Vous recevez un e-mail de votre banque vous demandant de vérifier vos coordonnées sous peine de blocage de votre compte. Ou un message de la CAF vous annonçant un remboursement à percevoir. Ou encore une notification d'Ameli signalant une anomalie sur votre dossier. Ces e-mails peuvent être d'une ressemblance troublante avec les originaux. Ils sont pourtant frauduleux.
Le phishing — ou hameçonnage en français — est la première menace numérique en France en 2025, selon le rapport annuel de Cybermalveillance.gouv.fr publié en mars 2025. En un an, les demandes d'assistance liées au phishing ont bondi de 70 % sur la plateforme nationale. Plus d'un tiers des demandes d'assistance tous publics confondus concernent cette seule menace. Et à l'échelle mondiale, 91 % des cyberattaques débutent par un e-mail frauduleux.
Comment fonctionne le phishing ?
Le principe est simple mais redoutablement efficace. Un escroc envoie un e-mail imitant l'apparence visuelle d'un organisme de confiance : votre banque, La Poste, la CAF, Ameli, les impôts, Chronopost, EDF, Netflix, PayPal… Le message contient généralement un lien vers un faux site web, copie conforme de l'original, sur lequel vous êtes invité à saisir vos identifiants, coordonnées bancaires ou données personnelles.
Ces informations sont ensuite exploitées immédiatement : virements frauduleux, piratage de comptes, usurpation d'identité, revente sur le dark web. Le tout peut se produire en quelques minutes après que vous ayez cliqué.
Avec l'intelligence artificielle, ces attaques sont devenues bien plus sophistiquées. Un e-mail de phishing trompeur peut désormais être généré en seulement 5 minutes grâce à l'IA, contre 16 heures manuellement auparavant. Les fautes d'orthographe qui permettaient autrefois de repérer un faux message ont pratiquement disparu. Les attaquants créent désormais des leurres plus diversifiés, grammaticalement corrects et ciblés pour chaque entreprise ou organisme.
Les 8 signes qui trahissent un e-mail frauduleux
- L'adresse de l'expéditeur ne correspond pas à l'organisme : c'est le premier indice à vérifier. Un e-mail de votre banque ne provient jamais de credit-agricole@gmail.com ou ameli-remboursement@orange.fr. Cliquez sur le nom de l'expéditeur pour voir l'adresse réelle — elle est souvent masquée derrière un nom affiché trompeur.
- Un ton alarmiste ou une urgence artificielle : "Votre compte sera suspendu dans 24h", "action requise immédiatement", "dernier rappel avant blocage"… La pression temporelle est un levier de manipulation classique conçu pour vous faire agir sans réfléchir.
- Un lien qui ne mène pas où il prétend aller : survolez le lien sans cliquer dessus — l'URL réelle s'affiche en bas de votre navigateur ou client mail. Un faux site d'Ameli pourra utiliser des adresses comme ameli-sante.fr, ameli-remboursement.com ou ameli.gouv.fr.remboursement-sante.com. Le vrai site officiel est toujours ameli.fr.
- Une demande de données sensibles par e-mail : aucune banque, aucun organisme officiel ne vous demande vos identifiants, mots de passe, numéro de carte bancaire ou code secret par e-mail. Jamais. Sans exception.
- Des formules d'adresse génériques : "Cher client", "Madame, Monsieur", "Bonjour utilisateur"… Un organisme avec lequel vous avez un compte connaît votre nom et l'utilise généralement dans ses communications.
- Des incohérences visuelles : logo légèrement déformé, couleurs décalées, mise en page approximative, police différente… Ces détails trahissent parfois une copie imparfaite, même si les faux e-mails sont de plus en plus soignés.
- Une pièce jointe inattendue : facture, bon de livraison, document fiscal… Si vous n'attendez rien de ce type, n'ouvrez pas la pièce jointe. Elle peut contenir un logiciel malveillant qui s'installe à votre insu dès l'ouverture.
- Un QR code à scanner : le "quishing" (phishing par QR code) est en forte progression. Plus de 635 000 codes QR malveillants uniques ont été intégrés dans des e-mails de phishing au deuxième trimestre 2025 seulement. Un QR code dans un e-mail non sollicité est un signal d'alarme.
Les organismes les plus usurpés en France
Les escrocs ciblent en priorité les entités auxquelles presque tout le monde est abonné ou affilié, pour maximiser le taux de réussite de leurs campagnes :
- Le secteur bancaire (Crédit Agricole, BNP Paribas, Société Générale, La Banque Postale, Boursorama…)
- Les organismes sociaux (Ameli / Assurance Maladie, CAF, impots.gouv.fr)
- La logistique (La Poste, Chronopost, DHL, Colissimo) — souvent via de faux avis de passage ou de retard de livraison
- Les opérateurs télécom (Orange, SFR, Bouygues, Free)
- Les grandes plateformes numériques (Netflix, Amazon, PayPal, Apple, Microsoft)
- Les services publics (Ameli, Finances publiques, ANTS pour les permis de conduire et cartes grises)
Que faire si vous avez cliqué sur un lien suspect ?
- N'entrez aucune information sur le site vers lequel vous avez été redirigé, même si la page semble authentique.
- Changez immédiatement vos mots de passe du compte concerné et de tout autre compte utilisant le même mot de passe, depuis un autre appareil si possible.
- Si vous avez saisi des coordonnées bancaires, contactez votre banque sans attendre pour faire opposition et signaler la fraude.
- Lancez une analyse antivirus sur votre appareil si vous avez ouvert une pièce jointe.
- Conservez les preuves : capture d'écran du mail, de l'URL visitée, de tout échange.
- Signalez le message frauduleux sur signal-spam.fr (e-mail) ou au 33700 par SMS (pour les SMS frauduleux).
- Déposez plainte au commissariat ou à la brigade de gendarmerie, ou sur internet-signalement.gouv.fr.
Vous pouvez être accompagné gratuitement par France Victimes au 116 006 (7j/7, 9h-19h) ou obtenir des conseils sur cybermalveillance.gouv.fr et via le 17Cyber, la plateforme nationale d'assistance aux victimes de cybermalveillance.
Comment se protéger durablement
- Accédez toujours aux sites officiels en tapant l'URL directement dans votre navigateur, sans passer par les liens des e-mails reçus — même s'ils semblent légitimes.
- Activez la double authentification (2FA) sur vos comptes importants : même si un pirate récupère votre mot de passe via du phishing, il sera bloqué à la deuxième étape.
- Méfiez-vous des e-mails non sollicités, même s'ils viennent d'un contact connu (son adresse peut avoir été usurpée ou son compte piraté).
- Vérifiez les URL avant tout clic : survolez les liens, lisez attentivement l'adresse — les escrocs utilisent des variantes très proches des vraies adresses.
- Utilisez un filtre anti-phishing : les navigateurs modernes (Chrome, Firefox, Edge) intègrent des protections natives. Assurez-vous qu'elles sont activées.
Le bon réflexe en résumé
- Vérifiez systématiquement l'adresse réelle de l'expéditeur — pas seulement le nom affiché
- Aucun organisme officiel ne vous demande vos identifiants ou coordonnées bancaires par e-mail
- En cas de doute, ne cliquez pas : accédez au site en tapant vous-même l'URL officielle
- Signalez tout e-mail suspect sur signal-spam.fr
- Si vous avez cliqué et saisi des données bancaires : opposition immédiate auprès de votre banque
- Activez la 2FA partout pour limiter les dégâts même en cas de mot de passe compromis
- Pour toute assistance : cybermalveillance.gouv.fr ou 17Cyber