Emails des Impôts, SMS Ameli, faux Chronopost — les arnaques par hameçonnage se perfectionnent. Guide complet avec exemples réels pour ne plus jamais cliquer.
Le phishing — ou hameçonnage en français — est la cyberarnaque la plus répandue en France. En 2026, il représente 38 % des signalements reçus par Cybermalveillance.gouv.fr. Apprendre à reconnaître un email ou un SMS de phishing prend moins de 5 minutes, et peut vous éviter des pertes considérables.
Le phishing est une technique d'escroquerie où le fraudeur se fait passer pour un organisme de confiance (banque, administration, opérateur télécom, service de livraison) pour vous pousser à cliquer sur un lien malveillant ou à divulguer vos données personnelles. Le terme vient de "fishing" (pêche) — les escrocs lancent leur hameçon en masse et attendent que des victimes mordent.
En France, les organisations les plus usurpées sont : La Direction Générale des Finances Publiques (Impôts), l'Assurance Maladie (Ameli), La Poste / Chronopost, les banques (Crédit Agricole, BNP Paribas, Société Générale), et les opérateurs (Orange, Free, SFR).
Un email vous informe d'un remboursement de la Sécurité Sociale, d'une amende impayée, ou d'un colis en attente. Il contient un lien vers un site cloné à l'identique du site officiel. Une fois sur ce faux site, on vous demande vos coordonnées bancaires ou identifiants.
Exemple réel : "Votre remboursement de 89,50 € est disponible. Cliquez ici pour recevoir votre virement." L'email provient de ameli-remboursement@sante-sociale.net — domaine frauduleux.
Même principe, via SMS. "Votre colis Chronopost n°FR847261 est en attente. Des frais de douane de 2,99 € sont requis." Le lien renvoie vers une page clonée qui capture vos données de carte.
Contrairement au phishing de masse, le spear phishing est personnalisé. Les escrocs ont récupéré vos données sur LinkedIn ou un fichier client volé, et vous adressent un message avec votre nom, votre employeur, voire des références à des collègues réels. Ce type d'attaque vise souvent les entreprises.
Un "conseiller bancaire" vous appelle pour signaler une transaction suspecte et vous demande votre code de confirmation. Règle absolue : votre banque ne vous demandera jamais votre code PIN ou OTP par téléphone.
1. Examinez l'adresse email complète (pas seulement le nom d'affichage). impots@dgfip-france.net n'est pas @finances.gouv.fr.
2. Survolez le lien sans cliquer : l'URL réelle apparaît en bas de votre navigateur. Elle doit correspondre au domaine officiel.
3. Cherchez les fautes d'orthographe : un organisme officiel ne fait pas de fautes grossières.
4. Méfiez-vous de l'urgence : "Votre compte sera bloqué dans 24h", "Dernière chance pour récupérer votre remboursement". C'est une technique de manipulation.
5. Vérifiez si vous attendez vraiment quelque chose : un remboursement que vous n'avez pas demandé, un colis alors que vous n'avez rien commandé.
Si vous avez cliqué sur le lien mais pas entré de données : fermez la page, lancez un scan antivirus, videz le cache de votre navigateur. Le risque est faible.
Si vous avez entré votre mot de passe : changez-le immédiatement sur le vrai site. Activez la double authentification.
Si vous avez entré vos coordonnées bancaires : appelez votre banque immédiatement pour bloquer la carte et contester toute transaction frauduleuse.
Vérifiez l'adresse email complète de l'expéditeur, et connectez-vous à votre espace bancaire directement via votre application ou en tapant l'URL de la banque.
Oui. Certains liens de phishing déclenchent le téléchargement de malwares qui peuvent enregistrer vos frappes clavier.
Vous pouvez demander le remboursement à votre banque si vous n'avez pas été "gravement négligent". La Cour de cassation a durci la définition de la négligence grave.
Non. Les phishings ciblés (spear phishing) passent souvent au travers. La vigilance humaine reste indispensable.
Transférez l'email à phishing@signal-spam.fr ou signalez-le directement depuis Gmail/Outlook. Vous pouvez aussi signaler sur Cybermalveillance.gouv.fr.
Nouvelles méthodes OSINT, alertes arnaques et analyses — chaque semaine dans votre boîte mail.