Phishing : reconnaître un hameçonnage bancaire et réagir

L'hameçonnage (phishing) consiste à vous faire remettre vous-même vos données. C'est, de très loin, la première cybermenace en France : environ 108 000 demandes d'assistance en 2025 auprès de Cybermalveillance.gouv.fr, en hausse de 70 %, soit un tiers de toutes les demandes reçues, tous publics confondus.

Le conseil de notre version d'origine était faux

Nous écrivions : « Un bon antispam et antivirus sur votre ordinateur est le meilleur moyen. » Non. Un antivirus ne détecte pas un message qui ne contient aucun code malveillant — et c'est précisément le cas de l'hameçonnage moderne, qui repose uniquement sur la persuasion. La seule défense efficace est un réflexe de vérification, pas un logiciel.

De même, nous conseillions de repérer les fautes d'orthographe. Cet indice n'est plus fiable : les messages frauduleux sont aujourd'hui rédigés proprement, et intègrent souvent des données réelles issues de fuites — votre IBAN, votre numéro de client, votre plaque d'immatriculation — pour asseoir leur crédibilité.

Les signaux qui tiennent encore

• L'urgence. Compte bloqué, colis en attente, amende à régler sous 48 h, remboursement à réclamer. La pression temporelle est là pour empêcher la vérification.
• La demande d'action inhabituelle : saisir un code reçu par SMS, valider une notification dans l'application bancaire, « sécuriser » ses fonds sur un autre compte.
• Le canal. Une banque n'envoie pas de lien de connexion par SMS. Elle vous demande d'ouvrir vous-même son application ou son site.
• L'adresse réelle du lien. Survolez-le (sur mobile, appui long) : le domaine affiché doit être exactement celui de votre banque, et pas une variante (.info, tiret ajouté, sous-domaine trompeur).
• L'appel téléphonique associé. Le message prépare le terrain ; l'appel du « conseiller » vient ensuite. L'affichage du numéro de votre agence se falsifie en quelques secondes : il ne prouve rien.

La règle absolue

Aucun établissement — banque, émetteur de carte prépayée, impôts, opérateur — ne vous demandera jamais de communiquer un mot de passe, un code de validation, le cryptogramme au dos de votre carte, ni de valider une opération dans votre application au téléphone.

Si on vous le demande, c'est une fraude. Sans exception, quel que soit le degré de connaissance que votre interlocuteur semble avoir de votre dossier.

Vous avez cliqué : les cinq gestes

1. Faites opposition immédiatement sur la carte ou le compte concerné.
2. Changez le mot de passe du service visé — et de tous les services où vous l'aviez réutilisé.
3. Contestez par écrit les opérations non autorisées auprès de votre banque. Vous disposez de 13 mois (70 jours hors Espace économique européen), et la banque doit rembourser immédiatement une opération non autorisée, avec une franchise plafonnée à 50 €.
4. Signalez le message sur signal-spam.fr, et le SMS frauduleux au 33700. Les URL de faux sites se signalent sur phishing-initiative.fr.
5. Déposez plainte, et faites-vous accompagner via cybermalveillance.gouv.fr.

Réduire la surface d'exposition

Le meilleur moyen de rendre un hameçonnage inoffensif reste de ne jamais exposer la carte qui compte :

• payez en ligne avec une carte virtuelle à numéro jetable ou plafond dédié ;
• passez par un portefeuille (PayPal, Apple Pay, Wero), qui ne transmet pas votre numéro au marchand ;
• ou utilisez une carte prépayée dédiée aux achats en ligne, dont le solde chargé borne la perte possible.

Aucune de ces solutions n'empêche l'hameçonnage. Toutes limitent ce qu'il peut coûter.

Voir aussi comment protéger son compte des pirates, que faire en cas de fraude et notre comparatif des cartes prépayées.

Sources : Cybermalveillance.gouv.fr, rapport d'activité et état de la menace 2025 (mars 2026) et fiche réflexe hameçonnage ; articles L133-18 à L133-24 du Code monétaire et financier ; dispositifs officiels de signalement Signal Spam, 33700 et Phishing Initiative.