Phishing et arnaques en ligne : comment les éviter efficacement

Le mail est d'une banalité confondante. Votre opérateur téléphonique vous prévient d'un « problème de facturation », vous devez cliquer sur le lien pour « vérifier vos informations ». L'adresse semble correcte, le logo aussi. Et pourtant.

J'ai failli m'y faire prendre moi-même, il y a deux ans de cela. Depuis, j'ai accompagné suffisamment de proches et de clients dans le dédale des signalements pour savoir une chose : la plupart des arnaques en ligne ne reposent pas sur votre naïveté, mais sur votre vitesse d'exécution. On ne vous demande pas de réfléchir, on vous demande de cliquer tout de suite. C'est la seule faille qui compte vraiment.

Pourquoi le phishing fonctionne encore autant en 2026 : la psychologie de l'urgence

Chaque année, des milliers de personnes perdent des sommes importantes. Pas parce qu'elles sont technophobes. Parce que le message joue sur une émotion précise : la peur de la conséquence immédiate. « Votre compte sera suspendu sous 24 heures », « paiement refusé », « colis en attente ». Le cerveau passe en mode urgence, et l'analyse rationnelle se met en veille.

Je l'ai vu avec un client dont l'entreprise a failli virer 14 000 € sur un faux RIB. Le mail venait de son « fournisseur historique », avec le bon logo et une signature qui imitait parfaitement l'original. Seule différence : l'adresse d'expédition était un Gmail lambda. Personne n'a regardé. La facture semblait urgente, c'était suffisant.

Arrêtez de vous fier au nom affiché de l'expéditeur

Le nom que vous voyez dans votre boîte mail est une étiquette. N'importe qui peut l'écrire. Ce qui ne ment pas, c'est l'adresse complète et surtout le domaine après le « @ ». Un mail de votre banque vient de votre banque, pas de « secure-banque.xyz » ou d'un dérivé avec une lettre en plus.

Exemple concret : votre conseiller s'appelle Dupont et son adresse est [email protected]. Le fraudeur écrira [email protected]. Le nom affiché peut être « Dupont, Conseiller Banque », mais l'adresse, elle, est fausse. La règle : si le domaine ne correspond pas exactement à celui des mails précédents, c'est terminé. On ne clique pas, on ne répond pas, on appelle directement l'organisme concerné avec le numéro officiel, pas celui du mail.

Le problème ? Sur mobile, l'affichage des adresses est souvent tronqué. Il faut forcer l'affichage complet de l'expéditeur avant toute action. Un geste qui prend trois secondes et qui élimine une grande partie des tentatives basiques.

Vérifier les liens sans cliquer : la technique du survol

Sur ordinateur, passez la souris sur le lien sans cliquer. L'URL réelle s'affiche en bas de la fenêtre ou dans une petite infobulle. Si elle ne correspond pas au site annoncé, ne cliquez pas. Sur mobile, maintenez le doigt sur le lien : un aperçu de l'URL apparaît.

Et là, surprise : beaucoup de faux liens utilisent des raccourcisseurs (bit.ly, tinyurl) ou des domaines qui imitent l'original avec des caractères spéciaux. L'URL « amazon-fr-livraison.top » n'a rien à voir avec Amazon. La règle du jeu est simple : l'URL affichée doit contenir le nom exact de l'entreprise, suivi directement du domaine officiel (fr, com, etc.), sans ajout ni chiffre suspect.

Smishing, vishing, faux conseillers : les variantes récentes à connaître

Le mail classique, tout le monde commence à le connaître. Les fraudeurs se sont donc adaptés. Deux variantes montent en puissance : le smishing (phishing par SMS) et le vishing (phishing vocal, souvent via un faux conseiller bancaire ou un faux technicien).

Le scénario type du vishing : on vous appelle en masquant le numéro, on vous dit qu'un « mouvement suspect » a été détecté sur votre compte, puis on vous demande de « confirmer » un code reçu par SMS. Ce code, c'est en réalité celui qui valide une connexion ou un paiement. Vous le donnez, et l'attaque est terminée. La consigne est simple : aucune banque, aucun opérateur ne vous demandera jamais un code de validation par téléphone.

Le smishing, lui, joue sur la livraison de colis. Le SMS est court, l'URL est souvent un domaine en « .top », « .xyz » ou « .site », qui ne coûte presque rien à acheter. L'urgence est là : « votre colis vous attend, confirmez la livraison ». On clique. On arrive sur un faux site de La Poste ou de DHL. On entre son adresse, parfois sa carte bancaire pour « payer une taxe ».

Les faux conseillers sur les places de marché et les réseaux sociaux

Autre tendance : les arnaques à la « vérification de compte » sur les plateformes de vente entre particuliers. Un acheteur vous écrit, vous fait une offre, puis vous dit que « votre compte doit être vérifié » par un lien qu'il vous envoie. Ce lien est un site miroir qui récupère vos identifiants.

Règle absolue : toute la communication et la vérification passent par la plateforme officielle, jamais par des liens envoyés en message privé. Si un acheteur insiste pour passer hors de la plateforme, c'est un signal d'alarme.

Vérifier un site marchand avant de payer : la méthode en trois étapes

Les arnaques ne passent pas que par les mails. De faux sites marchands, copiés à l'identique de boutiques connues, proposent des produits à des prix cassés. La victime paie, ne reçoit rien, et le site disparaît. J'ai vu des gens perdre plusieurs centaines d'euros sur de fausses boutiques de vêtements ou d'électronique.

Voici la méthode que j'utilise systématiquement, et qui m'a évité bien des pièges. Elle prend deux minutes, pas plus.

Étape 1 : les mentions légales, le premier filtre

Tout site marchand professionnel doit afficher des mentions légales complètes : nom de l'entreprise, adresse physique, numéro de SIREN (en France), email de contact. Si ces informations sont absentes, partielles ou illisibles, c'est terminé. Un site qui vend des produits mais ne décline pas son identité légale n'est pas un site sérieux.

Ensuite, vérifiez que l'adresse physique existe réellement. Un simple passage sur un service de cartographie suffit. Si l'adresse mène à un champ ou à un immeuble vide, vous avez votre réponse. Le SIREN, lui, se vérifie sur le registre officiel du commerce, gratuitement.

Étape 2 : les avis vérifiés, pas les notes affichées sur le site

Un faux site peut afficher des milliers d'avis positifs, inventés de toutes pièces. La vérification sérieuse passe par des plateformes d'avis indépendantes, où l'on peut consulter l'historique et vérifier que les avis concernent bien ce site précis, pas une autre boutique du même nom.

Prenez aussi le temps de lire les avis négatifs. Un site avec quelques avis négatifs sur les délais de livraison peut être simplement lent. Un site avec des avis négatifs sur la réception de produits différents de la commande, ou sur l'impossibilité de contacter le service client, est un signal fort. Rappelez-vous : le prix anormalement bas est un leurre, pas une opportunité.

Étape 3 : le paiement sécurisé et ses exceptions

Le cadenas dans la barre d'adresse et le « https » sont devenus la norme sur tous les sites, y compris les faux. Ils ne prouvent plus grand-chose. Ce qui compte, c'est le moyen de paiement. La carte bancaire avec double authentification (le code reçu par SMS ou via l'appli bancaire) offre une protection en cas de fraude. Le virement bancaire, lui, est quasi impossible à annuler une fois parti. C'est le moyen de paiement préféré des fraudeurs.

Si un site n'accepte que le virement, ou s'il vous pousse vers un paiement « par téléphone » avec votre numéro de carte, c'est un piège.

Que faire si vous avez cliqué : les gestes qui sauvent dans l'heure

Avouons-le : malgré toutes les précautions, il arrive qu'on clique. La première réaction, c'est la panique. La seconde, c'est l'inaction, souvent par honte. C'est une erreur. Les fraudeurs comptent sur votre silence pour agir tranquillement. Voici la marche à suivre, dans l'ordre.

Première chose, si vous avez entré votre carte bancaire : faites opposition immédiatement, via l'application de votre banque ou le numéro d'urgence fourni au dos de la carte. Ce geste prend une minute et bloque toute tentative d'achat. Ensuite, changez les mots de passe du compte concerné, puis de tous les comptes utilisant le même mot de passe. On le sait, mais il faut le répéter : utiliser le même mot de passe partout, c'est offrir aux fraudeurs un passe-partout général.

Troisième étape : signalez l'arnaque sur la plateforme officielle de signalement (en France, Cybermalveillance.gouv.fr). Cela permet aux autorités de collecter les informations et, parfois, de faire fermer les sites frauduleux. Enfin, surveillez vos relevés bancaires pendant les semaines qui suivent. Les fraudeurs testent parfois une petite somme avant de tenter un gros montant.

J'ai accompagné une personne qui a découvert un mois après un abonnement mensuel de 4,99 € à un faux service de streaming, prélevé discrètement sur sa carte. La banque a remboursé, mais l'arnaque est restée invisible pendant des semaines faute de vérification des relevés.

Les outils de protection automatisés : votre second filet de sécurité

La vigilance humaine a ses limites, surtout après une journée de travail. C'est pourquoi il faut déléguer une partie de la surveillance à des outils automatiques. L'authentification à deux facteurs (2FA) reste la mesure la plus efficace contre le vol d'identifiants. Même si un fraudeur obtient votre mot de passe, il ne pourra pas se connecter sans le code supplémentaire. Activez-la sur votre messagerie, votre banque, vos réseaux sociaux, votre boîte mail professionnelle. Les applications d'authentification (type Google Authenticator ou équivalent) sont plus sûres que la réception par SMS, mais le SMS reste infiniment mieux que rien.

Les filtres anti-phishing intégrés aux messageries modernes font déjà un gros travail. Ils placent en spam une grande partie des tentatives. Il faut toutefois les compléter : si un mail vous semble douteux mais passe les filtres, marquez-le comme spam manuellement. Cela améliore le filtre pour tout le monde.

Enfin, une règle que j'applique depuis des années : les mises à jour automatiques ne se désactivent pas. Navigateur, système d'exploitation, applications : chaque mise à jour corrige des failles que les fraudeurs exploitent. Un navigateur obsolète est une porte ouverte.

Les trois signaux qui ne trompent jamais sur un message frauduleux

Après des années à décortiquer des dizaines de tentatives, je peux résumer les trois constantes que l'on retrouve systématiquement. Ce ne sont pas des garanties absolues, mais leur présence combinée doit déclencher votre méfiance immédiate.

• L'urgence artificielle : « sous 24 heures », « validation immédiate », « dernière relance ». Le but est de vous empêcher de réfléchir.
• La demande d'informations personnelles : mot de passe, numéro de carte, code de sécurité. Aucune organisation légitime ne vous demandera ces informations par mail ou par SMS.
• La menace déguisée : « votre compte sera bloqué », « une procédure sera engagée ». La peur est l'arme principale du fraudeur.

Si vous retrouvez ces trois éléments dans un même message, la conclusion est immédiate : on ne clique pas, on ne répond pas, on signale et on supprime.

La sécurité numérique n'est pas une compétence technique. C'est un réflexe conditionné, qui se construit comme les autres. La prochaine fois qu'un message vous presse, prenez une respiration. Rien ne presse jamais autant qu'on le prétend.