Comment reconnaître un hameçonnage conçu pour convaincre

Fiche complémentaire de la leçon « Hameçonnage : reconnaître les pages conçues pour convaincre » — cours Sécurité en ligne

Le conseil de guetter les fautes d’orthographe ne suffit plus depuis longtemps. Savoir reconnaître un hameçonnage (phishing), aujourd’hui, c’est moins repérer la contrefaçon que prendre des habitudes qui la rendent inoffensive, même quand vous ne la voyez pas.

En France, les chiffres disent l’ampleur du phénomène. Dans son rapport d’activité 2025, Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes, place l’hameçonnage « au premier rang des menaces, tous publics confondus, en augmentation de 70 % ». Et l’Observatoire de la sécurité des moyens de paiement, dont le rapport est publié par la Banque de France, chiffre la fraude par manipulation — celle où l’escroc amène sa victime à agir elle-même — à 516 millions d’euros en 2025, en hausse de 34 % sur un an : 41,6 % de la fraude totale aux moyens de paiement.

A. Pourquoi c’est important

Cybermalveillance.gouv.fr définit l’hameçonnage comme une technique frauduleuse « destinée à leurrer l’internaute pour l’inciter à communiquer des données personnelles (comptes d’accès, mots de passe…) et/ou bancaires en se faisant passer pour un tiers de confiance ». Il arrive par courriel, par SMS ou par téléphone.

Le conseil que la plupart des gens ont en tête — repérer les fautes, les logos bizarres, les formules de politesse étranges — date d’une époque où tout cela était fréquent. Certaines pages le citent encore. Aujourd’hui, une page d’hameçonnage convaincante est une copie de la vraie, et le message qui y mène se lit sans accroc.

Comment les autorités françaises décrivent ces fraudes

Elles ne parlent plus de messages mal faits. L’ACPR, l’autorité de contrôle des banques et des assurances, relaie en janvier 2026 les autorités européennes de surveillance : « Les escrocs n’utilisent plus seulement de faux messages et sites internet, mais peuvent grâce à l’IA, générer des voix ou des vidéos, se faisant ainsi passer pour un banquier, des amis ou des membres de la famille. »

Cybermalveillance.gouv.fr décrit le scénario du faux conseiller bancaire, qui associe souvent le message et l’appel : il s’agit de « tromper la victime pour lui faire valider des opérations frauduleuses sur ses comptes », et « dans certains cas, il usurpe même un numéro de téléphone de sa banque ». Son rapport 2025 relève une hausse de 159 % de cette arnaque, et de 517 % des usurpations de numéros de téléphone. Face à une fausse page doublée d’un appel qui la rend crédible, lire attentivement ne suffit pas.

Une précision sur le cadenas

Le ministère de l’Économie conseille de vérifier que l’adresse de votre banque commence par « https » et qu’un cadenas s’affiche. La première partie reste utile ; la seconde demande une précision : aujourd’hui, presque toutes les pages d’hameçonnage ont un cadenas. Il atteste que la connexion est chiffrée, pas l’identité de celui qui est à l’autre bout. Cybermalveillance.gouv.fr donne le bon critère : « Vérifiez l’adresse du site qui s’affiche dans votre navigateur. »

Si l’argent est déjà parti : ce que prévoit la loi

Un point propre à la France, à connaître avant d’en avoir besoin.

• Prévenez votre banque sans attendre, et faites opposition si votre carte est concernée. Vous avez 13 mois pour contester : service-public.gouv.fr précise qu’« un paiement frauduleux ne peut pas être remboursé s’il date de plus de 13 mois ».
• Le remboursement doit intervenir « immédiatement et au plus tard à la fin du premier jour ouvrable suivant la réception de la contestation ».
• La banque ne peut refuser qu’en cas de fraude ou de négligence grave de votre part, et « il revient à la banque d’apporter la preuve d’une négligence grave de son client ». La Cour de cassation l’a rappelé le 23 octobre 2024, dans une affaire de faux conseiller bancaire.
• Si la banque n’a pas exigé d’authentification forte — le deuxième facteur imposé par la réglementation bancaire —, « le client ne supporte aucune conséquence financière », rappelle ABE Infoservice.
• En cas de litige sur un remboursement, vous pouvez saisir le médiateur bancaire.

Ces règles ne garantissent pas un remboursement dans tous les cas. Elles déplacent la charge de la preuve vers la banque, ce qui compte beaucoup.

B. Notions clés

Sept idées, dont celle qui explique pourquoi un deuxième facteur ne suffit pas toujours.

L’hameçonnage

Un message qui imite un expéditeur légitime pour obtenir des identifiants, des codes ou un paiement. Les clés de la banque, le site pédagogique de la Fédération bancaire française, en cite les formules d’appât les plus courantes : « alerte sécurité », « votre compte a été restreint », « activité inhabituelle sur votre compte ». Il signale aussi le « quishing », l’hameçonnage par code QR.

Pourquoi c’est important pour vous : ces messages partent en masse, au hasard. La plupart de ces messages sont filtrés ; ceux qui vous parviennent sont, par définition, ceux qui ont passé les filtres.

Le site cloné

Une copie d’une vraie page de connexion, souvent identique au pixel près.

Pourquoi c’est important pour vous : l’apparence ne vous apprend rien face à une copie. L’adresse est la seule chose qui diffère — et, résume Cybermalveillance.gouv.fr, « si cela ne correspond pas exactement au site concerné, c’est très certainement un site frauduleux ».

Les noms de domaine ressemblants

Des adresses qui diffèrent d’un caractère, d’un tiret, ou d’une lettre d’un autre alphabet qui s’affiche à l’identique. Aucune source française grand public ne traite ce point ; le NCSC britannique l’explique (en anglais).

Pourquoi c’est important pour vous : certaines sont indiscernables à l’œil. C’est pourquoi la barre d’adresse est une vérification faible, et le remplissage automatique une vérification forte.

L’hameçonnage en temps réel

La fausse page transmet vos identifiants à la vraie pendant que vous les tapez, vous demande ensuite le code à usage unique, et le transmet aussi avant qu’il n’expire.

Pourquoi c’est important pour vous : c’est la notion clé de cette fiche, et elle est rarement expliquée. Un code d’application peut être capturé. Seules une clé de sécurité physique ou une clé d’accès (passkey) — un identifiant enregistré sur votre appareil, qui remplace le mot de passe — résistent, parce qu’elles refusent de répondre au mauvais domaine. Aucune source publique française ne l’explique au grand public : l’ANSSI cite les clés FIDO dans son guide technique pour les organisations, et le NCSC détaille le mécanisme (en anglais).

L’hameçonnage ciblé (spear phishing)

Un message écrit pour vous, avec des données tirées de vos profils, de votre employeur, d’une vraie conversation — ou d’une fuite. Après la fuite de données de Bouygues Telecom, Cybermalveillance.gouv.fr mettait en garde contre « un mail frauduleux contenant vos nom, prénom, adresse postale et IBAN qui vous annoncerait un supposé paiement ».

Pourquoi c’est important pour vous : c’est plus rare, et beaucoup plus convaincant. La défense n’est pas la détection, c’est la procédure : vérifier par un canal que vous avez choisi. La même page le dit : « Authentifiez toujours votre interlocuteur en contactant le service client à son numéro officiel ».

Les favoris et les applications officielles

Arriver sur un service par une adresse que vous avez enregistrée, ou par son application. Cybermalveillance.gouv.fr le formule mot pour mot : allez « directement sur le site de l’organisme en question par un lien favori que vous aurez vous-même créé ». ABE Infoservice, le site d’information de la Banque de France et des autorités financières, conseille de vous connecter « à votre espace client depuis votre application mobile » ; le ministère de l’Économie, de saisir vous-même l’adresse dans le navigateur.

Pourquoi c’est important pour vous : c’est l’habitude la plus efficace de cette fiche, et elle est gratuite.

Le gestionnaire de mots de passe comme vérification

Le remplissage automatique n’est proposé que sur le domaine que le gestionnaire a enregistré. Google l’écrit dans l’aide de Chrome : « le Gestionnaire de mots de passe associe les mots de passe aux sites Web auxquels ils sont destinés, et non à des sites d’apparence similaire ».

Pourquoi c’est important pour vous : si le gestionnaire ne propose rien, l’adresse n’est pas celle que vous avez enregistrée. Ce silence est plus fiable que votre propre lecture de l’adresse.

C. Un exemple concret : le message qui était correct

Un message de votre banque arrive. Bon logo, bon ton, aucune faute, votre nom bien orthographié. Il indique qu’un paiement a été bloqué et vous demande de confirmer votre identité. C’est le scénario que décrivent les pages françaises sur le faux conseiller — et il peut s’accompagner d’un appel de quelqu’un qui se dit de la banque, depuis un numéro qui semble le sien.

• Le lien mène à une page identique à la page de connexion de votre banque.
• Vous saisissez vos identifiants. La page les accepte et demande le code de votre application d’authentification.
• Vous saisissez le code. La page vous remercie et vous redirige vers le vrai site de la banque, où tout semble normal.

Pendant ces quelques secondes, vos identifiants et votre code ont été transmis au vrai site par celui qui a construit la page. Le deuxième facteur a fonctionné comme prévu, et il a pourtant été contourné.

Ce qui l’aurait arrêté

• Ne pas passer par le lien : ouvrir la banque par le favori et y vérifier le compte.
• Le gestionnaire de mots de passe, qui n’aurait rien proposé de remplir sur le faux domaine.
• Une clé de sécurité ou une clé d’accès, qui n’auraient pas répondu à un domaine qu’elles ne reconnaissent pas.
• Raccrocher et rappeler au numéro que vous aviez déjà. ABE Infoservice : « Si vous êtes contacté, raccrochez et avertissez immédiatement votre banque. » Et l’Observatoire rappelle qu’« une banque n’a jamais besoin de demander à son client quelque manœuvre que ce soit pour arrêter un paiement suspecté d’être frauduleux ».

Aucune des quatre ne dépend de votre capacité à remarquer quelque chose dans le message. Le message a été conçu pour résister à une lecture attentive.

D. Essayez : prenez l’habitude

20 minutes de réglage, puis cela fonctionne sans y penser.

Étape 1 — Mettez en favori les services qui comptent

• Banque, services de paiement, messagerie principale, portail professionnel. En France, ajoutez impots.gouv.fr et ameli.fr : deux services régulièrement imités, qui font l’objet de mises en garde publiées.
• Tapez chaque adresse vous-même une fois, vérifiez-la, et enregistrez-la.
• Désormais, passez uniquement par là.

Étape 2 — Fixez la règle du remplissage

• Si votre gestionnaire de mots de passe ne propose pas de remplir, arrêtez-vous.
• Ne contournez pas en copiant-collant : ce silence est justement l’information.

Étape 3 — Choisissez votre canal de vérification

• Pour toute demande inhabituelle — coordonnées bancaires, virement urgent, collègue qui demande quelque chose hors procédure —, vérifiez par un numéro ou une adresse que vous aviez déjà.
• Jamais par les coordonnées fournies dans le message. Les autorités européennes le disent dans leur fiche en français : « Utilisez les coordonnées vérifiées pour contacter directement les entreprises ou les personnes et ne vous fiez jamais aux coordonnées contenues dans un message suspect. » Au téléphone, raccrochez et rappelez vous-même.

Étape 4 — Sachez où signaler

• Cybermalveillance.gouv.fr réunit tous les canaux sur une seule page. Un courriel d’hameçonnage : Signal Spam, une association qui réunit acteurs publics et privés, dont la CNIL. L’adresse d’un faux site : Phishing Initiative, un service d’Orange Cyberdefense, qui la fait bloquer dans les navigateurs. Un SMS : transférez-le au 33700, un dispositif gratuit géré par les opérateurs.
• Si vous avez été victime : 17Cyber (police, gendarmerie et Cybermalveillance.gouv.fr) pour un diagnostic et une discussion en ligne 24 h/24 ; la plainte en ligne THESEE pour certaines escroqueries sur internet, ou une plainte au commissariat ou à la gendarmerie ; Perceval pour une fraude à la carte bancaire, une fois l’opposition faite.
• Pour des conseils, sans plainte : Info Escroqueries, au 0 805 805 817 (appel gratuit, du lundi au vendredi, de 9 h à 18 h 30).
• En cas d’urgence, rien de tout cela : appelez le 17 ou le 112.

L’étape 1 est toute la leçon mise en pratique. Le reste sert d’appui pour les fois où vous oubliez.

E. Vidéos, articles et autres ressources

Des sources françaises, publiques pour l’essentiel, et les références anglaises qui restent là où rien en français ne couvre le point.

Sources françaises

Cybermalveillance.gouv.fr — Que faire en cas de phishing ou hameçonnage ?
La fiche réflexe du dispositif national : la définition, l’habitude du « lien favori que vous aurez vous-même créé », et la vérification de l’adresse exacte.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing

Cybermalveillance.gouv.fr — Comment signaler un mail de phishing ou d’hameçonnage ?
Tous les canaux de signalement réunis : Signal Spam, Phishing Initiative, les boutons des messageries, le 33700 pour les SMS, et PHAROS pour les contenus illicites.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/comment-signaler-un-mail-de-phishing

Cybermalveillance.gouv.fr — Que faire en cas de fraude au faux conseiller bancaire ?
Le scénario du message associé à l’appel, avec le numéro de la banque usurpé, et les contacts utiles.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/fraude-faux-conseiller-bancaire

ABE Infoservice — Spoofing, vishing, phishing, smishing : attention aux usurpations bancaires
Les variantes de l’usurpation bancaire, par le site de la Banque de France, de l’ACPR et de l’AMF. Pour signaler, suivez plutôt la page de Cybermalveillance.gouv.fr ci-dessus, plus complète.
https://www.abe-infoservice.fr/fr/prevention-arnaques/savoir-detecter-une-arnaque/les-differentes-techniques-des-escrocs/les-usurpations-didentite-de-professionnels/spoofing-vishing-phishing-smishing-attention-aux-usurpations-bancaires

ABE Infoservice — Fraude : attention aux appels de faux conseillers bancaires
Ce qu’aucun salarié d’une banque ne vous demandera jamais, et la consigne : raccrocher et prévenir la banque.
https://www.abe-infoservice.fr/fr/prevention-arnaques/savoir-detecter-une-arnaque/les-differentes-techniques-des-escrocs/les-usurpations-didentite-de-professionnels/fraude-attention-aux-appels-de-faux-conseillers-bancaires

Ministère de l’Économie — Arnaque au faux conseiller bancaire (spoofing) : comment la repérer et réagir (août 2026)
« Les arnaqueurs jouent sur l’urgence et la peur pour vous faire agir rapidement. »
https://www.economie.gouv.fr/particuliers/numerique-et-cybersecurite/arnaque-au-faux-conseiller-bancaire-spoofing-comment-la-reperer-et-reagir

Ministère de l’Économie — Opérations bancaires à distance : comment vous protéger des fraudes ? (12 janvier 2026)
Ne pas cliquer sur les liens, saisir soi-même l’adresse, ce que la banque ne demande jamais. La page conseille aussi de vérifier le cadenas : il atteste le chiffrement de la connexion, pas l’identité du site.
https://www.economie.gouv.fr/particuliers/mes-droits-conso/eviter-les-arnaques/operations-bancaires-distance-comment-vous-proteger-des-fraudes

service-public.gouv.fr — Fraude à la carte bancaire : fraude sur internet
Les règles de remboursement pour le citoyen : 13 mois pour contester, remboursement au plus tard le premier jour ouvrable suivant, recours au médiateur bancaire.
https://www.service-public.gouv.fr/particuliers/vosdroits/F35460/0_0_0

Ministère de l’Économie, direction des affaires juridiques — Les victimes d’une arnaque au faux conseiller bancaire ne peuvent se voir reprocher une négligence grave
L’arrêt de la Cour de cassation du 23 octobre 2024, expliqué : c’est à la banque de prouver la négligence grave.
https://www.economie.gouv.fr/daj/lettre-de-la-daj-les-victimes-dune-arnaque-au-faux-conseiller-bancaire-ne-peuvent-se-voir

Banque de France — Rapport de l’Observatoire de la sécurité des moyens de paiement 2025 (septembre 2026)
Les chiffres de la fraude en France, dont la fraude par manipulation.
https://www.banque-france.fr/fr/publications-et-statistiques/publications/rapport-de-lobservatoire-de-la-securite-des-moyens-de-paiement-2025

ACPR — Les autorités européennes publient des fiches d’information sur les fraudes financières à l’ère de l’IA (30 janvier 2026)
Voix et vidéos générées par l’IA, et la règle de passer par des coordonnées vérifiées.
https://acpr.banque-france.fr/fr/actualites/leiopa-leba-et-lesma-publient-des-fiches-dinformations-pratiques-afin-daider-les-consommateurs-se

Les clés de la banque — Phishing, Smshing, Quishing : les reconnaître pour les éviter
Le site pédagogique de la Fédération bancaire française, une organisation professionnelle : les formules d’appât courantes et l’hameçonnage par code QR. La page cite encore les fautes d’orthographe comme indice ; comme on l’a vu, ce n’en est plus un fiable.
https://www.lesclesdelabanque.com/particulier/phishing-le-reconnaitre-leviter/

Google — Comment Chrome protège vos données liées aux mots de passe et à la saisie automatique
La seule formulation en français, vérifiée, du principe selon lequel le gestionnaire ne remplit pas sur un site d’apparence similaire. C’est la documentation d’un éditeur.
https://support.google.com/chrome/answer/14271924?hl=fr-FR

Références internationales conservées

NCSC (Royaume-Uni) — Phishing scams: how to spot and report them (en anglais)
Comment lire une adresse pour en trouver le vrai propriétaire, et pourquoi les pages d’hameçonnage sont convaincantes par construction : aucune source française ne traite la méthode.
https://www.ncsc.gov.uk/collection/phishing-scams

NCSC (Royaume-Uni) — Passkeys are more secure than traditional ways to log in (avril 2026, en anglais)
Pourquoi les clés d’accès résistent à l’hameçonnage en temps réel, et pas les codes.
https://www.ncsc.gov.uk/blogs/passkeys-are-more-secure-than-traditional-ways-to-log-in

Liens vérifiés le 26 septembre 2026. Signal Spam est une association et Phishing Initiative un service d’Orange Cyberdefense : ce ne sont pas des services de l’État, mais ce sont les canaux vers lesquels renvoie Cybermalveillance.gouv.fr.

F. Le Framework Cyber Welfare : Compétences, Conscience du risque, Comportements sûrs

Cette leçon relève du pilier Conscience du risque, au niveau FL2 — Initié, et sa conclusion est un comportement plutôt qu’une compétence.

Compétences

• Arriver sur les services par des favoris et des applications officielles.
• Lire le comportement du remplissage automatique comme un signal.
• Vérifier les demandes inhabituelles par un canal indépendant.

Pour les professionnels et les organisations

• Mettre en place une procédure de vérification pour les demandes de paiement et de données.

Conscience du risque

• Comprendre que l’apparence n’est plus un indicateur fiable.
• Savoir que l’hameçonnage en temps réel peut capturer les codes à usage unique.
• Reconnaître l’urgence comme l’ingrédient commun à des messages différents.
• Savoir que le cadenas atteste le chiffrement, pas l’identité de celui qui est à l’autre bout.
• Savoir qu’en cas de fraude la banque doit rembourser, sauf fraude ou négligence grave qu’il lui revient de prouver.

Pour les futurs formateurs et ambassadeurs

• Ne jamais laisser entendre que celui qui se fait piéger a été négligent. Les bonnes campagnes sont faites pour fonctionner avec des personnes attentives, et dire le contraire décourage de signaler.

Comportements sûrs

• Ne jamais se connecter à partir d’un lien reçu dans un message.
• Vérifier les demandes inhabituelles avant d’agir.
• Signaler les messages suspects plutôt que de les supprimer.

Pour les organisations

• Faire en sorte que signaler vite une erreur soit sans risque : l’heure qui suit compte plus que le clic.

G. Questions à emporter

1. Comment arrivez-vous d’habitude à votre banque : par un favori, par l’application, ou par une recherche ?
2. Si un message vous annonçait maintenant qu’un paiement a été bloqué, que feriez-vous en premier ?
3. Avez-vous déjà saisi vos identifiants sur une page atteinte par un lien ?
4. Savez-vous où signaler un message suspect en France, et quelle différence il y a entre un signalement et une plainte ?

H. Ce que vous pouvez faire maintenant

Les recommandations (R) et les mesures de sécurité (MS) de la base Cyber Welfare qui s’appliquent à l’hameçonnage.

Les habitudes

• R16 — Méfiez-vous des e-mails qui se font passer pour votre banque : passez par le favori, jamais par le lien.
• R17 — N’ouvrez ni pièces jointes ni liens d’origine inconnue, et traitez de la même façon ceux, inattendus, d’expéditeurs connus.
• R9 — Connectez-vous uniquement en HTTPS, et arrivez aux services par un favori plutôt que par un lien.
• MS2 — Laissez le gestionnaire de mots de passe remplir : son silence sur un domaine qu’il ne reconnaît pas est un avertissement.

Les protections derrière elles

• R4 — Protégez vos comptes avec un deuxième facteur, de préférence une clé de sécurité ou une clé d’accès là où le service les accepte. Ce cours parle d’authentification à deux facteurs (2FA) ; Cybermalveillance.gouv.fr dit « double authentification », ou « validation ou vérification en deux étapes ».
• R1, R2 et R3 — Des mots de passe uniques, conservés dans un gestionnaire, de 16 caractères au moins, pour qu’une compromission reste isolée.
• R8 — Les alertes de connexion aux comptes, pour qu’un accès inattendu vous parvienne vite.
• MS17 — La meilleure protection sur l’adresse e-mail liée à la banque.

Engagement minimum : si un service propose une clé d’accès ou une clé physique, c’est l’amélioration qui déjoue précisément la technique décrite dans cette fiche.

En résumé

• Les pages convaincantes sont des copies des vraies : l’apparence ne les distingue plus.
• L’hameçonnage est la première menace recensée par Cybermalveillance.gouv.fr, et la fraude par manipulation représente plus de 40 % de la fraude aux moyens de paiement.
• L’hameçonnage en temps réel relaie les codes à usage unique ; seules les clés de sécurité et les clés d’accès refusent de répondre au faux domaine.
• Les favoris écartent l’essentiel des attaques qui commencent par un lien reçu.
• Si le gestionnaire de mots de passe ne propose pas de remplir, arrêtez-vous. Et si l’argent est parti, prévenez la banque tout de suite : c’est à elle de prouver une négligence grave.

Autres ressources de ce cours

Les protections qui tiennent face au message convaincant :

• Clé de sécurité et gestionnaire de mots de passe pour la banque en ligne
• Méthodes de double authentification : elles ne se valent pas
• Protéger sa banque en ligne : l’adresse e-mail et le numéro de téléphone

Découvrez d’autres fiches complémentaires des cours du programme Protégez votre Vie Privée Numérique.