À l’occasion du Cybermois, la sensibilisation à la cybersécurité est plus que jamais essentielle. Dans un quotidien hyperconnecté où les pièges se multiplient sous diverses formes, adopter les bons réflexes et maintenir une vigilance constante est l’affaire de tous.
Vous avez sûrement déjà reçu un faux message de livraison ou un e-mail « urgent » pour payer une contravention. Ces arnaques ont toutes un point commun : se faire passer pour quelqu’un de confiance afin de vous pousser à agir vite, avant que vous ayez le temps de réfléchir. On les regroupe sous le nom de phishing (« hameçonnage »), et elles prennent plusieurs formes mais certains noms sont un peu moins familiers.
Commençons par le plus connu : Le phishing ou l’e-mail piégé
Un e-mail imite votre banque, un service de livraison, les impôts ou parfois même un collègue. Il vous demande de cliquer sur un lien ou d’ouvrir une pièce jointe, souvent en invoquant l’urgence : « votre compte sera suspendu sous 24 h ».
Le bon réflexe : ne cliquez pas, allez directement sur le site ou l’application habituelle. « Il est fréquent que l’adresse mail de l’expéditeur ne corresponde pas ou ait une tournure étrange ex : amendes-antai-gouv-nationale-de-traitement@icmai.in
Le spear-phishing : l’arnaque sur mesure
Il s’agit d’un hameçonnage ciblé.
Ici, l’e-mail vous est destiné personnellement. Il mentionne votre prénom, votre poste, un outil ou un projet que vous utilisez vraiment. Ces informations se trouvent facilement sur les réseaux sociaux, et l’intelligence artificielle permet aujourd’hui de rédiger ces messages très crédibles en quelques secondes. On pourrait vraiment y croire.
Le bon réflexe : un message qui paraît sincère n’est pas forcément authentique. En cas de doute, contactez l’expéditeur par un autre moyen.
Le whaling : quand les dirigeants sont visés
Le terme Whaling se traduit littéralement « pêche à la baleine » Pourquoi ?
Car cette pratique cible un dirigeant ou un service à fort pouvoir de décision, comme la direction ou la comptabilité. L’objectif est souvent d’obtenir un virement urgent et confidentiel.
Le bon réflexe : toute demande de virement inhabituelle se vérifie de vive voix, même si elle semble venir du patron.
Le smishing : l’arnaque par SMS
Le mot vient de la contraction entre « SMS » et « phishing »
Faux colis en attente, amende à régler, remboursement à récupérer… Les SMS sont lus presque immédiatement et le lien est difficile à vérifier sur un petit écran. De plus, votre téléphone personnel échappe aux protections de l’entreprise.
Le bon réflexe : n’ouvrez jamais un lien reçu par SMS pour un paiement. Passez par l’application officielle.
Le vishing : l’arnaque par téléphone
Ici c’est un mot-valise entre voice et phishing
Un faux conseiller bancaire vous annonce une « opération suspecte », un faux support technique prétend réparer votre ordinateur. Au téléphone, la pression est plus forte : l’interlocuteur est rassurant, insistant et ne vous laisse pas le temps de réfléchir. Il peut aussi vous demander de lui lire un code reçu par SMS, ce qui lui ouvre l’accès à votre compte.
Le bon réflexe : raccrochez et rappelez vous-même le numéro officiel de l’organisme concerné. Ne communiquez jamais un code reçu par SMS, ni vos identifiants bancaires ou toute autre information sensible par téléphone.
Le SIM swapping : le vol de votre numéro de téléphone
Le terme vient de l’anglais « SIM swap », littéralement « échange de carte SIM ».
Ici, le fraudeur ne cherche pas à vous piéger directement : il s’attaque à votre opérateur. Muni d’informations vous concernant (nom, adresse, date de naissance, numéro de téléphone), souvent récupérées via du phishing, du vishing ou une fuite de données, il se fait passer pour vous. Il demande à l’opérateur de transférer votre numéro sur une carte SIM ou une eSIM qu’il contrôle.
Du jour au lendemain, votre téléphone perd le réseau, et c’est lui qui reçoit vos appels et vos SMS. Il peut alors intercepter les codes de validation envoyés par SMS, réinitialiser vos mots de passe et accéder à vos comptes, y compris bancaires. Votre double authentification par SMS ne vous protège plus, puisque c’est lui qui reçoit le code.
Le signe qui doit alerter : une perte soudaine et inexpliquée de réseau (mention « SOS uniquement », plus d’appels ni de SMS), parfois précédée d’un message de l’opérateur annonçant un changement de SIM que vous n’avez pas demandé.
Le bon réflexe : si votre téléphone perd le réseau sans raison, contactez immédiatement votre opérateur depuis un autre appareil, puis prévenez votre banque. Pour limiter les risques, privilégiez une application d’authentification plutôt que le SMS pour vos comptes sensibles, protégez votre ligne avec un code PIN, et partagez le moins possible d’informations personnelles en ligne.
Le quishing : l’arnaque par QR code
Ce terme est la contraction de « QR code » et de « phishing ».
Le QR code cache l’adresse de destination, impossible de la vérifier avant de scanner. Il peut se trouver dans un e-mail, sur une affiche ou sur un faux autocollant collé sur un parcmètre ou une borne de recharge. Les filtres de sécurité l’analysent mal, car c’est une image.
Le bon réflexe : méfiez-vous des QR codes qui semblent collés ou ajoutés après coup, et vérifiez l’adresse affichée avant de continuer.
Le device code phishing : une arnaque qui passe par le vrai site de connexion
Vous avez déjà peut-être vu cette situation : une télévision ou une application vous affiche un code et vous demande d’aller sur une page officielle pour le saisir et vous connecter. Les fraudeurs détournent ce mécanisme tout à fait légitime.
Comment ça marche ? Vous recevez un message (e-mail, message sur Teams, WhatsApp ou Signal) qui ressemble à une invitation à une réunion, au partage d’un document ou à une procédure de sécurité. Il vous demande de vous rendre sur la vraie page de connexion de Microsoft (ou de Google) et d’y saisir un code. Vous le faites, vous vous authentifiez, validez même votre double authentification… et c’est à ce moment que le fraudeur obtient l’accès à votre compte. Ce code, c’est lui qui l’a généré : en le saisissant, vous lui avez donné votre autorisation.
Pourquoi c’est redoutable ? Il n’y a ni faux site ni lien suspect : l’adresse est la bonne, le cadenas est là, et la double authentification est bien validée. Tous les signaux que l’on nous apprend à vérifier sont au vert.
Le bon réflexe : ne saisissez un code d’appareil que si c’est vous qui l’avez demandé à l’instant, sur l’appareil que vous êtes en train de connecter (une télévision, une imprimante, un nouvel ordinateur). Si quelqu’un ou un message vous envoie un code à saisir, n’en faites rien et signalez-le à votre service informatique.
Voici un récapitulatif de l’ensemble de ces menaces, des démarches à entreprendre pour y faire face et des moyens de les signaler aux autorités compétentes.
La règle d’or
Tous ces pièges reposent sur la même mécanique : l’urgence, la peur ou la curiosité. Retenez une règle simple : face à un message inattendu qui demande d’agir vite, on ne clique pas, on ne répond pas, on vérifie par un autre canal.
Le Cybermois est l’occasion idéale de renforcer ces réflexes. Mais la vigilance ne s’arrête pas au mois d’octobre : les bons réflexes de cybersécurité s’adoptent et se gardent toute l’année.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/cybermois-2026
