Un mail de votre banque vous demande de confirmer vos coordonnées. Un SMS d’un service de livraison vous presse de cliquer sur un lien. Ces messages arrivent sur tous les canaux : messagerie, téléphone, applications instantanées. Le phishing (ou hameçonnage) repose sur un mécanisme simple : usurper l’identité d’un organisme de confiance pour vous soutirer des données personnelles ou bancaires.
Reconnaître ces tentatives ne suffit pas toujours. Les messages frauduleux gagnent en crédibilité, et les réflexes à adopter varient selon l’appareil utilisé. Voici les gestes concrets qui font la différence.
Lire également : Mieux protéger ses mots de passe grâce aux gestionnaires dédiés
Vérifier un lien suspect sur mobile : les gestes que personne ne détaille
La majorité des messages de phishing sont lus sur smartphone. Le problème : sur un écran de téléphone, l’adresse de l’expéditeur et l’URL sont souvent tronquées. Vous voyez « service-client… » sans pouvoir lire la suite.
Pour vérifier un lien reçu par SMS ou mail sur mobile, maintenez le doigt appuyé sur le lien sans le relâcher. Un aperçu de l’URL complète s’affiche. Cherchez le nom de domaine réel, celui qui précède immédiatement l’extension (.fr, .com). Si vous lisez « mabanque.service-verify.com », le vrai domaine est « service-verify.com », pas « mabanque ».
A voir aussi : Le rôle des mises à jour logicielles dans la cybersécurité
Sur ordinateur, le survol avec la souris donne la même information en bas à gauche du navigateur. Ce réflexe prend deux secondes et bloque la grande majorité des tentatives.
Phishing par clonage : quand le message copie un vrai mail déjà reçu
Vous avez déjà remarqué un mail qui ressemble trait pour trait à une notification que vous recevez chaque mois ? Le phishing par clonage pousse la tromperie un cran plus loin que les campagnes classiques. L’attaquant reproduit un message légitime que vous avez réellement reçu, en modifiant uniquement le lien ou la pièce jointe.
Les indices visuels habituels (fautes, mise en page grossière) deviennent inutiles face à ce type de message. Le texte est identique, le logo est correct, la signature aussi.
Deux vérifications restent fiables dans ce cas :
- L’adresse d’expédition complète : comparez-la caractère par caractère avec celle du vrai expéditeur. Un « i » remplacé par un « l », un tiret ajouté, un sous-domaine inhabituel suffisent à trahir le faux.
- Le contexte du message : recevez-vous normalement ce type de notification à cette date ? Si votre facture tombe le 5 du mois et que le mail arrive le 22, c’est un signal.
- Le comportement du lien : appliquez la technique du maintien appuyé (mobile) ou du survol (ordinateur) pour inspecter la destination réelle avant tout clic.
Réagir après avoir cliqué sur un lien de phishing
Admettons que le clic soit déjà fait. Vous avez ouvert le lien, peut-être même renseigné un identifiant ou un mot de passe. La vitesse de réaction compte.
Dans les minutes qui suivent
Changez immédiatement le mot de passe du compte concerné, depuis un autre appareil si possible. Si vous utilisez le même mot de passe sur d’autres services (messagerie, réseaux sociaux, espace bancaire), changez-les aussi.
Activez l’authentification à deux facteurs sur chaque compte qui le permet. Ce mécanisme ajoute une validation par code temporaire en plus du mot de passe. Même si l’attaquant possède votre identifiant, il ne pourra pas se connecter sans ce code.
Révoquer les sessions actives et surveiller les connexions
Un point souvent négligé : changer le mot de passe ne déconnecte pas les sessions déjà ouvertes. Sur la plupart des services (Gmail, Outlook, réseaux sociaux), vous pouvez consulter la liste des appareils connectés dans les paramètres de sécurité. Révoquez toute session que vous ne reconnaissez pas.
Pendant les semaines suivantes, surveillez vos relevés bancaires et les notifications de connexion. Une compromission peut ne produire ses effets que plusieurs jours après l’attaque.
Signaler un mail ou SMS frauduleux : les canaux utiles
Signaler une tentative de phishing ne protège pas seulement vous. Chaque signalement alimente les bases de données qui permettent de bloquer les campagnes en cours.
- Pour un mail : transférez-le à signal-spam.fr, la plateforme nationale de signalement des courriers indésirables. Sur la plupart des messageries, un bouton « signaler comme phishing » transmet aussi l’information au fournisseur.
- Pour un SMS : transférez le message au 33700, le numéro dédié au signalement des SMS frauduleux en France.
- Pour un site web suspect : signalez l’URL sur phishing-initiative.fr, qui permet de faire bloquer le site par les navigateurs.
- En cas de préjudice financier : déposez plainte et contactez votre banque pour faire opposition. Le site cybermalveillance.gouv.fr propose aussi un parcours d’assistance adapté à votre situation.
Au-delà du mail : phishing sur les messageries instantanées et par téléphone
Les tentatives de phishing ne se limitent plus aux mails et SMS. Les messageries instantanées (WhatsApp, Messenger, Signal) sont de plus en plus utilisées. Un message d’un contact dont le compte a été piraté vous demande un code reçu par SMS ? C’est une technique classique de détournement de compte.
Par téléphone, les appels usurpés affichent parfois le vrai numéro de votre banque ou d’un service public. Aucun conseiller légitime ne vous demandera un mot de passe ou un code de validation par téléphone. En cas de doute, raccrochez et rappelez vous-même le numéro officiel de l’organisme.
Le phishing exploite un levier constant : l’urgence. Un message qui vous presse d’agir dans les minutes qui suivent, sous peine de blocage de compte ou de pénalité financière, cherche à court-circuiter votre vigilance. Prendre trente secondes pour vérifier l’expéditeur et le lien reste le geste le plus efficace, quel que soit le canal utilisé.
