Tout savoir sur l’hameçonnage
L’hameçonnage (ou phishing) est une arnaque qui consiste à se faire passer pour un tiers de confiance (banque, administration, fournisseur, dirigeant…) pour obtenir des identifiants, des coordonnées bancaires ou un virement. Il passe par le mail, mais aussi par SMS, par téléphone, par QR code et, de plus en plus, par des voix imitées grâce à l’intelligence artificielle. Les bons réflexes : ne jamais communiquer d’informations sensibles sur demande, vérifier par un autre canal en cas de doute, activer la double authentification et signaler chaque tentative. Voici toutes les réponses à vos questions, mises à jour en octobre 2026.
Qu’est-ce que l’hameçonnage ?
L’hameçonnage, aussi appelé phishing, vise à obtenir des informations confidentielles : identifiants de connexion, mots de passe, numéros de carte bancaire. Le mot image très bien le cybercriminel qui part à la pêche aux informations et cherche à faire mordre sa victime. C’est l’une des plus anciennes attaques du web, et elle vise particuliers comme entreprises.
Le cyberpirate se fait passer pour une personne ou une institution de confiance, et incite le destinataire à cliquer sur un lien, à ouvrir une pièce jointe ou à rappeler un numéro. Les réseaux sociaux lui fournissent une mine d’informations (collègues, fonction, projets) pour rendre son message crédible.
Quels sont les risques de l’hameçonnage ?
L’hameçonnage permet d’usurper une identité, de voler des informations confidentielles, d’obtenir des codes bancaires ou de détourner un paiement. En entreprise, un compte de messagerie hameçonné sert de porte d’entrée : le pirate lit les échanges, écrit aux clients ou prépare un faux ordre de virement.
La menace reste très active. Selon Cybermalveillance.gouv.fr, l’hameçonnage a été en 2025 le deuxième motif de demande d’assistance des entreprises et associations (16 % des diagnostics, en hausse de 29 %), juste derrière le piratage de compte, dont il est l’une des causes principales. Les demandes d’assistance pour fraude au virement ont, elles, progressé de 93 % en un an, d’après son bilan 2025 des cybermalveillances visant les professionnels.
Quels sont les différents types d’hameçonnage ?
Voici les principales techniques utilisées par les hameçonneurs :
- L’e-mail frauduleux : un message qui renvoie vers un site malveillant ou contient une pièce jointe piégée.
- Le faux site web : la copie d’un site connu (banque, Microsoft 365, transporteur) où vous saisissez vos identifiants. Souvent, un seul caractère change dans l’adresse.
- Les réseaux sociaux : compte piraté qui envoie des liens à ses contacts, ou faux profil qui gagne votre confiance.
- Le smishing : un SMS frauduleux (faux colis, fausse amende, faux remboursement) qui pousse à cliquer sur un lien.
- Le vishing : un appel d’un faux conseiller bancaire ou d’un faux support technique.
- Le quishing : un QR code malveillant, reçu par mail ou collé sur un parcmètre, une borne de recharge ou un faux avis de contravention, qui mène à un faux site. Apparu régulièrement dans l’actualité à partir de 2023, il reste jugé relativement mineur par Cybermalveillance.gouv.fr, mais il masque l’adresse du lien.
- L’usurpation par IA vocale ou deepfake : à partir d’enregistrements publiés en ligne, les escrocs clonent une voix, voire truquent une vidéo (hypertrucage), pour se faire passer pour un proche ou un dirigeant, comme le décrit la fiche du ministère de l’Intérieur sur les arnaques utilisant l’intelligence artificielle.
- La fraude au président : un faux dirigeant demande un virement « urgent et confidentiel », par mail, par téléphone ou les deux. Variante : un faux fournisseur annonce un changement de RIB.
Une technique de hameçonnage classique : l’e-mail frauduleux
Les scénarios sont bien rodés : un colis qui ne peut être livré sans quelques euros de frais, un remboursement promis ou une sanction annoncée au nom de l’administration (impôts, Assurance Maladie), une banque qui vous demande de « confirmer » vos coordonnées. En entreprise, les fraudeurs imitent aussi les messages de Microsoft 365 ou de Google (boîte pleine, document partagé) pour mener vers une fausse page de connexion.
Comment reconnaître une situation d’hameçonnage ?
Les messages sont de mieux en mieux rédigés, notamment parce que les escrocs utilisent l’IA pour les écrire : l’absence de fautes ne prouve plus rien. Soyez attentif aux signes suivants :
- L’adresse de l’expéditeur ne correspond pas exactement au nom de domaine de l’organisme qu’il prétend représenter.
- Le lien : en passant la souris dessus sans cliquer, l’adresse réelle s’affiche ; méfiez-vous des liens raccourcis et des QR codes, dont la destination est cachée.
- L’urgence ou la pression : menace de coupure, de sanction, demande « confidentielle ».
- La demande d’informations sensibles : une banque ou un service public ne vous demandera jamais vos codes de carte bancaire ou vos mots de passe par message ou par téléphone.
- La pièce jointe inattendue, surtout d’un expéditeur inconnu.
- Une voix familière qui réclame de l’argent : elle peut avoir été clonée. Raccrochez et rappelez la personne à un numéro que vous connaissez.
Comment lutter contre l’hameçonnage ?
La protection repose sur trois piliers. Des outils : filtre antispam et anti-hameçonnage sur la messagerie, antivirus à jour, protection contre les sites frauduleux intégrée aux principaux navigateurs. La double authentification sur tous les comptes qui la proposent : un mot de passe volé ne suffit alors plus à se connecter. Des règles internes, comme la vérification par un second canal de toute demande de virement ou de changement de RIB.
Les logiciels de cybersécurité ne remplacent pas la vigilance de vos équipes, qu’une sensibilisation régulière entretient (voir nos 6 bonnes pratiques pour une meilleure sécurité informatique en entreprise). Sans service informatique interne, un prestataire spécialisé peut configurer ces protections et sécuriser vos données informatiques.
Que faire si vous avez cliqué ou répondu ?
Agissez vite. La fiche réflexe de Cybermalveillance.gouv.fr sur l’hameçonnage recommande de :
- Changer immédiatement le mot de passe communiqué, ainsi que sur tous les services où vous l’utilisiez.
- Faire opposition auprès de votre banque si vous avez donné des coordonnées bancaires ou constaté un débit frauduleux.
- Conserver les preuves, en particulier le message reçu.
- Déposer plainte en cas de débit frauduleux ou d’usurpation d’identité.
En entreprise, prévenez aussi votre prestataire informatique : il vérifiera que le compte n’a pas servi à envoyer d’autres messages. Le service public 17Cyber, lancé le 17 décembre 2024 par la Police nationale, la Gendarmerie nationale et Cybermalveillance.gouv.fr, établit un diagnostic en ligne 24 h/24 et peut vous mettre en relation avec un policier ou un gendarme.
Comment signaler une tentative de phishing ?
Même si vous n’êtes pas tombé dans le piège, signaler aide à bloquer la campagne. Ces services fonctionnent toujours en octobre 2026 :
| Situation | Où le signaler |
|---|---|
| Un e-mail suspect | Signal Spam, plateforme associée à la CNIL |
| Un SMS suspect | Transférez-le gratuitement au 33700 ou sur 33700.fr |
| L’adresse d’un faux site | Phishing Initiative, qui fait bloquer l’adresse |
| Vous êtes victime (argent perdu, compte piraté) | 17Cyber, puis dépôt de plainte |
Pour un conseil, la plateforme Info Escroqueries du ministère de l’Intérieur répond au 0 805 805 817 (appel gratuit, du lundi au vendredi de 9 h à 18 h 30). Prévenez aussi l’organisme dont l’identité a été usurpée.
Questions fréquentes
Quelle est la différence entre phishing, smishing et vishing ?
Le phishing, ou hameçonnage, désigne l’ensemble de ces arnaques, en particulier par e-mail. Le smishing est un hameçonnage par SMS, le vishing un hameçonnage par appel téléphonique. Le but reste d’obtenir des identifiants, des données bancaires ou un virement en se faisant passer pour un tiers de confiance.
Qu’est-ce que le quishing ?
Le quishing est un hameçonnage par QR code : le code mène à un faux site qui vole vos identifiants ou vos données bancaires. On le trouve dans des mails, sur de faux avis de contravention ou collé sur des parcmètres. Avant d’ouvrir le lien d’un QR code, vérifiez l’adresse affichée et abstenez-vous au moindre doute.
Comment déjouer une fraude au président avec une voix imitée par IA ?
Ne validez jamais un virement urgent sur la seule foi d’un appel ou d’un message, même si la voix ou le visage semble être celui de votre dirigeant. Raccrochez, rappelez la personne à son numéro habituel et appliquez une validation à deux personnes pour tout virement inhabituel ou changement de RIB.
Le 33700 et Signal Spam fonctionnent-ils toujours ?
Oui. La fiche réflexe de Cybermalveillance.gouv.fr, mise à jour en mai 2026, recommande toujours de signaler les e-mails suspects à Signal Spam et les SMS suspects au 33700, gratuitement. Les faux sites se signalent à Phishing Initiative, et les victimes peuvent être accompagnées par le service 17Cyber, lancé en décembre 2024.
Protégez votre entreprise contre l’hameçonnage
L’hameçonnage évolue sans cesse, mais quelques réflexes et de bonnes protections techniques permettent d’en déjouer une grande partie. Chez ITAK IT, nous aidons les PME d’Île-de-France à sécuriser leur messagerie, à déployer la double authentification et à réagir vite en cas d’incident, dans le cadre de notre offre d’infogérance. Pour faire le point sur la protection de vos équipes, contactez-nous.
