Qu'est-ce que le phishing (hameçonnage) ? Définition

Le phishing, ou hameçonnage, est une technique d'escroquerie qui consiste à se faire passer pour un organisme de confiance afin de pousser une personne à livrer ses identifiants, ses coordonnées bancaires ou d'autres informations personnelles. Faux courriel de l'Assurance maladie, SMS annonçant un colis bloqué, appel d'un prétendu conseiller bancaire qui signale une opération suspecte : les formes changent, le ressort reste le même. Chacun reçoit désormais régulièrement ce type de messages, et les fraudeurs soignent de plus en plus leurs imitations, au point que même des internautes avertis s'y laissent prendre. Comprendre le fonctionnement du phishing, connaître ses principales variantes et savoir réagir rapidement si l'on a cliqué permet pourtant de limiter fortement les dégâts. Cet article fait le point, en s'appuyant sur les recommandations des services publics français comme Cybermalveillance.gouv.fr et le ministère de l'Économie.

Le phishing, définition de l'hameçonnage

Le phishing désigne toute tentative de tromperie dans laquelle un fraudeur imite l'identité d'un tiers connu, comme une banque, une administration, un opérateur téléphonique, un réseau social ou un site de vente en ligne, pour obtenir de sa victime une information ou une action. Parmi les risques de technologie et numérique auxquels le grand public est exposé, c'est l'un des plus répandus, car il ne nécessite aucune compétence technique avancée de la part de l'escroc : il lui suffit d'un message convaincant et d'une fausse page web. Le message invite généralement à cliquer sur un lien, à ouvrir une pièce jointe, à rappeler un numéro ou à répondre en communiquant des données. La victime pense agir auprès d'un interlocuteur légitime, alors qu'elle remet directement ses informations aux fraudeurs. En droit français, ces agissements peuvent relever de plusieurs infractions, dont l'escroquerie, punie de cinq ans d'emprisonnement et de 375 000 € d'amende (article 313-1 du Code pénal).

Origine du mot et principe

Le terme phishing est un jeu de mots anglais formé sur fishing, la pêche : le fraudeur lance un appât en espérant qu'un poisson morde. Le « ph » initial est généralement rattaché à la culture des pirates informatiques des années 1990, qui l'utilisaient dans plusieurs termes de leur jargon. Les premières campagnes connues visaient les abonnés de grands fournisseurs d'accès américains, à qui l'on demandait de « confirmer » leur mot de passe. Le français officiel recommande le mot hameçonnage, et le Québec emploie aussi « filoutage ». Le principe n'a guère changé depuis : un message de masse, envoyé à des milliers de destinataires, dont une petite fraction suffit à rendre l'opération rentable. Ce qui a changé, c'est la qualité des imitations. Logos copiés à l'identique, adresses web très proches des vraies, textes sans faute générés automatiquement : les signaux d'alerte d'autrefois, comme les fautes d'orthographe grossières, ne suffisent plus à repérer une tentative.

Ce que cherchent les fraudeurs

L'objectif le plus fréquent est d'obtenir des identifiants de connexion : adresse électronique et mot de passe d'une messagerie, d'un compte bancaire en ligne, d'un réseau social ou d'un espace administratif. Une messagerie piratée ouvre la porte à tous les autres comptes, puisqu'elle permet de réinitialiser leurs mots de passe. Le second objectif est financier : numéro de carte bancaire, date d'expiration, cryptogramme, mais aussi codes de validation reçus par SMS ou dans l'application bancaire, qui permettent aux escrocs de valider eux-mêmes des paiements ou d'ajouter un bénéficiaire de virement. Les fraudeurs recherchent également des données personnelles, comme une copie de pièce d'identité, un numéro de sécurité sociale ou un justificatif de domicile, qui servent ensuite à des usurpations d'identité : ouverture de crédits, de lignes téléphoniques ou de comptes au nom de la victime. Enfin, certains messages ne demandent aucune donnée, mais incitent à télécharger une pièce jointe piégée qui installe un logiciel malveillant sur l'appareil.

Pourquoi ça marche

Le phishing repose avant tout sur l'ingénierie sociale, c'est-à-dire l'exploitation de réactions humaines prévisibles plutôt que de failles techniques. Les messages jouent sur quelques leviers récurrents. L'urgence d'abord : votre compte sera suspendu dans 24 heures, votre colis sera renvoyé ce soir, une amende va être majorée. La peur ensuite : une opération suspecte vient d'être détectée, une plainte a été déposée contre vous. L'autorité aussi, avec l'usage du nom d'une administration, d'une banque ou de la police. Et enfin l'appât du gain : remboursement en attente, cadeau, gain à un jeu. Ces leviers visent à court-circuiter la réflexion pour obtenir une réaction immédiate. Les fraudeurs choisissent aussi leur moment : périodes de déclaration d'impôts, soldes, fêtes de fin d'année, grands événements sportifs. Personne n'est à l'abri, et tomber dans le piège n'a rien de honteux : c'est précisément parce que les messages sont bien conçus qu'il faut connaître leurs ficelles.

Les variantes du phishing

Le phishing ne se limite plus au courriel. Les fraudeurs utilisent tous les canaux de communication du quotidien et adaptent leurs scénarios à chacun d'eux. Certaines variantes visent le plus grand nombre avec des messages génériques, d'autres ciblent une personne ou une entreprise précise après avoir collecté des informations sur elle. Le tableau ci-dessous présente les formes les plus courantes, avec le canal utilisé et le mode opératoire typique. Les noms anglais sont largement employés, y compris par les services publics français, mais les mécanismes sont identiques : usurper une identité de confiance pour obtenir une information ou une action.

Le smishing : colis, amendes et remboursements

Le smishing, contraction de SMS et de phishing, s'est imposé ces dernières années. Le téléphone est toujours à portée de main, on y lit les messages rapidement et l'adresse du lien, raccourcie, est difficile à vérifier sur un petit écran. Les scénarios sont bien rodés : un colis en attente pour lequel des frais de livraison minimes sont réclamés, une amende de stationnement ou d'excès de vitesse à régler sous peine de majoration, un compte personnel de formation sur le point d'expirer, une carte Vitale à renouveler, un remboursement d'impôt à percevoir. Le montant demandé est volontairement faible, pour ne pas éveiller la méfiance, mais l'objectif est de récupérer les coordonnées bancaires complètes. Les mêmes scénarios circulent sur les messageries instantanées, parfois depuis le compte piraté d'un proche qui prétend avoir changé de numéro et avoir besoin d'argent d'urgence. Dans tous les cas, l'administration ne réclame jamais le paiement d'une amende par un simple lien envoyé par SMS.

Le spear phishing et la fraude au président

Le spear phishing, ou hameçonnage ciblé, vise une personne ou une organisation précise. Le fraudeur collecte au préalable des informations sur sa cible, par exemple sur les réseaux sociaux professionnels, le site de l'entreprise ou des fuites de données, puis rédige un message crédible : il cite le nom d'un collègue, un projet en cours, un fournisseur réel. Le destinataire est alors beaucoup plus enclin à ouvrir la pièce jointe ou à saisir ses identifiants. Une variante redoutable en entreprise est la fraude au président : un comptable reçoit un message ou un appel d'un faux dirigeant, qui demande un virement urgent et confidentiel vers un compte étranger, en invoquant une opération stratégique. Une autre consiste à usurper l'identité d'un fournisseur pour signaler un « changement de coordonnées bancaires ». La parade passe par des procédures internes claires : double validation des virements, contre-appel systématique sur un numéro connu, refus de toute exception imposée au nom de l'urgence ou du secret.

Le vishing et le faux conseiller bancaire

Le vishing, pour voice phishing, se déroule par téléphone. Le scénario le plus fréquent en France est celui du faux conseiller bancaire. L'escroc appelle en affichant parfois le numéro réel de l'agence, grâce à une technique d'usurpation de numéro, et signale des opérations suspectes sur le compte. Pour « les annuler » ou « sécuriser » le compte, il demande à la victime de communiquer ou de valider des codes reçus par SMS, de confirmer une opération dans l'application bancaire, voire de remettre sa carte à un coursier. En réalité, chaque validation autorise un paiement ou un virement au profit des fraudeurs. L'appel est souvent précédé d'un SMS de phishing qui leur a fourni les premières informations, ce qui rend la conversation très crédible. La règle à retenir est simple : une banque ne demande jamais par téléphone de valider une opération, de communiquer un code ou de remettre sa carte. Au moindre doute, il faut raccrocher et rappeler soi-même le numéro habituel de son agence.

Reconnaître un message de phishing

Savoir repérer une tentative d'hameçonnage est la première ligne de défense. Aucun indice n'est suffisant à lui seul, mais plusieurs signaux combinés doivent alerter. Ces réflexes de vigilance font partie d'une démarche plus large de protection des données et des systèmes : notre article sur la cybersécurité présente les grands principes, les menaces courantes et les protections qui s'appliquent aussi bien aux particuliers qu'aux organisations. Pour le phishing, le schéma ci-dessous rassemble les six signaux les plus fréquents, à garder en tête avant chaque clic sur un lien reçu par courriel ou par SMS.

Vérifier l'expéditeur et les liens

Le premier réflexe consiste à examiner l'adresse réelle de l'expéditeur, et non le nom affiché, qui peut être choisi librement. Une adresse se terminant par un nom de domaine sans rapport avec l'organisme, ou comportant des caractères ajoutés, doit alerter. Pour les liens, sur ordinateur, il suffit de survoler le lien avec la souris, sans cliquer, pour voir s'afficher l'adresse de destination ; sur téléphone, un appui long permet souvent de la prévisualiser. Il faut lire attentivement le nom de domaine, c'est-à-dire la partie située juste avant le premier « / » : les fraudeurs utilisent des adresses qui ressemblent à la vraie, avec une lettre inversée, un tiret ou un sous-domaine trompeur placé en début d'adresse. La présence d'un cadenas et du préfixe « https » indique seulement que la connexion est chiffrée, pas que le site est légitime : de nombreux sites frauduleux en sont équipés. Le plus sûr reste de ne jamais cliquer et de saisir soi-même l'adresse officielle du service dans le navigateur.

Les signaux d'alerte dans le contenu

Le contenu du message fournit d'autres indices. Une formule d'appel impersonnelle, comme « Cher client », alors que l'organisme connaît votre nom, est suspecte, même si les fraudeurs personnalisent de plus en plus leurs messages. Une demande d'informations confidentielles, comme un mot de passe, un code reçu par SMS ou un numéro de carte complet, est un signal majeur : aucune entreprise ni administration ne les demande par courriel, SMS ou téléphone. Les menaces et les délais très courts doivent aussi faire réfléchir, tout comme les promesses de gains, de remboursements ou de cadeaux inattendus. Un ton inhabituel, des fautes, une mise en page approximative ou au contraire une copie parfaite d'un message officiel reçu par un canal inhabituel sont d'autres indices. Enfin, une pièce jointe que l'on n'attendait pas, notamment un fichier compressé, un document bureautique demandant d'activer des macros ou un fichier exécutable, ne doit jamais être ouverte sans vérification préalable auprès de l'expéditeur supposé.

Les bons réflexes de prévention

Plusieurs mesures simples réduisent nettement le risque. Activer la double authentification sur ses comptes importants, en particulier la messagerie, la banque et les réseaux sociaux, empêche un fraudeur d'utiliser un mot de passe volé sans le second facteur. Utiliser un mot de passe différent pour chaque service, idéalement grâce à un gestionnaire de mots de passe, évite qu'un seul vol compromette tous les comptes ; ces gestionnaires ont un autre avantage, puisqu'ils ne remplissent pas automatiquement les identifiants sur un faux site dont l'adresse diffère. Tenir à jour son système, son navigateur et son antivirus, et activer les filtres anti-hameçonnage proposés par les navigateurs et les messageries, bloque une partie des sites frauduleux connus. Enfin, prendre l'habitude de passer systématiquement par l'application officielle ou le site saisi manuellement, plutôt que par un lien reçu, désamorce la plupart des tentatives. Il est utile de partager ces réflexes avec ses proches, en particulier les personnes âgées ou peu familières du numérique, souvent ciblées.

Que faire si l'on a cliqué sur un lien de phishing

Avoir cliqué sur un lien frauduleux n'est pas toujours grave : tout dépend de ce qui a été fait ensuite. Si la page a simplement été ouverte puis refermée, sans saisie d'information ni téléchargement, le risque est généralement limité, même s'il est prudent de vérifier que l'appareil est à jour. Si des identifiants, des coordonnées bancaires ou des codes ont été communiqués, ou si un fichier a été ouvert, il faut agir vite, car les fraudeurs exploitent les informations dans les minutes ou les heures qui suivent. Les étapes ci-dessous suivent les recommandations de Cybermalveillance.gouv.fr, la plateforme publique d'assistance aux victimes, accessible notamment via le service 17Cyber. Elles s'organisent en trois temps : bloquer, signaler, puis porter plainte et demander le remboursement des sommes éventuellement détournées.

Les premières minutes : bloquer et sécuriser

Si des coordonnées bancaires ont été communiquées ou si des opérations suspectes apparaissent, il faut faire opposition immédiatement auprès de sa banque, par l'application, l'agence ou le numéro d'opposition, disponible jour et nuit. Il est aussi utile de prévenir son conseiller pour signaler une éventuelle fraude au virement. Si un mot de passe a été saisi sur une fausse page, il faut le changer sans attendre sur le site officiel, ainsi que sur tous les autres services où le même mot de passe était utilisé, puis activer la double authentification et déconnecter les sessions ouvertes sur des appareils inconnus. Si une pièce jointe a été ouverte ou un logiciel installé, mieux vaut déconnecter l'appareil d'internet, lancer une analyse complète avec un antivirus à jour et, en cas de doute, se faire aider par un professionnel référencé. Il faut enfin conserver toutes les preuves : le message reçu, l'adresse du site, les captures d'écran, les relevés d'opérations. Elles seront indispensables pour les démarches suivantes.

Signaler la tentative

Signaler un message de phishing aide les autorités et les opérateurs à bloquer les campagnes en cours, même si l'on n'a pas été victime. Pour un SMS ou un message vocal suspect, il suffit de le transférer gratuitement au numéro 33700, le service de signalement des opérateurs, ou de le déclarer sur le site 33700.fr. Pour un courriel, la plateforme Signal Spam permet de signaler le message, et le site Phishing Initiative permet de signaler l'adresse d'une page frauduleuse afin qu'elle soit bloquée par les navigateurs. Lorsque la carte bancaire a été utilisée frauduleusement alors qu'elle est toujours en votre possession, la plateforme Perceval, accessible depuis service-public.fr, permet de signaler la fraude aux forces de l'ordre et de faciliter le remboursement. La plateforme Cybermalveillance.gouv.fr et le service 17Cyber proposent un diagnostic en ligne et une mise en relation avec des professionnels si nécessaire. Le service Info Escroqueries, au 0 805 805 817, numéro gratuit, oriente aussi les victimes.

Porter plainte et demander le remboursement

En cas de préjudice, il est recommandé de déposer plainte au commissariat ou à la gendarmerie, ou par écrit auprès du procureur de la République, en apportant toutes les preuves conservées ; certaines escroqueries en ligne peuvent aussi faire l'objet d'une plainte en ligne. Côté bancaire, le Code monétaire et financier protège l'utilisateur : en cas d'opération de paiement non autorisée, la banque doit en principe la rembourser immédiatement après signalement, au plus tard à la fin du premier jour ouvrable suivant (article L133-18 du Code monétaire et financier). Le délai pour contester une opération non autorisée est de treize mois à compter du débit (article L133-24). La banque peut toutefois refuser le remboursement si elle prouve une négligence grave de son client, par exemple la communication volontaire de codes de validation à un tiers ; c'est à elle d'apporter cette preuve (article L133-23). En cas de refus contesté, le médiateur de la banque puis, le cas échéant, le juge peuvent être saisis, éventuellement avec l'aide d'une association de consommateurs.

Articles similaires

Qu'est-ce que la numérisation du patrimoine culturel ? Définition

Scanner archives, oeuvres et monuments répond à un double objectif : conserver des originaux fragiles et rendre les coll…

Qu'est-ce que le responsive web design ? Définition

Un même site lisible sur mobile, tablette et ordinateur suppose des choix précis de structure et de code. Voici la démar…

Qu'est-ce qu'un logiciel de traduction automatique ? Définition

Traduction statistique et traduction neuronale ne donnent pas les mêmes résultats : leurs différences, leurs usages cour…