Hameçonnage (phishing) : le reconnaître, réagir si vous avez cliqué, le signaler

L'hameçonnage – ou phishing – consiste à vous envoyer un faux message, SMS ou appel qui se fait passer pour un tiers de confiance : banque, opérateur, administration, service de livraison. Le but : obtenir vos identifiants, vos coordonnées bancaires ou d'autres données personnelles. Selon le rapport d'activité 2025 de Cybermalveillance.gouv.fr, l'hameçonnage figure au premier rang des menaces, tous publics confondus, en hausse de 70 %, avec de multiples vagues par SMS, courriels ou même appels.

Les signes qui doivent vous alerter

• Un expéditeur dont vous n'êtes pas client, ou une adresse d'expédition fantaisiste.
• Un objet alarmiste ou aguicheur, une urgence inhabituelle, la menace de fermer votre compte si vous n'agissez pas tout de suite.
• Une absence de personnalisation (« Cher client »).
• Une demande d'informations confidentielles : mot de passe, code, numéro de carte.
• Une pression pour cliquer sur un lien ou ouvrir une pièce jointe.

Avant de cliquer, survolez le lien pour voir l'adresse réelle, ou vérifiez-la dans la barre d'adresse : un seul caractère peut changer dans l'adresse du site pour vous tromper, rappelle Cybermalveillance.gouv.fr. Et retenez qu'un conseiller bancaire ne vous demandera jamais vos codes, souligne la Banque de France.

Vous avez cliqué ou donné des informations ? Que faire

1. Si vous avez transmis vos coordonnées bancaires, faites immédiatement opposition auprès de votre banque. Le numéro interbancaire d'opposition, 0 892 705 705, est joignable 24 h/24 et 7 j/7 (appel surtaxé).
2. Contactez l'organisme dont le nom a été usurpé, par le numéro ou le site que vous connaissez.
3. Changez le mot de passe du compte concerné, et partout où vous l'utilisiez.
4. Conservez les preuves : le message, une capture d'écran du faux site, le numéro de téléphone et l'adresse du site.
5. Portez plainte au commissariat ou à la gendarmerie – contre X si vous ne connaissez pas l'auteur. Pour une arnaque sur Internet, la plainte en ligne THESEE est possible ; préparez l'IBAN qui a servi au paiement.
6. Contestez les opérations frauduleuses auprès de votre banque : elle ne peut pas exiger un dépôt de plainte avant de traiter votre demande de remboursement.

Où signaler l'hameçonnage en France

• Un mail : sur Signal Spam (inscription gratuite, puis extension ou copie du code source du message). Vous ne serez pas informé des suites données.
• Un faux site : sur Phishing Initiative, qui peut faire bloquer l'adresse.
• Un SMS : transférez-le au 33700, sans ajouter de commentaire.
• L'organisme imité : beaucoup ont une adresse dédiée – Apple par exemple reportphishing@apple.com.
• Pour être conseillé : Info Escroqueries au 0 805 805 817 (appel gratuit, du lundi au vendredi de 9 h à 18 h 30), ou le service 17Cyber du ministère de l'Intérieur, avec un diagnostic en ligne et un échange par tchat avec un policier ou un gendarme.

Un antivirus protège-t-il de l'hameçonnage ?

En partie. Les navigateurs et les suites de sécurité bloquent beaucoup de sites d'hameçonnage déjà connus, mais aucune liste ne contient les pages créées dans l'heure. Les réflexes ci-dessus restent la meilleure protection.

Le lien le plus sûr dans un message inattendu, c'est celui sur lequel vous ne cliquez pas. Allez vous-même sur le site : s'il y a vraiment un problème, il vous y attendra.