Comment se débarrasser d'un phishing : les étapes

Tout dépend d'une seule question : avez-vous cliqué, ou pas encore ?

Si vous n'avez pas cliqué, le nettoyage tient en trois gestes simples : supprimer, bloquer, signaler. Vous supprimez le message de votre boîte, vous bloquez l'expéditeur, puis vous le signalez à votre fournisseur de messagerie. Ces gestes suffisent car le danger n'a pas encore atteint vos comptes.

Si vous avez cliqué ou saisi vos identifiants, la priorité change : ce ne sont plus le message ni l'expéditeur qui comptent, mais vos comptes. Il faut donc agir sur eux en premier, avant de vous occuper du courriel. Dans tous les cas, ne répondez jamais à l'expéditeur : une réponse confirme que votre adresse est active et invite d'autres tentatives. Si la compromission est avérée, orientez-vous vers un professionnel ou votre banque.

Le phishing est un message qui se fait passer pour un organisme de confiance afin de vous faire cliquer ou saisir des informations.

Un message vous presse d'agir, mais l'adresse d'expédition ne colle pas à l'organisme affiché, et le lien pointe vers un domaine qui n'a rien à voir avec son nom : voilà les indices les plus fiables. Le phishing arrive par e-mail, par SMS, on parle alors de smishing, ou par un faux site imité, que vous atteignez via une publicité ou un lien détourné. Dans tous les cas, un organisme sérieux ne vous demandera jamais votre mot de passe, un code reçu par SMS ou une phrase de récupération par message : c'est la ligne rouge.

Le sujet concerne souvent toute la famille, car une seule boîte compromise peut exposer les comptes partagés du foyer. Alors, avant de cliquer, prenez l'habitude de vérifier qui écrit et où mène le lien : le doute est votre meilleur réflexe.

On ne touche à rien du message : ni réponse, ni clic, ni transfert à ses contacts.

Un message suspect, vous le traitez comme un colis piégé : vous n'y touchez pas. Pas de réponse, pas de clic sur un lien ou une pièce jointe, et surtout pas de transfert à vos contacts, car vous propageriez l'arnaque. La curiosité est ici votre pire ennemie.

Alors vous le signalez comme indésirable depuis votre messagerie, puis vous le supprimez : ce geste ferme la conversation et coupe court aux relances. Signaler puis supprimer, dans cet ordre, suffit à vous en débarrasser proprement.

note

Un clic seul ne suffit pas à voler un compte : c'est la saisie d'identifiants ou de coordonnées bancaires qui déclenche le risque.

Un clic seul ne suffit pas à voler un compte : c'est la saisie d'identifiants ou de coordonnées bancaires qui déclenche le risque. Une fois ces informations entre de mauvaises mains, chaque minute compte sur vos comptes financiers, car une connexion frauduleuse peut se produire dans l'heure qui suit.

L'ordre des opérations limite les dégâts. Commencez par changer les mots de passe des comptes exposés, puis prévenez votre banque, et seulement ensuite mettez en place la surveillance. Si la compromission est avérée, ne tentez aucun diagnostic vous-même : renvoyez vers votre banque, Pharos ou cybermalveillance.gouv.fr.

Chaque application a sa propre manipulation, mais le principe est identique : marquer comme indésirable, puis bloquer.

La manipulation change d'une application à l'autre, mais l'intention reste la même. Dans tous les cas, signalez le message comme indésirable, puis bloquez l'expéditeur. Dans Gmail, l'option se cache dans le menu du message ouvert ; dans Outlook, elle vous est proposée directement sur le message. Sur iPhone comme sur Android, vous bloquez depuis la conversation SMS ou depuis la fiche du contact.

Le filtrage prend le relais quand le blocage ne suffit pas, car un expéditeur peut changer d'adresse. La table ci-dessous détaille, application par application, où se trouve chaque commande pour que vous ne cherchiez pas au mauvais endroit.

Un SMS de phishing se traite presque comme un e-mail, avec une différence : on ne répond jamais, même pas « STOP ».

Le SMS mise sur l'urgence et la brièveté : un colis en attente, une amende à payer, un compte qui sera suspendu. Le message est court, pressant, et il vous pousse à cliquer avant de réfléchir. Or l'expéditeur affiché ne prouve rien. L'identifiant d'envoi peut être usurpé, et une marque connue dans la conversation n'offre aucune garantie.

Face à un smishing, la marche à suivre est simple : vous ne répondez jamais, pas même « STOP », car une réponse confirme que votre numéro est actif. Vous bloquez le numéro, vous signalez le SMS comme indésirable, puis vous transmettez son contenu aux plateformes de signalement. Si vous avez saisi vos identifiants sur la page ouverte depuis le SMS, appliquez immédiatement l'ordre de sécurisation des comptes.

Quatre canaux principaux, choisis selon la nature du signalement : le contenu frauduleux, la donnée personnelle, ou l'urgence bancaire.

Une arnaque arrive dans votre boîte mail ? Signal Spam sert à le transmettre à un dispositif national partagé avec les autorités. Vous alimentez ainsi la lutte collective contre ces envois.

Si c'est un faux site imitant une marque qui vous inquiète, ou un contenu illicite en ligne, passez par Pharos. C'est aussi le canal pour faire retirer une page frauduleuse. Quand vous avez déjà été victime, cybermalveillance.gouv.fr devient votre point d'entrée pour l'assistance et les démarches. Enfin, si le problème touche vos données personnelles, usurpation d'identité, fichier constitué sans base légale, la CNIL traite ce type de signalement. Choisissez donc le canal selon l'objet : contenu frauduleux, donnée personnelle, ou urgence bancaire.

On regarde d'abord les comptes financiers, puis la messagerie, puis on installe une hygiène durable de mots de passe.

Une connexion inconnue, un virement que vous ne reconnaissez pas ou un mot de passe refusé : ce sont les signaux qui reviennent le plus souvent. Si vous les repérez, regardez d'abord vos comptes financiers, car c'est là que le préjudice tombe vite. Ensuite seulement, passez à la messagerie, qui sert souvent de porte d'entrée et de point de récupération.

Une fois le tour fait, installez une hygiène durable. Un gestionnaire de mots de passe pour des mots de passe uniques, et la double authentification partout où elle est proposée. Ces outils réduisent le risque, mais ne l'annulent jamais : aucun ne garantit une invulnérabilité, alors traitez-les comme des ceintures de sécurité, pas comme des armures.

Un logiciel de sécurité ajoute un filtre utile, mais il ne remplace ni la vigilance ni la double authentification.

Un filtre de messagerie et un antivirus réduisent le risque d'ouvrir une pièce jointe dangereuse. Ils interceptent le fichier avant que vous ne cliquiez. Mais ils ne bloquent pas un faux site ouvert depuis un SMS : là, c'est votre navigateur qui affiche la page, et le filtre ne voit rien. Donc le logiciel complète la vigilance, il ne la remplace pas.

Pour choisir, partez de vos usages. Ce que vous recevez, ce que vous cliquez. Et gardez la double authentification active. Elle protège même si un mot de passe fuit. Le reste, fonctionnalités, tarifs, versions, se vérifie sur le site officiel de l'éditeur.

Le signalement du site à Pharos et à la marque imitée est le levier le plus direct ; l'hébergeur n'est joignable que si l'on connaît son identité.

Le retrait d'un faux site commence par un réflexe simple : signalez l'adresse exacte du faux site, pas seulement le message que vous avez reçu. C'est cette URL qui déclenche la procédure. On peut la localiser et la faire retirer. Prévenez aussi la marque imitée, via son service client ou son adresse dédiée à la sécurité : son équipe juridique dispose des moyens pour faire retirer les copies. Vous pouvez également signaler le site à Pharos, le dispositif officiel de signalement des contenus illicites en ligne.

Ne tentez jamais de faire fermer le site vous-même, et ne contactez pas son administrateur. Ce n'est ni votre rôle, ni sans risque. L'hébergeur, lui, n'est joignable que si vous connaissez son identité, ce qui n'est pas toujours le cas. Et si vous avez saisi des coordonnées bancaires sur ce site, l'appel à votre banque reste prioritaire sur toute démarche de retrait : faites opposition et signalez les mouvements suspects avant de courir après l'URL. Pour une compromission avérée, renvoyez sans attendre vers cybermalveillance.gouv.fr.

Se débarrasser d'un phishing, c'est moins effacer un message que neutraliser un risque : ne rien ouvrir, sécuriser les comptes exposés, puis signaler la source.

Tout commence par un réflexe unique : ne rien toucher au message suspect, ni réponse, ni clic, ni transfert. Si vous n'avez pas cliqué, il suffit de marquer l'expéditeur comme indésirable puis de le bloquer, quelle que soit l'application, et de supprimer le message. Un clic seul suffit rarement à voler un compte. Le danger réel apparaît quand vous saisissez des identifiants ou des coordonnées bancaires. C'est à ce moment que la priorité change complètement.

Après une saisie, l'ordre des gestes compte plus que leur nombre. Sécurisez d'abord vos comptes financiers, puis votre messagerie, et installez ensuite une hygiène durable de mots de passe avec la double authentification. En parallèle, signalez le contenu frauduleux sur le bon canal selon qu'il s'agit d'une donnée personnelle, d'un faux site ou d'une urgence bancaire. Un filtre de messagerie et un antivirus aident en amont, mais ne remplacent jamais la vigilance, surtout face à un faux site ouvert depuis un SMS.