Hameçonnage ciblé : pourquoi un faux message vous connaît si bien

Fiche complémentaire de la leçon « Hameçonnage : le reconnaître et le prévenir » — cours Vie privée en ligne

L’hameçonnage ciblé (spear phishing en anglais) est un faux message écrit pour une seule personne : il reprend votre nom, votre métier, un collègue ou un événement récent pour vous sembler familier. Cette fiche regarde l’hameçonnage ciblé du côté de la vie privée : d’où viennent ces détails, comment voir ce qui circule déjà sur vous et comment en laisser moins au message suivant.

A. Pourquoi c’est important

On explique souvent l’hameçonnage, cette fraude qui se fait passer pour un tiers de confiance afin d’obtenir vos informations, en apprenant à repérer les faux messages et les fausses pages. Le cours Sécurité en ligne s’en occupe. Mais l’hameçonnage est aussi une façon de collecter des données personnelles : un mot de passe, un numéro de compte, la réponse à une question secrète. Et ce sont les données personnelles qui rendent un message crédible.

C’est là que la vie privée entre en jeu. Dans ce cours, elle tient en trois questions : que sait-on de vous, qui le sait, et que choisissez-vous de laisser savoir ? Un message personnalisé répond aux deux premières, écrit par quelqu’un que vous n’avez pas choisi. Comprendre comment il a été fabriqué est le début d’un changement.

Se laisser convaincre par un message n’est pas une faute. Ces messages sont conçus pour paraître ordinaires, et les remarquer est une compétence qui se construit, pas un examen que l’on réussit ou rate.

Ce que disent les sources

Le vocabulaire d’abord. Le Journal officiel a retenu en 2021, d’après la fiche FranceTerme, le terme « hameçonnage ciblé », équivalent de l’anglais spear phishing. La fiche le décrit comme une forme d’hameçonnage où l’on se fait passer pour une personne digne de confiance, et le rattache à la manipulation psychosociale.

La CNIL, l’autorité française de protection des données personnelles, observe, dans une page datée de 2015, que les messages malveillants sont en général « peu personnalisés ». Un message qui parle d’un dossier ou d’une facture sans rapport avec vous est donc probablement malveillant. À l’inverse, un message qui contient des détails exacts sur vous mérite une vérification, justement parce qu’il sort de l’ordinaire.

D’où viennent ces détails ? La CNIL explique, dans un article sur le recoupement d’informations, que des éléments publiés en ligne, même sous pseudonyme, peuvent être reliés entre eux pour identifier une personne et révéler sa vie privée. Son exemple combine un pseudo, un avis de restaurant et des données de course à pied. L’article ne parle pas d’hameçonnage ; c’est ce cours qui fait le rapprochement : ce qui permet de retrouver quelqu’un peut aussi servir à rédiger un message à sa mesure.

Les fuites de données sont l’autre source. Selon la CNIL, après une fuite, des messages frauduleux peuvent sembler réalistes parce qu’ils reprennent des données issues de la fuite, par exemple un faux courriel d’une banque, de la sécurité sociale ou d’un service de livraison.

B. Notions clés

Cinq idées qui relient l’hameçonnage à ce que l’on sait de vous.

L’hameçonnage comme collecte de données

Un message, un appel ou une page web qui fait semblant de venir d’un tiers de confiance pour obtenir quelque chose de vous. Ce quelque chose est souvent une donnée : un mot de passe, un code à usage unique, des coordonnées bancaires.

Pourquoi c’est important pour vous : Cela change la question que l’on se pose. Non plus seulement « est-ce vrai ? », mais aussi « qu’est-ce qu’on me demande de remettre ? ».

L’hameçonnage ciblé

Un message écrit pour une personne ou un petit groupe, avec des détails qui lui correspondent : un nom, une fonction, un collègue, un voyage. En anglais, spear signifie « lance » : au lieu de jeter un filet, on vise une prise précise.

Pourquoi c’est important pour vous : Un message qui mentionne un fait exact vous concernant paraît fiable. Savoir que des détails exacts peuvent se trouver ou avoir fuité aide à distinguer « ce message me connaît » de « ce message vient de quelqu’un que je connais ».

Ce qui se trouve sur vous

Tout ce qu’une personne inconnue peut découvrir sans vous demander : ce que vous publiez en ouvert, ce que d’autres publient sur vous, les profils qui affichent votre employeur et votre fonction, les annuaires qui montrent votre téléphone, votre adresse ou votre courriel.

Pourquoi c’est important pour vous : C’est la matière première de l’hameçonnage ciblé, et la partie sur laquelle on a le plus de prise. Chaque détail paraît anodin ; ensemble, ils racontent une histoire.

Les violations de données

Une violation de données personnelles, que l’on appelle aussi fuite, recouvre selon la CNIL les fuites, vols ou pertes de données, accidentels ou malveillants. On ne peut pas la défaire, mais on peut changer les mots de passe concernés et rester attentif aux messages qui suivent.

Pourquoi c’est important pour vous : Ainsi, une ancienne fuite ouvre moins de portes.

Si vous avez déjà cliqué

Cela arrive, et cela se traite calmement. Ce qui compte, c’est ce que l’on a communiqué.

Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes, propose les gestes suivants. Si vous avez communiqué des données de paiement, faites opposition auprès de votre banque. Si vous avez saisi un mot de passe, changez-le sur le site concerné et sur les autres services où vous l’utilisiez, puis activez la double authentification. Conservez le message comme preuve. En cas de préjudice, on peut déposer plainte auprès d’un commissariat ou d’une brigade de gendarmerie. Pour signaler, la fiche indique Signal Spam pour un courriel, le 33700 pour un SMS et Info Escroqueries au 0 805 805 817 pour obtenir des conseils.

Pourquoi c’est important pour vous : Une suite claire transforme un moment inquiétant en courte liste. Et signaler aide aussi les autres.

C. Un exemple concret : Hélène et l’invitation de conférencière

Hélène a 35 ans et travaille dans le marketing, à Paris ; elle manipule des données clients chaque jour. Un lundi, un courriel arrive, en apparence de l’organisation d’un congrès de son secteur.

Il cite son nom complet et sa fonction, rappelle l’intervention qu’elle y a faite au printemps dernier, nomme le collègue avec qui elle avait échangé et l’invite à revenir. Pour « confirmer sa place », elle doit se connecter à un portail des intervenants avec son adresse professionnelle et son mot de passe, et déposer les diapositives de l’an dernier.

Chaque détail était exact, et c’est pour cela que rien ne semblait étrange.

Ce qui l’a fait hésiter, c’est la demande de se connecter par un lien. Elle a cherché les coordonnées de l’organisation sur le site du congrès et lui a écrit. Aucune invitation n’avait été envoyée.

Ce qui a changé quand Hélène a retracé les détails

Le soir même, plus curieuse qu’inquiète, elle a fait l’exercice ci-dessous et retracé l’origine de chaque détail :

• Son nom, sa fonction et son employeur figuraient sur son profil professionnel public.
• L’intervention et le collègue apparaissaient dans une publication publique, avec une photo d’eux sur scène.
• Son adresse professionnelle suivait le même modèle que celles de ses collègues, listées dans un annuaire public.
• Une recherche de fuites a montré son adresse dans deux services oubliés, dont l’un avait laissé échapper un mot de passe.

Elle a pris trois décisions. Elle utilisait encore ce mot de passe sur deux comptes : elle l’a changé partout et a activé un deuxième facteur sur sa messagerie principale. Elle a limité la publication du congrès à ses contacts. Et elle a transféré le faux message au service informatique de son entreprise, pour que ses collègues soient prévenus.

Elle a laissé son profil professionnel public, car son métier l’exige. C’était aussi un choix, fait désormais en sachant à quoi il peut servir.

D. À vous de jouer : voyez ce qu’une personne malveillante pourrait trouver (20 minutes)

Quatre étapes courtes. Ce n’est pas un test de prudence : elles vous montrent ce qui se trouve sur vous, pour décider quoi en faire.

Étape 1 — Voyez si votre adresse apparaît dans une fuite (5 minutes)

• Retrouvez d’abord les messages d’information que des organismes vous ont envoyés après un incident : selon la CNIL, l’organisme responsable doit informer les personnes exposées à des risques. La CNIL ne peut pas dire elle-même si vos données figurent dans un fichier piraté.
• Si vous souhaitez aller plus loin, sachez que la CNIL déconseille les sites qui prétendent détenir vos données et pouvoir vous dire si vous faites partie des personnes concernées. Have I Been Pwned est un site de ce genre : un service privé, en anglais, qui n’a rien d’un organisme public ; c’est à vous de décider de l’utiliser ou non. Sa FAQ indique que le site n’enregistre explicitement rien, hormis des outils d’analyse et de suivi des performances. Dans tous les cas, ne saisissez pas de mot de passe.
• Notez chaque incident et ce qu’il a exposé : adresses électroniques, mots de passe, numéros de téléphone. Ne rien trouver est une information utile, sans être une garantie. En trouver ne dit rien de vos habitudes : les fuites se produisent chez les organismes.

Étape 2 — Regardez-vous de l’extérieur (6 minutes)

• Cherchez votre nom et prénom avec votre ville, votre employeur ou votre métier.
• Ouvrez vos profils principaux sans vous connecter à votre compte, ou en navigation privée, pour voir à peu près ce que voit une personne inconnue.
• Listez les détails qui pourraient servir : employeur, fonction, collègues, prénoms de proches, dates de voyage, votre adresse électronique ou son modèle.

Étape 3 — Écrivez le message qu’on pourrait vous envoyer (4 minutes)

• Prenez trois détails de votre liste et imaginez un message court et crédible construit avec eux.
• Notez ce qu’il vous demanderait : se connecter, payer, envoyer un document, confirmer une information.
• C’est le message auquel il vaut la peine de réfléchir à l’avance. L’avoir imaginé une fois aide souvent à faire une pause.

Étape 4 — Faites un ou deux changements (5 minutes)

• Si une fuite a exposé un mot de passe que vous utilisez encore, changez-le sur chaque compte où vous l’employez.
• Choisissez un détail de l’étape 2 que vous n’avez pas besoin d’afficher publiquement et limitez qui peut le voir. La CNIL suggère notamment de régler les paramètres de confidentialité et de choisir la portée de diffusion selon le contenu.

• Si votre téléphone, votre adresse ou votre courriel apparaissent dans les résultats d’une recherche, Google propose un outil de demande de retrait, intitulé « Results about you » dans sa page d’aide lue en anglais. Selon Google, l’information reste sur la page d’origine : il faut alors contacter le responsable du site. Pour un résultat qui s’affiche quand on cherche votre nom et prénom, la CNIL décrit le déréférencement : une demande faite au moteur de recherche, puis, en cas de refus ou de silence, une saisine de la CNIL. Le contenu, lui, reste sur le site source.

Le but n’est pas de disparaître. C’est de savoir ce qu’une personne inconnue peut trouver et de décider quelle part reste visible.

Déjà traité dans le cours Sécurité en ligne

Comment reconnaître un hameçonnage conçu pour convaincre
Il couvre le côté sécurité : pages clonées, adresses trompeuses, codes interceptés en direct et habitude du favori, alors que cette fiche regarde les informations personnelles qui rendent un message convaincant.

E. Vidéos, articles et autres ressources

D’abord les sources institutionnelles françaises, puis les outils cités dans l’exercice.

Sources institutionnelles françaises

CNIL — Fuite ou vol de données : comment savoir si cela vous concerne et que pouvez-vous faire ?
Ce que recouvre une violation de données, les risques d’hameçonnage qui suivent et les gestes de protection.
https://www.cnil.fr/fr/conseils-fuite-vol-donnees

CNIL — Phishing, hameçonnage : détecter un message malveillant
Les réflexes pour examiner un message suspect et les canaux de signalement.
https://www.cnil.fr/fr/phishing-detecter-un-message-malveillant

CNIL — Recoupement d’informations en ligne : ce que vous publiez peut dévoiler votre vie privée
Comment des informations publiques, reliées entre elles, révèlent une personne, et quelques conseils pour publier avec plus de prudence.
https://www.cnil.fr/fr/recoupement-dinformations-en-ligne-ce-que-vous-publiez-peut-devoiler-votre-vie-privee

CNIL — Le déréférencement d’un contenu dans un moteur de recherche
Comment demander à un moteur de recherche de retirer un résultat, et ce qui reste en ligne sur le site source.
https://www.cnil.fr/fr/le-dereferencement-dun-contenu-dans-un-moteur-de-recherche

Cybermalveillance.gouv.fr — Que faire en cas de phishing ou hameçonnage ?
Les gestes après un clic ou une information communiquée, et où signaler.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing

FranceTerme — hameçonnage ciblé
Le terme français officiel pour spear phishing (Journal officiel du 14 septembre 2021).
https://www.culture.fr/FranceTerme/france_terme_rtf?num=JURI70

Outils et documentation des plateformes

Have I Been Pwned — FAQs
Ce que fait ce service privé et comment il traite les recherches. En anglais uniquement.
https://haveibeenpwned.com/FAQs

Aide Recherche Google — Find and remove personal info in Google Search results
Comment l’outil « Results about you » permet de demander le retrait d’un téléphone, d’une adresse ou d’un courriel. Page lue en anglais.
https://support.google.com/websearch/answer/12719076?hl=en

Liens vérifiés en octobre 2026. Si une adresse change, chercher le titre sur le site de l’organisme aide souvent à la retrouver.

F. Le Framework Cyber Welfare : Compétences, Conscience du risque, Comportements sûrs

Cette fiche s’appuie sur le pilier Conscience du risque, au niveau FL2 — Initié : comprendre comment ce que l’on sait de vous peut servir, et choisir ce que l’on laisse à la vue.

Compétences

• Retrouver les messages d’information reçus après une fuite de données.
• Voir ses profils à peu près comme les voit une personne inconnue.
• Suivre calmement la courte liste de gestes après un clic.

Conscience du risque

• Reconnaître qu’un message qui connaît des détails exacts sur vous a été assemblé, pas envoyé par quelqu’un que vous connaissez.
• Savoir d’où viennent ces détails : publications publiques et anciennes fuites.
• Voir l’hameçonnage comme une collecte de données, qui peut alimenter le message suivant.

Comportements sûrs

• Vérifier une demande inattendue par un canal que l’on a trouvé soi-même, pas celui du message.
• Changer un mot de passe exposé sur chaque compte où on l’utilise.
• Ne garder public que ce que l’on a une raison de montrer.

G. Questions pour réfléchir

• Quels trois détails sur vous rendraient un faux message le plus convaincant, et où une personne extérieure peut-elle les trouver ?
• Un ancien compte que vous n’utilisez plus partage-t-il un mot de passe avec quelque chose d’important ?
• Quand un message sait une chose exacte sur vous, quelle est votre première vérification ?

H. Que faire maintenant

Les recommandations (R) de la base de données Cyber Welfare qui s’appliquent le plus directement à ce sujet.

1. Avant d’agir sur un message

• R16 — Méfiez-vous des e-mails qui se font passer pour la banque : on entre chez sa banque par la porte que l’on connaît : si un message demande des informations personnelles ou bancaires, contactez l’organisme par des coordonnées que vous possédez déjà.
• R17 — N’ouvrez pas les pièces jointes d’origine inconnue : sachez d’abord qui vous les envoie et pourquoi, même quand le message utilise votre nom.
• R23 — Ne suivre que des personnes connues sur les réseaux sociaux : votre cercle décide qui vous voit : les personnes inconnues ne voient pas les détails que vous partagez avec vos contacts.

Engagement minimal : la prochaine fois qu’un message sait une chose exacte sur vous et vous demande d’agir, vérifiez-le par un canal que vous avez trouvé vous-même.

2. Rendre les données collectées moins utiles

• R4 — Protéger ses comptes avec un deuxième facteur : la défense qui tient quand le mot de passe cède : commencez par votre messagerie principale, pour qu’un mot de passe exposé dans une fuite ne suffise pas à lui seul.
• R29 — Messages envoyés en votre nom : que faire quand un contact vous alerte : si un compte est détourné, demandez à vos contacts de se méfier des messages récents qui en viennent.

Engagement minimal : retrouvez les messages d’information reçus après une fuite de données et changez chaque mot de passe exposé que vous utilisez encore.

En bref

• L’hameçonnage ciblé utilise des détails exacts sur vous pour paraître familier : la familiarité a été fabriquée, pas gagnée.
• Ces détails peuvent venir de ce qui se trouve en ligne et d’anciennes fuites de données.
• Vous pouvez retrouver les alertes reçues, voir vos profils comme une personne inconnue et choisir ce qui reste public.
• Si vous avez cliqué, agissez selon ce que vous avez communiqué : prévenez la banque, changez les mots de passe saisis, conservez le message, signalez.

Ressources associées dans ce cours

• Appels indésirables : où va votre numéro et comment les réduire
• Arnaque au clonage de voix : comment les deepfakes vous imitent
• Mot de sécurité en famille : se protéger des arnaques par IA
• Paramètres de confidentialité des réseaux sociaux en 10 minutes

Découvrez d’autres fiches complémentaires des cours du programme Protégez votre Vie Privée Numérique.