Phishing : définition, risques et protection

Le fraudeur se fait passer pour un organisme de confiance, banque, impôts, CAF, transporteur, et vous pousse à agir vite pour récupérer un colis, éviter un prélèvement ou débloquer un compte.

Le phishing ne cherche pas à pirater votre ordinateur, mais à vous faire saisir vous-même vos identifiants, votre numéro de carte ou un code reçu par SMS. Le fraudeur se fait passer pour votre banque, les impôts, la CAF ou un transporteur, et vous pousse à agir vite. La demande arrive par mail, SMS, appel ou réseaux sociaux : le canal change, le scénario reste le même.

Un message de phishing ne contient pas forcément de virus. Cliquer sans rien saisir n'a souvent aucune conséquence, alors que saisir ses identifiants en a toujours une. C'est la saisie qui donne accès à votre compte.

Quatre vérifications suffisent à écarter la grande majorité des messages frauduleux.

Le nom affiché ne prouve rien : il suffit d'usurper une enseigne connue. Ouvrez donc l'adresse réelle de l'expéditeur, puis surveillez l'URL du lien, caractère par caractère, car un seul signe qui change trahit le faux site. Un lien qui ne mène pas là où vous allez d'habitude doit vous faire arrêter.

Relisez ensuite le message en cherchant ce qu'on attend de vous : un mot de passe, un code, un paiement. Si le message exige une action immédiate, méfiez-vous, car l'urgence est le levier préféré des fraudeurs.

note

Le scénario est identique, mais le SMS et l'appel téléphonique suppriment les indices visuels sur lesquels on s'appuie d'habitude.

Le smishing arrive par texto : un lien court, un numéro inconnu, parfois glissé dans un fil de conversation avec un vrai correspondant. Le message est bref, donc presque toujours alarmiste : colis en attente, amende à payer, compte à réactiver. Rien à lire, tout à croire.

Le vishing se joue à la voix. L'appelant peut afficher le nom de votre banque sur votre écran et vous mettre en attente le temps de vous rassurer. C'est la technique la plus efficace auprès des publics prudents, car il n'y a plus d'indices visuels à repérer. Alors la règle est simple : aucun code, aucune information bancaire, vous raccrochez et vous rappelez le numéro officiel. Un message vocal menaçant, une pression au paiement immédiat ou une demande d'installer une application pour prendre la main sur votre écran doivent vous faire raccrocher : aucune procédure légitime ne passe par là.

La règle est favorable au client, mais elle dépend de ce qui s'est passé et seul votre établissement peut statuer sur votre dossier.

Pour une opération non autorisée, le remboursement est la règle : le Code monétaire et financier prévoit que la banque recrédite le montant et les frais, dans les délais qu'il fixe. La référence est l'article L133-18, consultable sur Legifrance. L'exception est la négligence grave, et c'est à la banque de la démontrer : si vous avez communiqué volontairement un code à un tiers qui se présentait comme votre conseiller, la perte peut rester à votre charge.

Avant opposition, vos opérations inhabituelles sont souvent déjà bloquées automatiquement par les outils de votre établissement. Signalez l'incident même sans perte d'argent, car cela protège la suite du dossier. Retenez la limite de tout article : aucun texte ne peut confirmer à votre place que vous serez remboursé. Votre banque analyse les opérations, vous demande parfois une attestation sur l'honneur, et décide au vu du dossier concret.

Le signalement se fait en moins de dix minutes, et il protège les autres autant que vous.

Ne supprimez le message qu'après l'avoir signalé : tant qu'il est là, il sert de preuve. Si c'est votre banque qui est usurpée, prévenez-la d'abord, puis les plateformes officielles de signalement.

Vous ne connaissez pas l'auteur des faits ? Cela ne bloque rien : la plainte est enregistrée quand même et vient alimenter le dossier.

La réaction dépend du stade où vous vous êtes arrêté : un clic seul n'engage rien, une saisie d'identifiants ou de carte demande une action dans l'heure.

Un clic seul ne transmet rien. Puisque vos identifiants n'ont pas bougé, il n'y a rien à reprendre. Si vous avez tapé votre mot de passe ou votre numéro de carte, la situation change parce que l'attaquant possède désormais de quoi se faire passer pour vous. Le stade atteint dicte les gestes.

L'ordre compte. D'abord changez le mot de passe du service concerné, puis activez la double authentification. Ensuite seulement prévenez votre banque. C'est elle qui opposera les paiements. Conservez enfin les preuves : captures d'écran, adresse du message, horodatage. Chaque geste posé ferme une porte que le suivant protège. Quand la compromission est avérée, ne tentez pas de diagnostic seul. Tournez-vous vers cybermalveillance.gouv.fr.

La protection tient à trois habitudes simples, qui réduisent le risque sans jamais l'annuler.

La double authentification est la mesure la plus rentable. Même si un mot de passe est dérobé, un second facteur est exigé. Activez-la d'abord sur votre messagerie, puis sur votre banque et les comptes qui contiennent vos données. Ensuite, adoptez un mot de passe unique par service. Une fuite chez un commerçant n'ouvre plus tous vos comptes. Un gestionnaire de mots de passe les génère et les retient à votre place ; il n'offre pas une sécurité absolue, mais il supprime la réutilisation, qui est le vrai problème.

Prenez aussi l'habitude de ne jamais rejoindre un site par un lien reçu. Dès que vous tapez vous-même l'adresse ou passez par l'application, vous neutralisez la plupart des campagnes. Même si les filtres anti-phishing font baisser le risque, aucun outil ne vous protège à 100 %. Pour connaître les fonctions réellement incluses dans votre version du moment, consultez le site officiel de l'éditeur, et n'installez un logiciel que depuis son site officiel ou un store officiel, jamais depuis un site tiers.

Non, mais une suite de sécurité bien choisie filtre une partie des messages et des sites frauduleux, à condition de ne pas compter sur elle seule.

Un bon logiciel de sécurité ne se contente pas de chercher des virus. Il filtre aussi les sites que vous ouvrez et repère les pages qui imitent votre banque ou votre opérateur. Alors, quand vous cliquez sur un lien douteux, la page factice peut être bloquée avant que vous n'y saisissiez quoi que ce soit.

Mais ce filtre ne voit pas tout. Un message soigné qui vous pousse à appeler un numéro, ou une page toute neuve encore inconnue, peuvent passer entre les mailles. Considérez donc la suite de sécurité comme une barrière qui réduit le risque, pas comme un rempart infranchissable : elle ne vous rend jamais invulnérable.

note

L'urgence et la confiance, voilà ce sur quoi s'appuie le phishing ; une méthode simple de vérification et une réaction rapide suffisent à limiter fortement les risques.

Le fraudeur s'appuie presque toujours sur un prétexte crédible associé à une pression au clic. Que ce soit par mail, SMS ou appel, le fraudeur se fait passer pour un organisme que vous connaissez et vous pousse à agir sans réfléchir. La parade tient donc moins à la technologie qu'à une routine de vérification : contrôler l'expéditeur, ne jamais cliquer depuis un message non sollicité, et passer par le site ou l'application officiels pour toute démarche sensible.

La réaction après un contact frauduleux dépend entièrement de l'étape atteinte. Un simple clic sans saisie reste sans conséquence, mais la communication d'identifiants ou de données bancaires impose d'agir vite : sécuriser les accès, prévenir la banque, conserver les preuves. Signalement et bonnes habitudes complètent le dispositif. Votre vigilance protège aussi les autres utilisateurs. Aucun outil ne remplace cette discipline. Un logiciel de sécurité filtre une partie des menaces, jamais la totalité.