Un jour, vous ouvrez votre boîte mail et découvrez un message prétendument envoyé par votre banque. Il est bien rédigé, le logo est le bon, le ton est formel et rassurant. Le lien vous invite à « mettre à jour vos informations pour des raisons de sécurité ». Vous cliquez, sans méfiance. Ce que vous ne savez pas encore, c’est que vous venez d’être victime de phishing (ou hameçonnage en français). Derrière cette façade crédible, un piège bien ficelé vient d’aspirer vos données sensibles. Bienvenue dans l’univers du phishing, une des cybermenaces les plus anciennes et toujours les plus efficaces sur le Web.

La définition du phishing et ses formes les plus répandues

Le terme phishing trouve son origine dans les années 1990, au cœur de la communauté underground des premiers hackers d’Internet. Il s’agit d’un mot-valise formé à partir de l’anglais “fishing” (pêche) (allusion à l’acte de tendre un appât) et de “phreaking”, une pratique née dans les années 1970 consistant à pirater les systèmes téléphoniques pour passer des appels gratuits. Ce jeu de mots et l’usage de la lettre “ph” au lieu de “f” sont typiques de la culture hacker de cette époque, notamment autour des forums de discussion comme alt.2600 ou des groupes comme le Legion of Doom aux États-Unis. Le phishing a fait son apparition vers 1996, notamment dans les cercles liés à AOL (America Online), qui était alors l’un des principaux fournisseurs d’accès à Internet aux États-Unis. Des pirates envoyaient des messages à d’autres utilisateurs AOL en se faisant passer pour le support technique, demandant leurs identifiants de connexion. À cette époque, l’ingénieur Koceilah Rekouche, parfois cité dans les sources historiques, est l’un des premiers à documenter les techniques de hameçonnage sur les plateformes de messagerie instantanée.

Le fonctionnement du phishing n’a que peu changé depuis : il repose toujours sur la même logique — faire croire à l’utilisateur qu’il interagit avec une entité de confiance (banque, impôts, opérateur, réseau social, etc.), afin de l’inciter à communiquer des données personnelles, financières ou d’identification. D’un point de vue strict, on peut aujourd’hui définir le phishing comme suit : une méthode frauduleuse d’ingénierie sociale visant à obtenir des informations sensibles d’un utilisateur en se faisant passer pour une entité légitime via des canaux numériques divers (email, SMS, appel téléphonique, réseaux sociaux…).

Le phishing comme forme d’ingénierie sociale

Le phishing appartient à la catégorie plus large des attaques dites d’ingénierie sociale, une discipline qui ne s’attaque pas aux machines, mais à l’humain. Elle tire parti des biais cognitifs, des émotions (peur, urgence, autorité, curiosité), et des automatismes psychologiques de ses victimes. Elle exploite la confiance et la méconnaissance technique. Contrairement à une attaque par force brute ou à l’exploitation d’une faille logicielle, le phishing ne nécessite souvent aucun accès privilégié ni compétence technique avancée : une bonne imitation graphique et un message bien rédigé suffisent. C’est justement cette simplicité apparente qui le rend si redoutable.

Les formes les plus répandues de phishing

Avec l’évolution des technologies et la diversification des canaux de communication, le phishing s’est adapté et a pris des formes multiples. Aujourd’hui, il n’est plus seulement question d’e-mails piégés. Voici un tableau synthétique des principales variantes du phishing, avec une explication pour chacune :

Le phishing : Un phénomène mondial, en constante mutation

Le phishing n’est pas un phénomène isolé. Il s’inscrit dans une cyberguerre globale où les groupes de cybercriminels, souvent organisés en réseaux internationaux, rivalisent d’imagination pour contourner les filtres et tromper les utilisateurs. On estime qu’en 2023, plus de 3,4 milliards d’emails de phishing ont été envoyés quotidiennement à travers le monde. Des centres de cybersécurité comme le NIST aux États-Unis, l’ANSSI en France, ou encore Europol à l’échelle européenne, travaillent conjointement pour détecter, anticiper et contrer ces attaques. Pourtant, chaque année, les entreprises signalent des pertes financières colossales liées au phishing, souvent par manque de formation ou de vigilance interne. Le phishing est aujourd’hui reconnu comme l’un des vecteurs d’attaque principaux du ransomware, en servant de première étape pour installer des logiciels malveillants sur les systèmes internes. De là, les pirates peuvent chiffrer les données et exiger une rançon (une mécanique bien rodée).

Comment fonctionne une attaque de phishing ?

Pour qu’une attaque de phishing fonctionne, l’attaquant doit réunir plusieurs ingrédients pour passer outre les règles mises en place en matière de cybersécurité : Un message crédible, un canal de diffusion, un site factice et une méthode de collecte. Voici les principales étapes d’une campagne de phishing classique :

1. Collecte d’informations sur la cible : Avant même de lancer une attaque, le cybercriminel commence par réunir un maximum d’informations sur la personne ou l’organisation visée. Ces données sont souvent disponibles publiquement — on parle alors de reconnaissance passive. Elles peuvent inclure le nom, l’adresse email, le poste occupé dans une entreprise, le nom du supérieur hiérarchique ou les habitudes de navigation. Ces renseignements peuvent être glanés via les réseaux sociaux (LinkedIn, Facebook), les sites institutionnels, les annuaires d’entreprises ou des fuites de données antérieures. Cette première étape permet de personnaliser le message, rendant l’attaque plus crédible et donc plus efficace, notamment dans le cadre du spear phishing ;
2. Création d’un faux message : À partir des informations recueillies, l’attaquant rédige un e-mail, un SMS ou prépare un message vocal, soigneusement calibré pour imiter une entité légitime. Il peut s’agir d’une banque (Société Générale, BNP, Crédit Agricole), d’un service public (CAF, Impôts, Ameli), d’une plateforme commerciale (Amazon, La Poste, Chronopost), ou encore d’un service de messagerie (Microsoft, Google, Yahoo). Le message reprend les logos, les couleurs, le ton, et parfois même des signatures identiques à ceux des véritables communications officielles. Il évoque généralement une urgence ou une anomalie à régler, poussant la victime à agir rapidement sans prendre le temps de réfléchir ;
3. Ajout d’un lien vers un faux site : Le cœur de la tromperie réside dans le lien inséré dans le message. Celui-ci mène vers un site web contrefait, visuellement très proche du site officiel. Le domaine peut différer légèrement (par exemple, “service-impots.gouv.info” au lieu de “impots.gouv.fr”), ou être masqué par un raccourcisseur d’URL. Des outils automatisés permettent aux cybercriminels de cloner intégralement une interface existante en quelques clics. Ces sites frauduleux hébergent souvent un formulaire de connexion ou un champ pour saisir des données bancaires. Ils sont conçus pour fonctionner quelques jours à peine avant d’être désactivés ou migrés ailleurs, échappant ainsi aux autorités :
4. Collecte des données : Une fois sur le faux site, la victime pense accéder à un espace sécurisé. Elle entre ses identifiants, son mot de passe, son numéro de carte bancaire ou toute autre information sensible. Ce que l’utilisateur ne sait pas, c’est que les champs qu’il remplit sont reliés directement à une base de données contrôlée par l’attaquant. Dans certains cas, les données sont transmises en temps réel à un tableau de bord exploité par le pirate, permettant une réaction quasi instantanée. Parfois, un fichier malveillant est également téléchargé à l’insu de l’utilisateur, préparant le terrain pour d’autres attaques (malware, ransomware, etc.) ;
5. Exploitation des données : C’est l’aboutissement du processus. Une fois les données volées, elles peuvent être utilisées de plusieurs manières : connexion immédiate au compte pour effectuer des virements bancaires ou des achats frauduleux, piratage de boîte mail pour diffuser à son tour des spams ou du phishing à ses contacts, revente d’identifiants sur le dark web ou usage pour des campagnes de chantage en ligne. Dans les cas les plus graves, les attaquants utilisent les données récupérées pour usurper l’identité complète de la victime (adresse, numéro de téléphone, état civil…) et souscrire à des crédits ou créer de faux documents.

Les cybercriminels perfectionnent leur approche. Grâce aux failles de sécurité ou à l’automatisation (avec des bots ou des outils open source), une campagne de phishing peut toucher plusieurs milliers d’internautes en quelques heures seulement. Voici quelques techniques courantes utilisées dans les campagnes de phishing :

Dans le cas du spear phishing, l’attaque est encore plus subtile : Le pirate cible une personne précise, et personnalise le contenu pour inspirer la confiance. C’est particulièrement redoutable dans les environnements professionnels où la compromission d’un compte email peut ouvrir la voie à d’autres fraudes internes.

Un exemple de mail phishing réellement reçu pour comprendre

Parmi les nombreux exemples de phishing circulant chaque jour, voici un message reçu par notre agence web, qui imite habilement une communication officielle de la société Meta (anciennement Facebook). Cet email cherche à provoquer une réaction rapide en évoquant des violations supposées du droit d’auteur et des sanctions graves. Décortiquons-le ensemble.

Le contenu du message frauduleux

Voici le message que nous avons reçu :

Objet : Copyright violations detected — immediate action required

Dear Agence Facem Web,

We would like to inform you that during a routine review of your account, we have discovered some copyright violations. To protect the interests of all parties involved, we request that you immediately correct the following issues.

Infringement details:

• Unauthorized use of logo: You have posted a brand logo without official permission.
• Misleading advertising information: There are signs of providing false information about your product to attract consumers.
• Copying content: The images or text you have used may be copyrighted.

Consequences of not resolving:

• Unable to post about products, promotions.
• Limited customer reach.
• Account will not be able to be linked and paid by card.
• You will face serious legal problems.

How to avoid account lockout:

• Please refer to the copyright guide to learn how to protect your account.
• Contact us immediately via the support inbox on Facebook to receive the necessary support from the Meta team: XXXX

Resolution time: 24 hours from the time of receiving this notice. If you do not take the necessary measures, your account may be disabled without further notice from us.

The Meta support team will be ready to assist you in resolving the issue immediately.

Regards,
Meta Platforms, Inc.

This message has been sent to x.deloffre@facemweb.com. If you do not want to receive these emails from Meta in the future, please unsubscribe.

Meta Platforms, Inc., Community Support, 1 Meta Way, Menlo Park, CA 94025

Analyse et signes caractéristiques de cet exemple de phishing

Ce qu’il ne faut surtout pas faire

• Ne jamais cliquer sur les liens présents dans le message ;
• Ne jamais répondre à l’email ni transmettre d’informations personnelles ;
• Ne pas ouvrir ou télécharger de fichiers joints potentiellement piégés.

Ce que vous devriez faire

• Vérifier le message depuis votre compte Meta Business Suite ou Facebook (sans passer par l’email) ;
• Signaler immédiatement le message comme phishing à votre hébergeur mail ou à l’équipe de sécurité de votre entreprise ;
• Activer l’authentification à deux facteurs sur vos comptes professionnels pour renforcer leur protection.

Le phishing par usurpation de marque, notamment de plateformes géantes comme Facebook, Google ou Microsoft, est l’un des plus répandus. Gardez à l’esprit que les véritables équipes de support ne vous demanderont jamais de données sensibles par e-mail, encore moins dans l’urgence.

Que faire pour se protéger du phishing ?

Le phishing est, vous l’avez compris, une menace numérique insidieuse qui repose moins sur la faille technique que sur la faille humaine. Si les arnaques évoluent, de nombreuses bonnes pratiques permettent de s’en prémunir efficacement. Voici les principaux réflexes à adopter, que vous soyez un particulier, une entreprise ou une organisation.

1. Développer une vigilance numérique au quotidien

• Analyser les e-mails avec attention : méfiez-vous des messages alarmants ou trop urgents. Lisez toujours l’adresse complète de l’expéditeur (et pas seulement son nom d’affichage) ;
• Vérifier les liens avant de cliquer : survolez les liens pour afficher l’URL réelle (sans cliquer). Une différence subtile dans le nom de domaine peut signaler un piège (ex : banque-francaise.com vs banque-francaise.fr) ;
• Ne jamais transmettre d’informations sensibles par e-mail : les institutions sérieuses ne vous demanderont jamais de saisir vos mots de passe, coordonnées bancaires ou code PIN par email ou SMS.

2. Renforcer la sécurité de ses comptes

• Utiliser l’authentification à deux facteurs (2FA) : elle ajoute une couche de sécurité supplémentaire en demandant une validation via téléphone, application ou token physique ;
• Changer régulièrement ses mots de passe : et utiliser des mots de passe longs, uniques et complexes. Évitez les noms communs, dates de naissance ou réutilisation entre plusieurs services ;
• Utiliser un gestionnaire de mots de passe : ces outils (ex : Bitwarden, Dashlane, 1Password) permettent de stocker et de générer des identifiants uniques de manière sécurisée.

3. Mettre à jour ses logiciels et systèmes

• Maintenir les navigateurs à jour : Les navigateurs récents intègrent souvent des filtres anti-phishing ;
• Activer les protections anti-phishing natives : sur Chrome, Firefox, Safari ou Edge, des options permettent de bloquer automatiquement les sites frauduleux connus ;
• Installer un antivirus ou une suite de sécurité : certains logiciels comme Kaspersky, ESET, Norton ou Bitdefender offrent une protection proactive contre les URL douteuses, les scripts malveillants ou les pièces jointes piégées.

4. Sensibiliser autour de soi

• Former les collaborateurs en entreprise : la cybersécurité commence par la prévention. Des sessions régulières de sensibilisation ou des tests de phishing internes peuvent aider à développer les bons réflexes ;
• Informer les membres de sa famille : les adolescents, les personnes âgées ou peu technophiles sont souvent les plus vulnérables. Expliquez-leur comment détecter les tentatives de fraude.

5. En cas de doute… ne cliquez pas

Mieux vaut perdre quelques minutes à vérifier qu’un lien est légitime que de risquer une compromission de vos données ou comptes. Si un message vous semble suspect :

• Contactez directement le service concerné via son site officiel ;
• Signalez l’email comme spam ou phishing à votre fournisseur de messagerie (Gmail, Outlook, Yahoo…) ;
• Supprimez le message sans l’ouvrir, surtout s’il contient une pièce jointe ou vous demande de “vérifier vos informations”.

6. Utiliser des outils spécialisés

Nous vous présentons ici trois outils bien utiles :

Se protéger du phishing n’est pas une action ponctuelle, mais un ensemble d’habitudes à adopter durablement. Plus vous développez votre culture numérique, plus vous serez capable de repérer les arnaques. Dans un monde où le numérique s’infiltre partout (banques, impôts, réseaux sociaux, santé) la vigilance est votre meilleur rempart.

Enfin, n’oubliez jamais : si une offre ou une alerte semble trop belle (ou trop alarmante) pour être vraie… c’est probablement une tentative de phishing.