Qu'est-ce que le phishing ? (hameçonnage) Définition et exemples

Une attaque de phishing peut entraîner des pertes financières immédiates, mais aussi des risques de fraudes ultérieures ou d'usurpation d'identité. De plus, avec l'émergence constante de nouvelles technologies, les fraudeurs développent des approches de plus en plus efficaces, capables de tromper un plus grand nombre de personnes.

Une étude de 2024 a révélé que les e-mails de phishing générés entièrement par IA étaient 350 % plus efficaces pour inciter les victimes à cliquer sur un faux lien que les e-mails traditionnels, avec des performances comparables à celles des e-mails de phishing conçus par des experts. Cela signifie que l'escroc ordinaire peut désormais lancer des attaques aussi sophistiquées que celles des fraudeurs professionnels.

Dans ce contexte, apprendre à repérer les attaques de phishing est plus crucial que jamais. Lisez la suite pour découvrir les différents types de phishing, comment l'IA change la donne, et ce que vous pouvez faire pour protéger vos données et votre argent durement gagné.

Qu'est-ce qu'une attaque de phishing (hameçonnage) ?

Le phishing, ou hameçonnage, est un type de cyberattaque faisant appel à des tactiques d'ingénierie sociale, dans laquelle un escroc se fait passer pour une personne ou une organisation de confiance afin de vous amener à divulguer des données sensibles telles que des mots de passe, des numéros de carte de crédit ou des informations d'identification personnelle. Si vous tombez dans le piège, l'escroc peut alors pirater vos comptes, voler de l'argent, voire procéder à une usurpation d'identité.

Les attaques de phishing peuvent recourir à de nombreuses stratégies différentes pour vous tromper. Certaines, comme les escroqueries au support technique, peuvent impliquer un escroc qui vous appelle à l'improviste en se faisant passer pour un agent de support devant résoudre un problème urgent sur votre appareil. D'autres peuvent s'appuyer sur de faux e-mails convaincants contenant des liens dangereux qui déclenchent des téléchargements de malwares.

Fonctionnement du phishing

Les attaques de phishing jouent sur votre confiance et utilisent des tactiques d'urgence pour vous amener à divulguer volontairement vos données personnelles. Les escrocs utilisent divers prétextes, méthodes de contact et stratégies d'ingénierie sociale pour convaincre leurs victimes qu'ils sont bien ce qu'ils prétendent être.

Voici les quatre étapes de base d'une attaque de phishing classique :

1. Préparation : tout d'abord, les escrocs ont besoin de vos informations personnelles, qu'ils peuvent trouver sur un site public de recherche de personnes ou dans le cadre d'une violation de données. Ils créent ensuite un prétexte convaincant pour vous contacter, comme un faux prix à gagner, une alerte de compte ou une menace directe, parfois personnalisée pour vous cibler spécifiquement.
2. Appât : l'escroc se fait passer pour une personne de confiance, par exemple un agent de l'administration fiscale, une entreprise légitime ou un assistant du service d'assistance informatique, et vous contacte par SMS, e-mail, message sur les réseaux sociaux ou appel téléphonique. Il utilise souvent une identité visuelle convaincante pour donner une apparence authentique à son approche.
3. Capture : si vous cliquez sur un lien de phishing dans un e-mail, téléchargez une fausse pièce jointe ou communiquez volontairement des informations à l'escroc, celui-ci peut s'emparer de données sensibles telles que des informations financières ou des mots de passe, avant de couper tout contact.
4. Exploitation : enfin, l'escroc peut utiliser les informations volées à des fins personnelles : les revendre sur le Dark Web, s'en servir pour vider directement votre compte bancaire, ou commettre une usurpation d'identité ou une fraude, comme ouvrir de nouvelles cartes de crédit à votre nom.

Les escrocs utilisent diverses stratégies pour vous amener à divulguer vos informations sensibles. Parmi les tactiques auxquelles ils peuvent avoir recours, on trouve notamment :

• Ingénierie sociale : c'est lorsqu'un criminel manipule les émotions et le sens de la confiance d'une personne.
• Manipulation des hyperliens : les cybercriminels dissimulent souvent des sites web de phishing derrière des URL d'apparence légitime.
• Rendu graphique : les attaquants peuvent envoyer des e-mails sous forme d'images pour contourner les analyses et filtres anti-phishing.
• Redirections de sites : les criminels peuvent vous envoyer sur un site de phishing avant de vous rediriger vers un site légitime.
• Raccourcissement de liens : les cybercriminels peuvent dissimuler des URL de sites web dangereux en les raccourcissant.
• Typosquatting : les attaquants imitent des sites web courants avec des URL comportant des fautes de frappe, en remplaçant par exemple des lettres par des chiffres.
• Générateurs de voix d'IA : la technologie d'IA permet aux escrocs de déguiser leur voix pour ressembler à quelqu'un d'autre ou imiter une personne en qui vous avez confiance.
• Chatbots : les cybercriminels peuvent utiliser des chatbots d'IA pour créer à grande échelle des messages de phishing hautement personnalisés et sans erreurs.

Types d'attaques de phishing

Les escroqueries par phishing peuvent prendre de nombreuses formes. Le type d'attaque qu'un escroc utilise dépend de ses préférences, de ce qu'il sait sur la cible, de la plateforme de communication choisie et de l'objectif final.

Voici quelques exemples des types d'attaques de phishing les plus courants.

Phishing par e-mail

Des exemples d'e-mails de phishing montrent comment les cybercriminels tentent de tromper leurs victimes pour leur soutirer des informations sensibles, en les incitant à télécharger des malwares à leur insu ou en les dirigeant vers un site web non sécurisé où on leur demande de saisir volontairement des informations privées.

Smishing (phishing par SMS)

Les attaques de phishing véhiculées par SMS sont appelées smishing. Elles consistent en l'envoi de SMS conçus pour sembler provenir de sources légitimes, telles qu'une banque, un détaillant ou une société de livraison comme DPD. Mais le message contient généralement un lien menant vers une fausse page de connexion ou déclenchant un téléchargement de malware.

Une vague majeure d'attaques de smishing s'est produite en 2024 et 2025 sous la forme d'escroqueries liées aux péages. Des SMS frauduleux affirmaient que les victimes avaient des frais de péage impayés et risquaient des amendes ou une suspension, avec un lien les dirigeant vers un site web où leurs informations de paiement étaient collectées frauduleusement. Le groupe à l'origine de ces escroqueries a eu un tel succès dans le vol d'argent et d'informations de carte de crédit que Google les poursuit désormais en justice.

Vishing (phishing vocal)

Dans une attaque de phishing vocal, les escrocs appellent leurs victimes et les poussent à divulguer des informations personnelles, comme des mots de passe ou des coordonnées bancaires, en se faisant généralement passer pour les forces de l'ordre, des organismes gouvernementaux ou des représentants bancaires.

Ils utilisent des tactiques telles que l'usurpation d'identifiant d'appelant et le clonage vocal par IA pour rendre les appels plus crédibles, et tentent de créer un sentiment d'urgence afin d'empêcher leurs victimes de réfléchir posément.

Spear phishing

Les attaques de spear phishing ciblent un individu, une entreprise ou une organisation spécifique plutôt que de ratisser large. En règle générale, les auteurs de spear phishing investissent un temps et des efforts considérables dans la recherche sur leurs cibles et dans la construction d'une identité crédible. Cela leur permet d'élaborer des approches plus personnalisées, ayant de meilleures chances de tromper la victime ciblée.

Whaling

Les attaques de whaling ressemblent aux attaques de spear phishing, mais ciblent spécifiquement les directeurs généraux (PDG), les directeurs des opérations (COO) ou d'autres cadres supérieurs d'une entreprise. L'objectif d'une attaque de whaling est d'amener des personnes influentes à divulguer des données d'entreprise confidentielles pouvant être utilisées à des fins de fraude ou d'extorsion.

Ces attaques sont souvent plus sophistiquées que les attaques de phishing classiques et nécessitent des recherches approfondies de la part des escrocs. Elles reposent généralement sur de faux e-mails semblant provenir de sources de confiance au sein de l'entreprise ou de fournisseurs ou organismes extérieurs légitimes.

Clone phishing

Dans les attaques de clone phishing, les escrocs créent une version presque identique d'un e-mail que les victimes ont déjà reçu. L'e-mail cloné est envoyé depuis une adresse e-mail très similaire à celle utilisée par l'expéditeur original du message, la seule différence étant une nouvelle pièce jointe ou un nouveau lien.

Les e-mails de clone phishing cherchent à confondre les victimes pour qu'elles cliquent sur la mauvaise version du message. Et si les victimes suivent ensuite un lien ou téléchargent une pièce jointe dans la fausse version, elles sont redirigées vers un site web malveillant ou infectent leur appareil à leur insu avec un malware voleur de données.

Phishing par fenêtre publicitaire

Les escroqueries de phishing par fenêtre publicitaire incitent les internautes à installer divers types de malwares sur leurs appareils en recourant à des tactiques d'intimidation. Un exemple courant de phishing par fenêtre publicitaire implique une fausse alerte de virus qui s'affiche et avertit la cible que son appareil a été infecté.

L'alerte peut prétendre que le seul moyen de supprimer le virus est d'installer un logiciel antivirus, mais les victimes seront en réalité orientées vers une fausse version qui vole des données une fois installée. Les grandes marques sont souvent imitées, les escrocs exploitant des noms de confiance pour piéger leurs cibles dans des escroqueries au nom de Microsoft ou de Norton, par exemple.

Compromission de messagerie d'entreprise (BEC)

Les attaques de compromission de messagerie d'entreprise impliquent des cybercriminels se faisant passer pour une figure de confiance au sein d'une entreprise (un responsable RH, le PDG ou le propriétaire) afin de manipuler des employés pour qu'ils envoient de l'argent ou partagent des données précieuses. Ces attaques sont conçues pour contourner les filtres antispam des entreprises en paraissant légitimes, et touchent souvent durement les propriétaires de petites entreprises.

Par exemple, un escroc peut se faire passer pour un membre de l'équipe de paie et envoyer une demande à un employé moins expérimenté, lui demandant de mettre à jour les coordonnées bancaires d'un autre employé. En cas de succès, le salaire de la victime est envoyé sur le compte de l'escroc à la place. En 2025, des soi-disant pirates de la paie aux États-Unis sont parvenus à accéder aux comptes Workday de plusieurs universités grâce à des attaques BEC, et à détourner les salaires.

Angler phishing ou phishing sur les réseaux sociaux

L'angler phishing est une escroquerie sur les réseaux sociaux qui se produit sur des plateformes comme Facebook et X. Les arnaqueurs attendent que des cibles publient des questions ou des plaintes sur les pages d'entreprises, puis se font passer pour le service d'assistance afin de les convaincre de communiquer des informations personnelles ou de cliquer sur des liens malveillants.

Par exemple, supposons que vous publiiez une plainte sur la page Facebook d'American Airlines. Un escroc se faisant passer pour le service client pourrait répondre en demandant vos coordonnées de réservation et vos informations de paiement. Si vous tombez dans le piège, il peut alors utiliser vos informations pour effectuer des paiements sur un autre site web.

Phishing par code QR (quishing)

Les escrocs au quishing intègrent un lien faux ou frauduleux dans un code QR et l'envoient par e-mail ou SMS. Si vous le scannez, vous êtes redirigé vers un site d'escroquerie conçu pour capturer des informations sensibles telles que votre nom d'utilisateur, votre mot de passe ou vos informations financières. Étant donné que de nombreux systèmes de sécurité peinent à analyser les URL intégrées dans des images, et que les codes QR ne proposent pas d'aperçu des liens, les attaques de quishing peuvent souvent contourner entièrement les filtres antispam.

Des escrocs au quishing ont même été observés en train de placer physiquement des autocollants de codes QR frauduleux par-dessus des codes QR valides dans le monde réel, notamment dans des endroits où les gens s'attendent à en voir, comme les horodateurs ou les tables de restaurant.

Phishing basé sur l'IA

Grâce aux deepfakes, à l'automatisation et à la personnalisation, les outils basés sur l'IA engendrent de nouvelles attaques plus trompeuses et, malheureusement, plus efficaces. On estime que 86 % des attaques de phishing utilisent désormais l'IA sous une forme ou une autre.

L'IA peut analyser votre comportement en ligne pour générer automatiquement des e-mails de phishing ciblés, personnalisés et sans erreurs. Elle peut également créer de faux sites web d'apparence réaliste ainsi que des deepfakes vocaux et vidéo convaincants.

La bonne nouvelle, c'est que les avancées de l'IA peuvent également contribuer à vous protéger. Un récent rapport sur les menaces de Gen a révélé que leur IA a réussi à détecter et bloquer plus de 140 000 sites web générés par IA.

Comment repérer une attaque de phishing avant de cliquer sur un lien

De nos jours, les auteurs de phishing sont bien plus habiles pour appâter leurs cibles grâce aux technologies en constante évolution. Il existe néanmoins plusieurs façons de repérer une attaque de phishing avant qu'elle ne devienne un problème. Soyez attentif aux éléments suivants :

• Offres incroyables : méfiez-vous des e-mails proposant des produits ou des services excessivement bon marché. Si cela semble trop beau pour être vrai, c'est probablement le cas.
• Demandes d'informations personnelles : les institutions légitimes telles que les banques ne demandent jamais de coordonnées de compte par e-mail. Ne communiquez jamais d'informations sensibles en réponse à un e-mail non sollicité.
• Fautes d'orthographe et de grammaire : les e-mails qui contiennent des fautes de frappe et des formulations maladroites sont fréquents dans les e-mails et les SMS de phishing. Ce signe est cependant moins courant maintenant que les escrocs peuvent utiliser l'IA pour générer des textes sans erreurs.
• Adresses génériques : les auteurs de phishing ne prennent généralement pas la peine de personnaliser leurs e-mails, car ils souhaitent simplement ratisser large et attraper le plus grand nombre de personnes possible. Vous pouvez recevoir un e-mail avec une formule de politesse générique, telle que « Bonjour Monsieur » ou « Cher titulaire de compte ».
• Formulations urgentes : les auteurs de phishing cherchent à créer un sentiment d'urgence pour vous inciter à cliquer rapidement sur des liens. Ne cédez pas à la pression. Prenez le temps de lire et de répondre aux e-mails.
• Expéditeurs inconnus : supprimez les e-mails provenant d'expéditeurs inconnus sans cliquer sur quoi que ce soit. C'est particulièrement important si vous ne pouvez pas vérifier l'identité de l'expéditeur.
• Expéditeurs familiers : même les adresses e-mail apparemment familières peuvent être fausses. Si le ton, le canal de communication ou le contenu vous semble suspect, tentez de confirmer l'identité de l'expéditeur en le contactant par un autre moyen de communication, comme un SMS, un appel téléphonique ou un message.
• Liens et pièces jointes suspects : avant de cliquer sur un lien ou de télécharger une pièce jointe, survolez le lien et inspectez l'URL à la recherche de signes indiquant qu'il pourrait être frauduleux, comme des chiffres à la place de lettres.

Comment savoir si j'ai cliqué sur un lien de phishing ?

Il se peut que vous ne vous rendiez pas compte immédiatement que vous avez cliqué sur un lien de phishing, car les signaux d'alerte peuvent mettre un certain temps à apparaître. Les principaux signes d'alerte indiquant que vous avez été piégé comprennent l'arrivée sur un site web qui ne semble pas tout à fait correct, la constatation qu'un téléchargement a démarré dans votre navigateur et la présence de demandes inappropriées d'informations sensibles.

Si vous avez cliqué sur un lien et avez des raisons de douter de sa légitimité, soyez attentif aux éléments suivants :

• Redirections suspectes : si un clic sur un lien vous redirige vers une URL différente de celle sur laquelle vous avez cliqué initialement, vous avez peut-être été redirigé vers un site web malveillant.
• Fausses URL de sites web : si le site web vers lequel mène un lien ne ressemble pas à la version légitime, il s'agit probablement d'un faux site web de phishing. Recherchez le vrai site web sur Google pour vérifier si vous êtes sur un faux site.
• Demandes d'informations personnelles : y a-t-il un formulaire qui demande des informations sensibles, telles que votre numéro de sécurité sociale ou vos informations de compte sans raison apparente ? Si c'est le cas, il pourrait s'agir d'un escroc tentant d'obtenir vos informations.
• Offres trop belles pour être vraies : si un site web accessible via un lien vous propose des vacances gratuites ou un emploi facile avec un salaire mirobolant, c'est un signal d'alarme indiquant que vous êtes en train de vous faire piéger.
• Formulations alarmistes : le langage urgent dans les messages, les contenus de site web ou les fenêtres contextuelles peut être une tentative de vous pousser à cliquer sur un lien ou à saisir des informations sans réfléchir.
• Fautes de grammaire : même si l'e-mail ne contient pas de fautes de grammaire, si le lien vous dirige vers une page web ou un téléchargement présentant des fautes de grammaire ou d'orthographe étranges, soyez vigilant.
• Infections par malware : après avoir cliqué sur un lien, si votre navigateur ou votre ordinateur affiche immédiatement une notification de téléchargement ou une alerte d'infection par malware, le lien est peut-être malveillant.

Que faire si vous avez cliqué sur un lien de phishing ?

Si une escroquerie par phishing vous incite à cliquer sur un lien malveillant, il est important d'agir rapidement pour minimiser les dommages. Dans un premier temps, cessez toute interaction. Arrêtez de communiquer avec l'attaquant, annulez les téléchargements en cours et fermez le site usurpé si l'URL vous y a redirigé. Ensuite, sécurisez votre appareil et commencez à surveiller votre crédit et vos autres comptes pour détecter les signes de fraude.

Voici un guide simple, étape par étape, sur ce qu'il faut faire si vous réalisez avoir cliqué sur un lien de phishing :

1. Cessez toute interaction : arrêtez immédiatement de répondre à l'escroc et annulez toute action en cours, comme les téléchargements actifs. Signalez l'appel, l'e-mail ou le message comme spam et bloquez l'expéditeur.
2. Déconnectez-vous d'Internet : la déconnexion d'Internet peut interrompre les transferts de données en cours et limiter la propagation des malwares, vous laissant ainsi le temps de résoudre le problème.
3. Analysez votre appareil à la recherche de malwares : utilisez un logiciel antivirus comme Norton 360 Deluxe pour analyser votre appareil à la recherche de malwares persistants et les supprimer, restaurant ainsi votre confidentialité.
4. Changez vos mots de passe : mettez à jour vos mots de passe sur tous les comptes potentiellement compromis en utilisant de nouveaux mots de passe sécurisés.
5. Activez l'authentification à deux facteurs : protégez davantage vos comptes les plus sensibles grâce à l'étape de vérification supplémentaire requise par l'authentification à deux facteurs.
6. Contactez vos prestataires de carte de crédit et vérifiez vos relevés : si vous avez communiqué vos informations de carte de crédit à un auteur de phishing ou téléchargé un malware susceptible de les avoir volées, contactez votre émetteur de carte de crédit pour bloquer votre carte et empêcher les achats non autorisés.
7. Surveillez vos comptes : vérifiez régulièrement vos comptes pour détecter les signes d'usurpation d'identité et de fraude. Ces signes peuvent apparaître des mois après une attaque de phishing. Envisagez donc de mettre en place une surveillance du crédit pour une couverture continue.
8. Signalez l'attaque de phishing : signalez les attaques de phishing à Signal Spam ou, si vous en avez été victime, déposez un signalement auprès des autorités via le portail THESEE.

Le phishing reste la principale méthode utilisée par les cybercriminels pour voler des informations personnelles et/ou bancaires aux internautes. Si vous vous retrouvez dans le viseur d'une telle attaque, sachez que vous êtes loin d'être seul. L'essentiel est de prendre des mesures pour éviter d'autres dommages et de renforcer vos défenses afin de minimiser les risques à l'avenir.

Défendez-vous contre les attaques de phishing avec Norton

Alors que les cybercriminels continuent de faire évoluer leurs stratégies de phishing et d'escroquerie, des logiciels de sécurité avancés peuvent contribuer à renforcer vos défenses. Norton 360 Deluxe vous aide à protéger vos appareils et à naviguer sur le web de manière plus sécurisée, grâce à une détection des escroqueries basée sur l'IA qui peut contribuer à bloquer les tentatives de phishing et à empêcher les escrocs de voler vos données lorsque vous cliquez sur des liens malveillants.

De plus, grâce à une puissante protection contre les malwares et les virus, vous disposez d'un moyen efficace pour identifier et supprimer tout logiciel malveillant qui s'infiltrerait sur votre appareil via une attaque de phishing.

FAQ

Qui sont les cibles des attaques de phishing ?

Tout le monde peut être visé par une attaque de phishing. Pour augmenter leurs chances de réussite, les phisheurs ciblent souvent le plus grand nombre possible d'adresses e-mail ou de numéros de téléphone.

Peut-on se faire escroquer par un téléchargement non sollicité ?

Oui, un téléchargement non sollicité se produit lorsqu'un site web ou une application télécharge un logiciel malveillant sur votre appareil à votre insu et sans votre consentement. Cela peut résulter d'un clic sur un lien dans un message de phishing, et peut accroître le risque que vos mots de passe, vos informations personnelles ou vos données financières tombent entre de mauvaises mains.

Dois-je réinitialiser mon téléphone si j'ai cliqué sur un lien de phishing ?

Dans la plupart des cas, réinitialiser votre téléphone après avoir cliqué sur un lien de phishing n'est pas d'une grande utilité. La restauration des paramètres d'usine peut toutefois permettre d'éliminer un spyware ou des virus installés lors d'une attaque de phishing. Mais cela doit être considéré comme un dernier recours, car vous perdez également toutes les données stockées sur votre appareil, à moins de créer une sauvegarde.

Peut-on se faire arnaquer en ouvrant un SMS ?

Non, ouvrir un SMS frauduleux n'est pas risqué en soi. En revanche, cliquer sur des liens dans ces SMS, télécharger des pièces jointes ou y répondre peut vous exposer à des malwares ou vous piéger pour vous faire révéler des informations personnelles.