Le phishing est aujourd'hui la principale  cybermenace pour le grand public. Selon le rapport d'activité et état de la menace 2025 de Cybermalveillance.gouv.fr, le phishing, ou hameçonnage, reste la première menace cyber tous publics confondus. Il représente environ un tiers des demandes d'assistance et a progressé de 70 % par rapport à 2024.

Qu'est-ce que le phishing ?

Le phishing, ou hameçonnage, est une escroquerie qui consiste à envoyer un message (email, SMS…) qui imite un message qu’aurait pu vous envoyer un ami, un organisme ou encore une entreprise avec lesquels vous avez l'habitude d'échanger : banque, fournisseur d'énergie, opérateur internet, administration fiscale, etc.

Pour inspirer confiance, les cyberescrocs reprennent souvent le nom et le logo habituellement utilisés par le professionnel ou l’administration dont ils usurpent l'identité. Ils vont décrire une situation d’urgence pour inciter la victime à agir rapidement, sans prendre le temps de vérifier le bien-fondé de la demande.

Les scénarios utilisés sont multiples : éviter une coupure du service à la suite d’un impayé, recevoir le remboursement d’un trop-perçu… Le but est le plus souvent d’obtenir des identifiants, des coordonnées bancaires ou des codes confidentiels pour pirater les comptes de leur victime ou réaliser des paiements frauduleux. Autre scénario, vous recevez un mail avec une pièce jointe qui, une fois ouverte, infectera l’ordinateur avec un logiciel malveillant. Ce logiciel peut capter vos données sensibles mais également prendre possession de votre boîte mail pour envoyer en votre nom des mails de phishing à vos contacts.

Attention, le phishing ce n’est pas que sur internet ! Il peut s’agir d’un faux message par SMS ou d’un appel téléphonique. Les conseils donnés dans cet article s’appliquent à ces moyens de communication.

À quoi ressemble un message de phishing ?

« Vous avez un remboursement non effectué de la part de votre assurance maladie d’un montant de 85,95 €. Pour accepter un paiement rapide en ligne cliquez sur le lien suivant… »

« Votre colis n'a pas pu être livré aujourd'hui. Pour programmer une nouvelle livraison, veuillez régler les frais de traitement de 5 € en cliquant sur ce lien : XXXX Sans règlement sous 12 heures, votre colis sera retourné à l'expéditeur… »

Des arnaques toujours plus crédibles

Les scénarios développés par les pirates sont multiples, et les messages de phishing ne sont plus, aujourd’hui, uniquement des imitations grossières repérables aux nombreuses fautes d’orthographe.  Les scénarios sont plus perfectionnés et les fraudeurs disposent parfois d'informations personnelles obtenues lors de fuites de données : nom, prénom, adresse ou même IBAN de la victime.

Regardez le replay de notre webinaire Cyberattaques : ne vous faites plus piéger ! 

Les pièges les plus fréquents

Un message de phishing peut prendre plusieurs formes.

  • Le plus fréquent est le lien cliquable qui renvoie vers un faux site internet imitant celui d'une entreprise ou d'une administration. La victime est alors invitée à saisir ses identifiants, ses codes d’accès ou ses coordonnées bancaires.
  • Le message contient une pièce jointe malveillante. Une fois ouverte, celle-ci peut infecter votre appareil (ordinateur, smartphone) avec un logiciel malveillant capable de récupérer discrètement des données sensibles (informations bancaires…). Dans certains cas, le logiciel peut prendre le contrôle de la messagerie de la victime et envoyer en son nom des messages de phishing à ses contacts.
  • Le message indique un numéro de téléphone à rappeler. C’est par exemple un faux numéro d’opposition bancaire auquel, lorsque la victime appelle, elle est mise en relation avec un faux conseiller qui tente de lui faire valider des opérations  frauduleuses/
La fausse amende Vous recevez un SMS ou un e-mail réclamant le paiement immédiat d'une prétendue contravention, sous peine de majoration. Sachez-le, ce mode de recouvrement n'existe pas !
Le faux remboursement d'impôts Le message aux couleurs des impôts annonce un trop-perçu d'un montant précis et invite à cliquer sur un lien pour le récupérer. En réalité, il conduit vers un faux site. Pour obtenir un remboursement, on ne vous demande jamais de payer des frais !
Le faux colis Un SMS vous indique qu'un colis est bloqué et réclame quelques euros pour finaliser la livraison. Les coordonnées bancaires saisies peuvent ensuite être utilisées pour des paiements frauduleux ou servir à préparer une nouvelle escroquerie.
Le faux conseiller bancaire Cette fraude a fortement progressé. L'escroc se fait passer pour le service de lutte contre la fraude de votre banque, parfois via une messagerie instantanée, et vous encourage à valider des opérations, pour soi-disant les annuler. En réalité, ces validations permettent de réaliser les opérations frauduleuses.

Mot de passe : 5 erreurs qui mettent vos données personnelles en danger

4 réflexes à adopter

Face à la multiplication de ces arnaques, quelques règles simples permettent de limiter les risques.

  1. Considérez comme suspect tout message demandant des identifiants, des codes confidentiels ou des coordonnées bancaires, ou qui vous presse de payer, même s’il comporte vos nom et prénom et/ou semble provenir d'un expéditeur connu.
  2. En cas de doute, contactez directement l'organisme concerné à partir de ses coordonnées habituelles (espace client, application officielle, numéro figurant sur une facture ou au dos d'une carte bancaire).
  3. Ne cliquez jamais sur les liens présents dans un message suspect, n'ouvrez pas les pièces jointes et n'appelez pas les numéros indiqués.
  4. Rappelez-vous que votre banque ne vous demandera jamais vos codes confidentiels ni de valider une opération que vous n'avez pas initiée, que ce soit par message ou par téléphone.

Attention à l'arnaque au faux conseiller bancaire

Vous avez été victime : que faire ?

  • Si vous pensez avoir communiqué vos données à un fraudeur ou validé une opération frauduleuse, réagissez rapidement.
  • Contactez sans attendre votre banque via son numéro de téléphone officiel afin de faire opposition à votre carte ou de bloquer votre accès en ligne, et changez vos mots de passe.
  • Contestez par écrit, le plus vite possible, les opérations que vous n'avez pas autorisées. Le délai maximal pour agir est de 13 mois après le débit du compte.
  • Pour une opération non autorisée, la banque doit en principe rembourser le client au plus tard à la fin du premier jour ouvrable suivant le signalement. Pour refuser ce remboursement, elle doit démontrer une fraude ou une négligence grave de la part du titulaire du compte. Les juges apprécient au cas par cas.
  • En cas de refus, adressez une réclamation écrite à votre banque puis saisissez gratuitement son médiateur.
  • Déposez plainte auprès de la police ou de la gendarmerie et signalez le message : au 33700 pour un SMS, sur signal-spam.fr pour un e-mail. Pour être accompagné : 17Cyber, sur cybermalveillance.gouv.fr


Source : Cybermalveillance.gouv.fr

La CLCV a été victime d'un incident de sécurité qui a exposé les données personnelles d'environ 31 000 personnes : nom, prénom, adresse postale, adresse e-mail et numéro de téléphone. L'incident a été détecté le 9 août et circonscrit le 10 août. Les personnes concernées ont été informées individuellement. Elles sont invitées à se méfier de tout message les sollicitant à partir de ces informations. Pour toute question, vous pouvez nous contacter à l’adresse dpo@clcv.org. La CNIL a été notifiée de la violation le 10 août 2026.

Crédit photo : ©Nirusmee- stock.adobe.com