Un faux remboursement des impôts, un colis bloqué, une alerte de sécurité sur votre compte bancaire : le courriel d’hameçonnage, ou phishing, imite un expéditeur de confiance pour vous soutirer des informations. D’après la fiche Service-Public consacrée à l’hameçonnage, vérifiée le 10 avril 2026, l’escroc se fait passer pour un site familier, un organisme officiel ou un contact dont le compte a été piraté, afin de récupérer des données personnelles ou bancaires. Les prétextes les plus courants sont de fausses annonces de remboursement, des demandes urgentes de règlement d’un impayé, de prétendus renforcements de la sécurité d’un compte, des problèmes de livraison de colis et de faux tirages au sort. Voici comment repérer ces messages et à qui les signaler.
Les signes qui doivent vous alerter
- Un expéditeur inattendu : une société dont vous n’êtes pas client, ou une adresse qui ne figure pas dans vos contacts.
- Une adresse qui ne ressemble pas à celle d’un service officiel ou familier. Attention, une adresse connue peut aussi être usurpée : le ministère de l’Intérieur conseille alors de confirmer la demande par un autre canal.
- Des fautes d’orthographe ou de grammaire, des tournures étranges ou une signature inhabituelle.
- Un lien vers un domaine sosie. La fiche Ma Sécurité sur l’hameçonnage, mise à jour le 17 mars 2026, cite des adresses sosies comme « impots.gouvv.fr », ou « infocaf.org » au lieu du site légitime « www.caf.fr ».
- Une demande anormale : le ministère rappelle qu’aucun organisme n’a le droit de vous demander le code de votre carte bancaire.
- Un poste mal protégé : le ministère recommande d’installer un antivirus à jour et d’activer l’avertissement anti-filoutage de votre navigateur.
Vérifier un lien sans cliquer
Sur ordinateur, comme le conseille Ma Sécurité, passez la souris sur le lien sans cliquer : l’adresse complète de destination s’affiche. Comparez-la à celle du site officiel, caractère par caractère, car une seule lettre doublée suffit à changer de site. Retenez surtout le principe posé par Service-Public : les administrations et les grandes plateformes en ligne ne demandent jamais de renseignements sensibles par message ou par téléphone. Un courriel qui réclame un mot de passe, un code confidentiel ou un numéro de carte doit donc être traité avec la plus grande méfiance.
Face à un mail suspect : les bons gestes, dans l’ordre
- Ne cliquer sur aucun lien, ne pas ouvrir les pièces jointes et ne pas répondre.
- Ne transmettre aucune information personnelle, même si l’expéditeur se présente comme quelqu’un que vous connaissez.
- Conserver les preuves : le message lui-même, une capture d’écran du site frauduleux et son adresse (URL). Ces éléments seront utiles pour un signalement ou une plainte.
- Signaler le courriel sur Signal Spam. Il faut créer un compte avec une adresse électronique, puis transmettre le code source du message. Vous ne serez pas informé des suites, mais les experts peuvent transmettre le signalement, de façon anonyme, au procureur de la République ou à la DGCCRF.
- Signaler le site sur Phishing Initiative si le message renvoie vers une page piégée : vous soumettez le lien suspect, les experts analysent le site et peuvent le faire bloquer dans les navigateurs.
- Au travail, prévenir le service informatique. Ma Sécurité recommande de transférer le courriel au service informatique et au responsable de la sécurité des systèmes d’information, puis d’attendre leur réponse avant de le supprimer.
- Supprimer le message, puis vider la corbeille.
Vous avez cliqué ou donné vos coordonnées bancaires
Si des débits ont eu lieu, contactez votre banque pour faire opposition, contester les opérations et demander leur remboursement. La démarche dépend de ce que vous avez communiqué : un numéro de carte bancaire, ou un numéro de compte permettant des virements. Vous pouvez porter plainte au commissariat ou à la gendarmerie de votre choix, qui sont tenus de l’enregistrer et vous remettent un récépissé, ou par courrier adressé au procureur de la République. Le service 17Cyber assiste en ligne les victimes de cybermalveillance. Pour une tentative reçue par SMS ou par appel sur un téléphone mobile, le signalement se fait au 33 700.
Les auteurs encourent de lourdes peines : l’escroquerie est punie de 5 ans de prison et 375 000 euros d’amende pour une personne physique, et la simple tentative est punie des mêmes peines. La collecte frauduleuse de données personnelles est passible de 5 ans de prison et 300 000 euros d’amende.
Questions fréquentes
Un message venant d’une adresse que je connais peut-il être frauduleux ?
Oui. L’adresse d’un expéditeur familier peut être usurpée, ou le compte d’un proche avoir été piraté. Si le message réclame une information confidentielle ou un paiement, vérifiez auprès de la personne ou de l’organisme par un autre moyen que ce courriel.
Signal Spam ou Phishing Initiative : lequel choisir ?
Les deux sont complémentaires. Signal Spam reçoit le courriel indésirable lui-même ; Phishing Initiative sert à signaler le site frauduleux vers lequel pointe le lien, pour qu’il puisse être bloqué dans les navigateurs.
Ma banque peut-elle me demander mon code par courriel ?
Non. Aucun organisme n’a le droit de vous demander le code de votre carte, et les administrations comme les grandes plateformes ne réclament pas de données sensibles par message. En cas de doute, appelez votre conseiller au numéro habituel.
Serai-je informé de la suite donnée à mon signalement ?
Pas sur Signal Spam : l’internaute n’est pas tenu au courant des suites. Si vous avez subi un préjudice, portez plainte ; vous pouvez aussi vous constituer partie civile pour obtenir des dommages et intérêts.
Et si le message suspect arrive par SMS ?
Les mêmes réflexes s’appliquent : ne pas cliquer et ne rien transmettre. Le signalement se fait alors au 33 700, réservé aux faits commis sur un téléphone mobile, ce qui permet aux opérateurs de couper les numéros concernés.
Sources
- Hameçonnage (phishing ou vishing) — Service-Public.fr (DILA), 2026-04-10
- Que faire en cas d'hameçonnage (phishing) ? — Ma Sécurité (ministère de l'Intérieur), 2026-03-17