Phishing (hameçonnage) : définition, exemples et que faire

« Phishing » est un mot anglais formé à partir de fishing, la pêche : l'escroc lance un appât et attend qu'on morde. En français, on dit hameçonnage. Les deux mots désignent la même chose.

Cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes, le décrit comme une technique frauduleuse destinée à leurrer l'internaute pour obtenir ses données personnelles, ses accès ou ses coordonnées bancaires, en se faisant passer pour un tiers de confiance. Service-Public.fr précise que l'escroc peut aussi utiliser le compte piraté d'une personne que vous connaissez.

Le phishing prend plusieurs formes selon le canal utilisé :

• Par e-mail : c'est la forme la plus connue, souvent appelée simplement phishing.
• Par SMS : on parle de smishing, par exemple le faux SMS de colis en attente.
• Par téléphone : on parle de vishing, par exemple le faux conseiller bancaire.
• Par QR code : on parle de quishing, quand le lien piégé est caché dans un QR code.

Dans tous les cas, le schéma est le même : un message crédible, une urgence, puis un lien vers une fausse page qui imite le vrai site, souvent avec le logo, les couleurs et même le cadenas « https ». Ce cadenas indique seulement que la connexion est chiffrée : il ne prouve pas que le site est le bon.

Vous avez un e-mail douteux sous les yeux ? Notre fiche pratique e-mail frauduleux : les signes et que faire détaille la vérification pas à pas (nom affiché et adresse réelle, liens, pièces jointes), avec un exemple annoté.

Pour savoir qui contacter selon votre situation, consultez notre guide signaler une arnaque. Si l'arnaque commence par un appel, lisez appel frauduleux : que faire.

DYLETH est une application gratuite, sur Android et iPhone. Elle ne lit pas vos e-mails et ne se connecte pas à votre messagerie : il n'y a pas d'analyse automatique des e-mails. Elle vous aide autrement :

• Navigation protégée (Android et iPhone) : si vous l'activez, un DNS sécurisé bloque les sites frauduleux connus dans toutes vos applications, y compris quand vous ouvrez un lien reçu par e-mail, en Wi-Fi comme en 4G ou 5G.
• Vérifier un message (Android et iPhone) : collez ou partagez un e-mail, un SMS ou un message douteux. DYLETH explique pourquoi il semble frauduleux et quoi faire. Sur iPhone seulement, vous pouvez aussi choisir une capture d'écran.
• Vérifier un QR code (Android et iPhone) : DYLETH lit l'adresse cachée dans un QR code sans ouvrir la page.
• Je me suis fait avoir : un guide pas à pas selon ce que vous avez donné ou fait, avec les numéros officiels.

DYLETH bloque les sites frauduleux connus : un site tout nouveau peut ne pas encore être répertorié. Gardez donc les bons réflexes ci-dessus.

Quelle est la définition du phishing ?

Le phishing est une arnaque où un escroc se fait passer pour un organisme de confiance (banque, administration, livreur, opérateur) par e-mail, SMS ou message, pour vous faire cliquer sur un lien et voler vos identifiants ou vos coordonnées bancaires.

Quelle est la différence entre phishing et hameçonnage ?

Il n'y en a pas : hameçonnage est le mot français pour phishing. On parle de smishing quand l'arnaque passe par SMS, de vishing par téléphone et de quishing par QR code.

J'ai cliqué sur un lien de phishing, que faire ?

Fermez la page sans rien saisir et n'ouvrez aucun fichier téléchargé. Si vous avez tapé un mot de passe, changez-le partout où vous l'utilisez. Si vous avez donné votre carte bancaire, faites opposition auprès de votre banque, gardez les preuves et portez plainte.

Où signaler un e-mail de phishing ?

Un e-mail frauduleux se signale sur Signal Spam, un faux site sur Phishing Initiative, et un SMS au 33 700. Pharos ne reçoit les signalements de phishing que pour les arnaques au colis ou à la loterie.

Ma banque peut-elle me demander mon mot de passe par e-mail ?

Non. Selon Service-Public.fr, les administrations et les grandes plateformes ne demandent jamais d'informations sensibles par message ou par téléphone. Une demande de mot de passe, de code reçu par SMS ou de numéro de carte doit vous alerter.