonnées bancaires | L’administration ne demande jamais de RIB par mail pour un remboursement |
| Amende à régler immédiatement | Paiement en ligne | Lien vers un domaine non officiel |
| Compte de santé ou de formation | Identifiants de connexion | Demande de mot de passe complet |
| Faux conseiller bancaire au téléphone | Code de validation reçu par SMS | Aucun conseiller ne demande ce code |
L’arnaque au faux conseiller, la plus coûteuse
Elle combine plusieurs canaux. Un premier message vous alerte d’une opération suspecte. Un appel suit, avec un numéro affiché ressemblant à celui de votre banque — l’affichage est falsifiable. L’interlocuteur connaît vos dernières opérations, données récupérées lors d’un hameçonnage précédent.
Il vous demande ensuite de valider une opération dans votre application ou de communiquer un code, prétendument pour annuler la fraude. En réalité, vous autorisez le virement.
La règle est absolue : on ne valide jamais une opération que l’on n’a pas soi-même initiée, et on ne communique jamais un code. Raccrochez, et rappelez par le numéro figurant au dos de votre carte.
Si vous avez cliqué ou saisi vos données
- Ne paniquez pas, mais agissez dans l’heure. Le facteur temps est déterminant.
- Changez immédiatement le mot de passe concerné, ainsi que celui de tout compte réutilisant le même.
- Contactez votre banque si des données bancaires ont été communiquées, et demandez l’opposition ou le blocage.
- Activez la double authentification sur les comptes touchés.
- Vérifiez les paramètres de votre messagerie : les attaquants créent souvent une règle de transfert automatique pour continuer à lire vos messages.
- Déposez plainte et conservez toutes les preuves : messages, captures, relevés.
- Signalez le message frauduleux aux dispositifs officiels.
Signaler, gratuitement
En France, plusieurs canaux existent : un service de signalement des contenus illicites en ligne, un numéro dédié aux SMS frauduleux, et une plateforme d’assistance aux victimes d’actes de cybermalveillance qui oriente vers des prestataires de proximité.
Le signalement ne remplace pas la plainte, mais il alimente la détection et le blocage des campagnes.
Les habitudes qui protègent durablement
- Ne jamais accéder à un service sensible par un lien reçu : tapez l’adresse ou utilisez votre favori.
- Un mot de passe unique par service, avec un gestionnaire de mots de passe.
- La double authentification partout où elle est proposée.
- Des mises à jour appliquées rapidement.
- Un doute ? Contactez l’organisation par un canal que vous avez trouvé vous-même.
À retenir
- L’urgence est le signal d’alerte le plus fiable.
- L’orthographe n’est plus un critère de détection.
- Le cadenas ne garantit pas la légitimité du site.
- Un code de validation ne se communique jamais.
- Après un clic : mot de passe, banque, règles de transfert, plainte.
Sur le même sujet
- La double authentification : pourquoi elle change tout et comment l’activer
- VPN : à quoi ça sert vraiment, et à quoi ça ne sert pas
- Porter plainte : les trois voies possibles et laquelle choisir
Conseils et signalement sur Cybermalveillance.gouv.fr et la plateforme officielle de signalement.
