Qu’est-ce que le phishing ? Comment reconnaître les faux e-mails, SMS et QR codes

Qu’est-ce que le phishing ?

Le National Cyber Security Centre (NCSC) britannique définit le phishing comme l’utilisation par des criminels d’e-mails, de SMS ou d’appels téléphoniques frauduleux pour piéger leurs victimes ; le but est souvent de vous faire consulter un site web susceptible de télécharger un virus sur votre ordinateur, ou de voler vos coordonnées bancaires ou d’autres informations personnelles ^[3]. La Federal Trade Commission (FTC) américaine le résume plus brièvement : des escrocs utilisent des e-mails ou des SMS pour vous amener à leur donner vos informations personnelles et financières ^[1].

Le FBI regroupe ce délit sous l’intitulé « phishing/spoofing » : des e-mails, SMS et appels non sollicités, censés provenir d’une entreprise légitime, qui demandent des informations personnelles, financières ou des identifiants de connexion ^[8]. Le spoofing (usurpation) consiste à falsifier l’expéditeur, par exemple pour faire croire qu’un message vient de votre banque.

Le phishing est une forme d’ingénierie sociale, que le FBI décrit comme le fait d’obtenir des données protégées en dupant une personne pour qu’elle les révèle ^[12]. Il exploite la confiance humaine plutôt que des failles techniques, si bien qu’il peut contourner des systèmes robustes dès lors qu’une personne se laisse convaincre de livrer un mot de passe ou un code.

Quelles formes prend le phishing ?

• Phishing par e-mail : envois massifs imitant des banques, des boutiques, des transporteurs ou des employeurs ^[1].
• Spear phishing (harponnage) : tentative ciblée visant à piéger une personne ou un groupe précis, à l’aide d’informations destinées à accroître les chances de réussite ^[12].
• Phishing par SMS (smishing) : les mêmes ruses envoyées par SMS ; la définition de la FTC couvre explicitement les SMS ^[1].
• Phishing par téléphone (vishing) : des appels qui prétendent provenir d’une organisation de confiance ; le NCSC considère les appels frauduleux comme une forme de phishing ^[3].
• Phishing par QR code (quishing) : des QR codes insérés dans des e-mails qui mènent à des sites malveillants ^[6].

Comment l’IA transforme-t-elle le phishing ?

En décembre 2024, le FBI a averti que des criminels utilisent l’IA générative pour rédiger des textes crédibles destinés à l’ingénierie sociale et au spear phishing, pour envoyer des messages plus vite à un public plus large et pour traduire des messages afin qu’ils comportent moins de fautes de grammaire ou d’orthographe ^[12]. Le NCSC note de même que les arnaques étaient autrefois plus faciles à repérer grâce aux fautes d’orthographe ou à une présentation étrange, mais qu’elles deviennent plus habiles et que certaines trompent même les experts ^[4].

Qui est visé personnellement ?

Les criminels utilisent les informations vous concernant disponibles en ligne, y compris sur les réseaux sociaux, pour rendre leurs messages plus convaincants ^[3]. Les personnes en vue sont aussi la cible de campagnes liées à des États. Freedom House a rapporté qu’un groupe de pirates lié au Corps des gardiens de la révolution islamique d’Iran s’était fait passer en ligne pour des journalistes et des militants des droits humains afin d’attirer des opposants au gouvernement dans des opérations de phishing ^[13]. Pour les journalistes et militants persanophones, une demande d’interview inattendue ou un lien vers un document mérite les mêmes vérifications qu’un message bancaire.

Comment reconnaître un message de phishing ?

Selon la FTC, les messages de phishing affirment souvent avoir remarqué une activité ou des tentatives de connexion suspectes, signalent un problème concernant votre compte ou vos informations de paiement, vous demandent de confirmer des informations personnelles ou financières, contiennent une facture que vous ne reconnaissez pas, vous invitent à cliquer sur un lien pour effectuer un paiement, annoncent que vous avez droit à un remboursement de l’administration ou proposent un bon de réduction pour des articles gratuits ^[1].

Le NCSC suggère de rechercher ces indices révélateurs dans un message suspect ^[4] :

1. L’autorité : prétend-il venir d’une source officielle, comme votre banque, votre médecin, un avocat ou un ministère ^[4] ?
2. L’urgence : vous demande-t-on de répondre sous 24 heures ou immédiatement, souvent sous la menace d’une amende ^[4] ?
3. L’émotion : vous fait-il paniquer, ou suscite-t-il chez vous de la peur, de l’espoir ou de la curiosité ^[4] ?
4. La rareté : propose-t-il quelque chose de rare, comme des billets de concert, de l’argent ou un remède médical ^[4] ?
5. L’actualité : exploite-t-il un fait d’actualité, un grand événement ou une période de l’année comme la saison des impôts ^[4] ?

Le NCSC ajoute que votre banque, comme toute autre source officielle, ne vous demandera jamais de fournir des informations personnelles par e-mail, ni ne vous appellera pour vous demander de confirmer vos coordonnées bancaires ^[4]. En cas de doute, contactez directement l’organisation à l’aide des coordonnées figurant sur son site officiel, et non des numéros ou adresses indiqués dans le message ^[4].

Le phishing est-il courant ?

L’Internet Crime Complaint Center (IC3) du FBI a reçu 1.008.597 plaintes en 2025, pour 20,877 milliards de dollars de pertes déclarées ^[8]. Le phishing/spoofing a été la première catégorie en nombre de plaintes, avec 191.561 ^[8]. Les pertes déclarées à ce titre sont passées de 70.013.036 dollars en 2024 à 215.843.126 dollars en 2025 ^[8]. Le nombre de plaintes ne recouvre que ce que les victimes choisissent de signaler à l’IC3, et non l’ensemble du phishing qui a lieu.

L’Anti-Phishing Working Group (APWG), une coalition du secteur, a observé 1.003.924 attaques de phishing au premier trimestre 2025, le chiffre le plus élevé depuis fin 2023, et a indiqué que des criminels envoient chaque jour des millions d’e-mails contenant des QR codes ^[9]. Les attaques visant le paiement en ligne et la banque représentaient ensemble 30,9 % de toutes les attaques de ce trimestre ^[9].

Au Royaume-Uni, le service de signalement du NCSC avait reçu plus de 59,6 millions de signalements d’arnaques en septembre 2026, ce qui a conduit à la suppression de 263,7 milliers d’arnaques réparties sur 466.300 URL ^[3].

Peut-on scanner les QR codes sans danger ?

En général, oui, dans les lieux ordinaires. Le NCSC indique que les QR codes des pubs ou des restaurants peuvent probablement être scannés sans risque, que la fraude par QR code reste relativement marginale par rapport aux autres fraudes en ligne et qu’elle se produit surtout dans des espaces ouverts comme les gares et les parkings, souvent combinée à de l’ingénierie sociale ^[6].

L’e-mail est le sujet de préoccupation principal. Le NCSC constate une augmentation des QR codes dans les e-mails de phishing, une technique parfois appelée quishing, car les QR codes dissimulent les liens malveillants, tous les outils de sécurité de la messagerie n’analysent pas les images, et les gens ont tendance à scanner avec leur téléphone personnel, parfois moins bien protégé qu’un ordinateur professionnel ^[6].

Que conseillent le FBI et la FTC ?

• Après avoir scanné, vérifiez l’adresse web ; un domaine malveillant peut ressembler au vrai, à une faute de frappe ou à une lettre déplacée près ^[7].
• Sur un code physique, vérifiez qu’il n’a pas été recouvert d’un autocollant ^[7]. La FTC signale des cas d’escrocs ayant recouvert les QR codes de parcmètres avec les leurs ^[2].
• Ne téléchargez pas d’application à partir d’un QR code et n’installez pas d’application de lecture de QR codes distincte ; la plupart des téléphones intègrent un lecteur dans l’application appareil photo ^[7].
• Ne scannez pas un QR code figurant dans un e-mail ou un SMS que vous n’attendiez pas ; contactez l’entreprise à un numéro de téléphone ou sur un site web dont vous savez qu’il est authentique ^[2].
• Évitez de payer sur un site atteint via un QR code ; saisissez plutôt une adresse connue et fiable ^[7].

Que faire si vous avez cliqué sur un lien de phishing ?

Agissez vite, et dans cet ordre :

1. Arrêtez et coupez le contact. Le NCSC conseille de s’arrêter, de couper le contact et de réfléchir aux termes employés ^[4].
2. Si vous avez communiqué un mot de passe, le NCSC recommande de changer le mot de passe de tous les comptes qui utilisent le même, et d’utiliser une passkey à la place lorsque c’est possible ^[14]. La FTC recommande aussi l’authentification multifacteur pour protéger vos comptes ^[1].
3. Si vous avez ouvert une pièce jointe ou installé quelque chose, mettez à jour votre logiciel de sécurité, lancez une analyse et supprimez tout ce qu’elle signale ^[1][14]. Si cela s’est produit sur un ordinateur portable ou un téléphone professionnel, prévenez votre service informatique ^[14].
4. Si vous avez perdu de l’argent ou communiqué vos coordonnées bancaires, prévenez votre banque en utilisant le numéro figurant sur votre carte ou votre relevé, où les coordonnées officielles sont souvent imprimées ^[4], et signalez-le comme un délit ; en Angleterre, au pays de Galles et en Irlande du Nord, il faut s’adresser à Report Fraud, et en Écosse à Police Scotland ^[14]. Les lecteurs américains dont le numéro de sécurité sociale, de carte ou de compte bancaire a pu être exposé peuvent suivre les étapes indiquées sur IdentityTheft.gov ^[1].
5. Si vous avez payé via un QR code falsifié, le FBI conseille de le signaler, tout en prévenant que les forces de l’ordre ne peuvent pas garantir la récupération des fonds perdus ^[7].

Comment signaler le phishing ?

Au Royaume-Uni, transférez les e-mails suspects au Suspicious Email Reporting Service du NCSC, à l’adresse report@phishing.gov.uk ^[5]. Aux États-Unis, la FTC recommande de transférer les e-mails de phishing à l’Anti-Phishing Working Group à l’adresse reportphishing@apwg.org, de transférer les SMS de phishing au SPAM (7726) et de signaler la tentative sur ReportFraud.ftc.gov ^[1]. Aux États-Unis, les pertes liées à la fraude peuvent aussi être signalées à l’IC3 du FBI ^[7]. Ces informations sont d’ordre général et ne constituent pas un conseil financier ou juridique ; votre banque et votre centre national de signalement sont les autorités compétentes pour votre situation.

Quelles protections arrêtent vraiment le phishing ?

La FTC énumère quatre protections : un logiciel de sécurité sur votre ordinateur, les mises à jour automatiques sur votre téléphone, l’authentification multifacteur sur vos comptes et la sauvegarde de vos données ^[1].

L’authentification multifacteur arrête-t-elle le phishing ?

Elle aide beaucoup, mais pas complètement. L’authentification multifacteur (MFA) exige au moins deux types de preuves, comme un mot de passe et un code ^[10]. La Cybersecurity and Infrastructure Security Agency (CISA) américaine explique qu’une technique de phishing courante consiste à diriger les utilisateurs vers une fausse page de connexion où ils saisissent leur nom d’utilisateur, leur mot de passe et le code à 6 chiffres de leur application d’authentification, que l’attaquant utilise ensuite ^[10]. La CISA ajoute que les codes envoyés par SMS ou par appel vocal peuvent aussi être volés via des failles du réseau SS7 ou par SIM swap, et que des attaquants bombardent les utilisateurs de notifications push jusqu’à ce qu’ils appuient sur Accepter ^[10].

La CISA affirme que la seule authentification résistante au phishing largement disponible est FIDO/WebAuthn, prise en charge par les principaux navigateurs, systèmes d’exploitation et smartphones ^[10]. Elle estime néanmoins que n’importe quelle forme de MFA vaut mieux que rien ^[10]. Les passkeys sont des identifiants FIDO qui remplacent les mots de passe par des paires de clés cryptographiques, et la FIDO Alliance affirme que, contrairement aux mots de passe, les passkeys sont toujours robustes et résistantes au phishing ^[11]. Elle ajoute qu’il n’y a aucun mot de passe à voler dans des bases de données piratées ^[11].

Qu’est-ce qui réduit encore le risque ?

Passez en revue ce que vous et d’autres publiez à votre sujet en ligne et renforcez les paramètres de confidentialité de vos réseaux sociaux, car les criminels utilisent ces informations pour personnaliser leurs messages ^[3]. Signalez les messages suspects : selon le NCSC, le signalement réduit le nombre d’arnaques que vous recevez et contribue à protéger les autres ^[3].