Un hameçonnage réussi n’a ni faute d’orthographe ni cadenas manquant. Il a un prétexte pris dans votre calendrier, un nom de domaine bien choisi, et un relais qui capte jusqu’à votre code à usage unique.
Un hameçonnage n’est pas un message mal écrit, c’est une chaîne en quatre temps : une liste d’adresses, un prétexte pris dans votre calendrier, une page copiée, puis une exploitation qui se compte en minutes. Le cadenas et l’absence de fautes ne prouvent rien, puisque les certificats sont gratuits et les kits traduits. Les codes à usage unique eux-mêmes se contournent par relais en temps réel. Une seule règle tient sans expertise technique : ne jamais emprunter le chemin proposé par le message, et vérifier par un canal que vous avez choisi vous-même.
Le message arrive un mardi matin. Objet : « Avis de remboursement, 218,43 € ». L’expéditeur affiche le nom de votre centre des finances publiques. Le texte est en français administratif correct, avec les formules d’usage et un numéro de dossier. La page qui s’ouvre est la copie exacte de celle que vous connaissez, cadenas compris.
Aucun des indices que l’on répète depuis vingt ans ne se déclenche. Pas de faute, pas de logo déformé, pas de pièce jointe douteuse. Pourtant le nom de domaine réel n’a rien à voir avec l’administration fiscale, et la page attend votre numéro de carte bancaire.
Un hameçonnage ne se reconnaît pas à son apparence. Il se reconnaît à sa structure : quelqu’un a pris l’initiative du contact, et ce quelqu’un vous propose un chemin. L’orthographe, le logo, le cadenas et la vraisemblance du prétexte relèvent de la mise en scène, et la mise en scène progresse chaque année. Le chemin, lui, ne peut pas être déguisé.
Ce que vous recevez est le troisième acte d’une opération qui en compte quatre. Les trois autres se déroulent sans vous.
La liste. Les adresses et les numéros viennent de fuites de données agrégées, de formulaires de jeux-concours, de bases revendues, ou simplement du tirage au sort dans le plan de numérotation. Personne ne vous a ciblé personnellement : vous êtes une ligne parmi des centaines de milliers. Savoir si votre adresse circule déjà se fait en quelques secondes, la méthode est décrite dans la vérification d’une adresse dans les fuites connues.
Le prétexte et l’infrastructure. L’attaquant achète un nom de domaine, obtient un certificat gratuit, installe un kit d’hameçonnage prêt à l’emploi qui reproduit une trentaine de marques connues et enregistre les saisies. Le tout se monte en une heure et coûte quelques euros.
L’envoi. C’est la seule partie que vous voyez. Le canal choisi change les indices disponibles mais pas la mécanique : le SMS offre moins de place pour se trahir et un affichage d’adresse tronqué, ce qui en fait le support dominant, comme le montre le faux SMS de colis ou d’amende.
L’exploitation. Les identifiants saisis n’attendent pas. Sur les campagnes visant des messageries, la première connexion frauduleuse suit souvent la saisie de quelques minutes, parfois de quelques secondes lorsque le dispositif est automatisé. Ce délai très court explique pourquoi changer son mot de passe une heure après ne suffit pas toujours : la session ouverte entre-temps peut survivre au changement.
Un bon prétexte n’a pas besoin d’être crédible pour tout le monde. Il lui suffit de tomber juste pour la fraction de destinataires qui attendent précisément cela. Sur cent mille envois, quelques milliers de personnes ont réellement un colis en cours, et c’est largement assez.
D’où une saisonnalité très marquée, qui suit le calendrier administratif et commercial français.
| Période | Prétexte dominant | Ce qui le rend crédible | Le fait qui le contredit |
|---|---|---|---|
| Avril à juillet | Déclaration de revenus, trop-perçu, remboursement | Tout le monde a une déclaration en cours ou un avis à venir | L’administration fiscale ne réclame jamais de coordonnées bancaires par message : un remboursement part sur le compte déjà enregistré dans votre espace |
| Novembre et décembre | Colis bloqué, frais de douane, réexpédition | Plusieurs commandes en cours en même temps | Un transporteur encaisse depuis son propre site, jamais depuis un lien reçu par SMS |
| Janvier | Carte Vitale à renouveler, mutuelle, tiers payant | Les contrats de complémentaire santé changent en début d’année | La carte Vitale n’expire pas et ne se commande pas contre paiement |
| Toute l’année | Compte bloqué, connexion suspecte, mise à jour de sécurité | La crainte de perdre l’accès agit plus vite que l’appât du gain | Un service qui suspend un compte vous le montre dans l’application, sans avoir besoin que vous suiviez un lien |
| Rentrée | Compte personnel de formation, financement de formation | Le solde existe vraiment et beaucoup ignorent son montant | Le démarchage commercial portant sur le compte personnel de formation est interdit par une loi de décembre 2022 |
Le corollaire est plus utile que la liste : un message qui tombe pile au bon moment n’est pas plus fiable qu’un autre, il est simplement mieux ciblé. La coïncidence est le produit recherché, pas une garantie.
Le conseil a longtemps eu du sens, pour deux raisons opposées. D’abord, les campagnes étaient traduites à la va-vite. Ensuite, certaines fraudes conservaient volontairement des maladresses grossières : elles servaient de filtre, en écartant d’emblée les destinataires attentifs et en ne laissant venir que les personnes les plus susceptibles d’aller jusqu’au bout, ce qui économise du temps humain sur la suite de l’escroquerie.
Les deux raisons ont perdu de leur force. Les kits industriels sont désormais traduits correctement, et les messages ciblant les entreprises sont relus. Un texte irréprochable ne prouve donc rien, et un texte fautif non plus.
Le cadenas atteste que la liaison est chiffrée. Il n’atteste pas de l’identité de celui qui reçoit vos données. Les certificats de validation de domaine sont délivrés gratuitement, automatiquement, à quiconque démontre qu’il contrôle le domaine, ce qui prend quelques minutes. Un faux site est donc en HTTPS comme le vrai.
Reste l’adresse elle-même, et une seule partie de l’adresse compte : le nom enregistrable, c’est-à-dire le mot situé immédiatement à gauche de l’extension. Dans impots.gouv.fr, c’est impots.gouv.fr qui a été enregistré auprès du registre. Dans impots.gouv.fr.remboursement-2026.info, le nom enregistrable est remboursement-2026.info, et tout ce qui précède est un sous-domaine que le propriétaire écrit comme il veut.
La lecture se fait donc de droite à gauche, en partant de l’extension et en s’arrêtant au premier point rencontré. Les variantes classiques jouent sur le trait d’union (service-impots.fr), sur l’extension (.info, .top, .click au lieu de .fr), sur une lettre proche visuellement, ou sur des caractères d’alphabets non latins qui produisent un affichage identique à l’œil. La méthode complète de lecture est détaillée dans l’anatomie d’une URL.
Sur téléphone, la barre d’adresse tronque souvent l’URL et masque justement la partie utile. C’est la raison pour laquelle l’hameçonnage réussit mieux sur mobile que sur ordinateur, à message identique.
Voilà le mécanisme que la plupart des articles de prévention passent sous silence, alors qu’il rend obsolète le conseil « activez la double authentification et vous êtes tranquille ».
Un kit d’hameçonnage moderne ne se contente pas d’enregistrer ce que vous tapez. Il agit comme un intermédiaire transparent : il ouvre en parallèle une vraie session sur le site authentique et retransmet tout, en direct, dans les deux sens. Vous saisissez votre identifiant, il le rejoue. Le vrai site envoie un code par SMS, vous le recevez réellement, vous le tapez sur la fausse page, l’intermédiaire le rejoue dans la seconde. Le vrai site considère la connexion comme valide et délivre un cookie de session, que l’attaquant récupère. À partir de là, il est connecté à votre place, sans avoir besoin ni de votre mot de passe ni d’un nouveau code.
Cette technique explique aussi pourquoi changer le mot de passe après coup ne suffit pas toujours : il faut en plus déconnecter toutes les sessions actives, une option que les grands services proposent sous un intitulé du type « appareils connectés » ou « sécurité des sessions ».
| Facteur d’authentification | Ce qu’il arrête | Ce qui passe quand même |
|---|---|---|
| Mot de passe long et unique | Le bourrage d’identifiants et le cassage hors ligne d’une base volée | Toute page copiée : c’est vous qui le tapez |
| Code à usage unique par SMS | La réutilisation d’un mot de passe issu d’une fuite | Le relais en temps réel, et le détournement de la carte SIM |
| Code d’une application d’authentification | La même chose, sans le risque lié à l’opérateur mobile | Le relais en temps réel : trente secondes de validité suffisent |
| Notification à valider dans l’application | Les tentatives purement automatisées | La validation obtenue pendant que l’attaquant vous parle au téléphone |
| Clé d’accès ou clé physique | Le relais en temps réel : la signature est liée au domaine réellement affiché | La procédure de récupération de compte, souvent laissée en secours |
La dernière ligne est la seule rupture technologique réelle de ces dix ans. Le navigateur ne signe qu’en présence du domaine exact enregistré au moment de la création : sur ma-banque-securite.info, la clé refuse simplement de fonctionner, et l’utilisateur n’a rien à décider. Le fonctionnement et les limites de ce mécanisme sont expliqués dans les clés d’accès.
Toutes les techniques ci-dessus supposent que vous sachiez lire un domaine, reconnaître un relais, évaluer un facteur d’authentification. Une seule règle fonctionne sans rien connaître de tout cela.
Cette règle a une propriété rare : elle ne coûte rien quand le message est authentique. Un vrai avis d’imposition, une vraie facture et un vrai colis survivent parfaitement au détour de trente secondes. Un message qui ne survit pas à ce détour se dénonce lui-même. Vous pouvez éprouver le réflexe sur des cas réels avec notre test en huit situations, dont deux sont légitimes.
Un compte bancaire n’est pas la cible la plus recherchée, parce qu’il est surveillé et que les mouvements se contestent. La messagerie l’est davantage : elle reçoit les liens de réinitialisation de tous vos autres comptes, elle contient vos factures, l’identité de votre banque, votre opérateur, vos abonnements. Prendre une messagerie, c’est prendre la clé de voûte, ce qui rend la réaction après un mot de passe volé prioritaire sur ce compte avant tous les autres.
Vient ensuite l’usage professionnel. Un accès à la messagerie d’un salarié permet d’observer les échanges pendant des semaines, d’apprendre le nom du comptable, le format des factures, le calendrier des règlements, puis d’envoyer au bon moment un changement de coordonnées bancaires depuis une adresse authentique. C’est le point de départ de la fraude au virement, dont le préjudice unitaire se compte en dizaines de milliers d’euros.
Enfin, les données collectées alimentent l’étape suivante de la chaîne. Un numéro de téléphone, un nom, une banque et les quatre derniers chiffres d’une carte suffisent à rendre crédible l’appel décrit dans l’arnaque au faux conseiller bancaire. L’hameçonnage n’est pas toujours la fin de l’attaque : c’est souvent sa phase de renseignement.
L’hameçonnage ciblé vise une personne précise, avec des informations vraies : votre poste, le nom de votre supérieur, un projet en cours, une commande réelle. Les éléments proviennent de vos réseaux professionnels, du site de votre employeur, d’un communiqué de presse, ou d’une messagerie déjà compromise chez un partenaire.
La vraisemblance atteint alors un niveau qu’aucune lecture attentive ne perce. S’y ajoutent désormais l’imitation de la voix et de l’image, traitées dans le clonage vocal et l’arnaque au faux proche, qui suppriment le dernier indice sensoriel sur lequel on comptait.
La parade ne change pourtant pas. Elle se déplace simplement du message vers la procédure : un changement de coordonnées bancaires, un virement exceptionnel, une communication de code se vérifient par un rappel sur un numéro connu à l’avance. Une règle écrite protège mieux qu’une vigilance individuelle, parce qu’elle survit à la fatigue et à la pression hiérarchique.
La conduite à tenir dépend de ce que vous avez réellement donné.
Dans les trois cas, le signalement prend deux minutes et sert vraiment : transférez le SMS au 33700, signalez le courriel comme hameçonnage dans votre messagerie, déposez l’adresse du faux site sur les plateformes de signalement officielles, et en cas de préjudice, déposez plainte. Les contenus manifestement illicites relèvent du circuit décrit dans le signalement d’un contenu illicite. Ces signalements alimentent les listes de blocage qui protègent les destinataires suivants.
Devant un message qui vous demande d’agir, ne cherchez pas la faute, le logo raté ou le cadenas. Posez deux questions : qui a pris l’initiative de ce contact, et par quel chemin me demande-t-on de passer ? Si l’initiative vient de l’autre et que le chemin est fourni par lui, ce chemin ne sert à rien, quel que soit le contenu du message. Prenez le vôtre.
Non. Le cadenas indique que la liaison entre votre navigateur et le serveur est chiffrée, donc qu’un tiers sur le réseau ne lit pas ce que vous tapez. Il ne dit rien de la personne qui tient le serveur. Les certificats dits de validation de domaine sont délivrés gratuitement et automatiquement à quiconque prouve qu’il contrôle un nom de domaine, en quelques minutes. Une page d’hameçonnage récente en affiche donc presque toujours un. Le détail de ce que garantit le protocole est traité dans l’explication de HTTPS.
Le champ visible dans votre logiciel de messagerie est du texte libre : il peut afficher n’importe quel nom et n’importe quelle adresse. Les mécanismes d’authentification SPF, DKIM et DMARC permettent au serveur qui reçoit de vérifier que le domaine expéditeur autorisait bien cet envoi, et la plupart des grandes messageries les appliquent. Ils écartent l’usurpation pure du domaine, mais pas un domaine voisin acheté pour l’occasion. Le fonctionnement est détaillé dans l’authentification de l’expéditeur.
Dans l’immense majorité des cas, non. L’ouverture d’une page d’hameçonnage ne prend pas le contrôle de votre appareil : ces pages sont des formulaires, pas des logiciels. Ce qui compte est la suite. Si vous n’avez rien tapé, rien téléchargé et rien validé, le clic vous a surtout signalé comme lecteur actif, ce qui vous vaudra d’autres tentatives. Surveillez vos comptes quelques jours et n’ouvrez plus les messages du même expéditeur.
Oui, contre la réutilisation d’un mot de passe volé, qui reste l’attaque la plus courante. Un code, même par SMS, bloque un attaquant qui ne dispose que d’un couple identifiant et mot de passe issu d’une fuite. En revanche il ne protège pas contre une page copiée qui vous demande ce code et le rejoue immédiatement sur le vrai site. La hiérarchie des facteurs est comparée dans la double authentification.
Jamais. Une réponse, même hostile, confirme que l’adresse ou le numéro est actif et lu par un humain, ce qui augmente sa valeur sur les listes revendues. Ne répondez pas, ne rappelez pas, ne vous désabonnez pas depuis le message. Transférez le SMS au 33700, signalez le courriel à votre fournisseur de messagerie comme hameçonnage, puis supprimez. Le signalement alimente les listes de blocage utilisées par les navigateurs et les opérateurs.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Mots de passe, arnaques, fuites de données et réflexes qui changent vraiment quelque chose.