Qu'est-ce que le phishing (hameçonnage) ? Le repérer et l'arrêter (2026)

Vous recevez un SMS : « Votre colis est bloqué - confirmez vos informations ici. » Ou un e-mail qui ressemble exactement à votre banque, prévenant que votre compte va être verrouillé. C'est du phishing (hameçonnage) - et c'est la façon la plus courante dont les gens ordinaires se font voler comptes et argent en 2026. Il ne casse pas le chiffrement ni ne devine les mots de passe ; il vous pousse vous à les livrer. Ce guide explique ce qu'est le phishing, les types à reconnaître, comment le repérer, et les défenses qui marchent vraiment.

Le phishing est la branche la plus connue de l'ingénierie sociale.

Le phishing n'est pas la seule menace silencieuse - un keylogger enregistre ce que vous tapez.

Ce qu'est le phishing

Le phishing est une attaque par ingénierie sociale : un escroc se fait passer pour quelqu'un de confiance pour vous pousser à révéler des identifiants ou données, ou à installer un malware. Il arrive en général sous forme de message qui fabrique l'urgence (« agissez maintenant ou perdez l'accès ») et vous oriente vers une fausse page de connexion ou une réponse avec des détails personnels.

L'attaque vise le jugement humain, pas la technologie. C'est pourquoi elle marche même contre des mots de passe forts - on vous persuade de les taper vous-même sur la page de l'attaquant.

Les principaux types

• Phishing par e-mail - la campagne de masse classique.
• Spear phishing - personnalisé pour une cible précise, bien plus convaincant.
• Whaling - visant les dirigeants.
• Smishing - par SMS ; vishing - par appel vocal (faux « support » ou « banque »).
• Clone phishing - copie un vrai message mais y substitue un lien malveillant.

Tous partagent un but : vous faire agir avant de vérifier.

Un message de phishing, disséqué

Imaginez un SMS : « NETFLIX : Votre paiement a échoué. Mettez à jour votre carte sous 24 h ou votre compte sera suspendu : netflix-billing-secure.com/verify ». Quatre signaux d'alerte empilés en une ligne :

• Urgence fabriquée - « sous 24 h… suspendu » vous pousse à agir avant de réfléchir.
• Un domaine sosie - netflix-billing-secure.com n'est pas netflix.com ; la vraie marque n'est qu'un préfixe. Les attaquants adorent les sous-domaines et les tirets (paypal.account-verify.io) car le mot de confiance apparaît toujours.
• Un canal inattendu - un vrai souci de facturation s'affiche dans l'appli, pas dans un SMS avec lien.
• Une demande de « mettre à jour » le paiement via le lien - les vrais services vous disent de vous connecter normalement, jamais via une URL envoyée par SMS.

Entraînez-vous à lire le domaine de droite à gauche : le vrai site est la partie juste avant la première barre oblique simple (ici netflix-billing-secure.com), pas la marque qui apparaît plus tôt dans l'URL.

Comment le repérer

• Urgence ou menaces - « votre compte va être fermé ».
• Une adresse d'expéditeur subtilement erronée - regardez bien le domaine.
• Liens qui ne correspondent pas - survolez pour voir la vraie destination ; elle ne colle pas au site annoncé.
• Demandes de mots de passe ou de codes - les services légitimes n'en font jamais.
• Formules génériques et pièces jointes inattendues.

Sur mobile, les liens sont plus durs à inspecter - redoublez de prudence. Dans le doute, ne cliquez pas : tapez l'adresse vous-même ou utilisez l'appli officielle.

Comment l'arrêter

• Ne cliquez jamais les liens de messages inattendus. Allez sur les sites directement.
• Activez la double authentification pour qu'un mot de passe volé seul ne suffise pas - et préférez les facteurs résistants au phishing.
• Utilisez un gestionnaire de mots de passe. Il ne remplit que sur le vrai domaine ; s'il refuse, le site est probablement faux - une alerte intégrée. (Voyez pourquoi les gestionnaires sont sûrs.)
• Vérifiez les demandes « urgentes » via un canal distinct et fiable.

Que faire si vous avez déjà cliqué

Tomber dans le piège n'est pas la fin - la rapidité limite les dégâts. Si vous avez saisi vos identifiants sur une fausse page :

1. Changez ce mot de passe immédiatement, sur le vrai site, et partout où vous l'avez réutilisé. La réutilisation transforme un phishing en plusieurs comptes compromis.
2. Vérifiez la 2FA du compte concerné : assurez-vous qu'aucun second facteur ni e-mail de récupération inconnu n'a été ajouté, et déconnectez toutes les sessions actives.
3. Attendez-vous à la suite. Les attaquants enchaînent souvent un phishing avec un faux appel « support » (vishing) pour extraire votre code 2FA - ne lisez jamais un code à voix haute à quiconque.
4. Si c'était un compte pro, prévenez l'IT maintenant. Un signalement précoce limite une fuite bien plus que la dissimulation.
5. Si vous avez saisi une carte, contactez votre banque pour la bloquer ou la réémettre et surveillez les relevés.

Plus vite vous changez le mot de passe et révoquez les sessions, plus la fenêtre de l'attaquant est petite - voyez que faire si un compte est piraté pour la check-list complète.

Pourquoi passkeys et gestionnaires résistent au phishing

Les deux sont liés au vrai domaine. Un gestionnaire ne remplit que sur le site légitime exact, donc une page imitatrice n'obtient rien. Les passkeys et clés matérielles (FIDO2/WebAuthn) vont plus loin : la connexion est cryptographiquement liée à l'origine du vrai site, donc même si vous atterrissez sur une fausse page, elle ne s'authentifie pas. Ce lien à l'origine est la vraie défense - voyez notre guide des meilleures applis d'authentification, et si vous pensez être déjà piégé, quoi faire si un compte est piraté.

En résumé

Le phishing vous pousse à livrer vos identifiants via de faux messages et pages de connexion - il bat les mots de passe forts car il vous vise, vous, pas votre chiffrement. Repérez-le à son urgence, son expéditeur erroné et ses liens incohérents ; arrêtez-le en ne cliquant jamais les liens inattendus, en activant une 2FA résistante au phishing, et en laissant un gestionnaire refuser de remplir sur les faux. L'habitude de vérifier avant d'agir est toute la défense.

Guide éditorial fondé sur les techniques documentées de phishing (e-mail/spear/smishing/vishing) et les défenses standards (2FA, passkeys, liaison au domaine des gestionnaires). Les liens commerciaux portent l'attribut rel="sponsored nofollow" ; une commission d'affiliation peut s'appliquer sans surcoût pour vous.