Phishing (hameçonnage) : définition, types, exemples et réflexes

Le phishing (hameçonnage en français) est une technique frauduleuse qui consiste à se faire passer pour un tiers de confiance, comme une banque, un fournisseur, une administration ou un collègue, afin d'obtenir des données personnelles, des identifiants, des coordonnées bancaires ou un paiement. Le message arrive le plus souvent par courriel, mais aussi par SMS, par appel téléphonique ou par un code QR.

Cet article donne la définition du phishing, ses principales formes (spear phishing, whaling, smishing, vishing, quishing), des exemples types, les signes qui permettent de le reconnaître et la conduite à tenir après un clic. Il explique aussi pourquoi l'entraînement doit couvrir le téléphone.

Phishing, hameçonnage : que veut dire ce mot ?

Le mot « phishing » vient de l'anglais « fishing » (pêche), avec un « ph » hérité du jargon informatique. L'attaquant lance un appât et attend qu'une personne morde. Les termes « hameçonnage » et « filoutage » désignent la même chose en français.

Cybermalveillance.gouv.fr décrit l'hameçonnage comme une technique frauduleuse destinée à leurrer l'internaute pour l'inciter à communiquer des données personnelles ou bancaires, en se faisant passer pour un tiers de confiance. Le dispositif d'assistance cite des faux courriels, des faux SMS et de faux appels de banques, d'opérateurs, d'administrations ou de boutiques en ligne.

Le phishing relève de l'ingénierie sociale : l'attaquant n'a pas besoin de casser un système. Il obtient de la victime elle-même ce qu'une protection technique lui refuserait. Pour comprendre ce qui rend ces messages efficaces, voir les leviers psychologiques de l'ingénierie sociale.

Les principaux types de phishing

Le principe reste le même : un leurre, un prétexte crédible, une action demandée. Ce qui change, c'est le canal et le degré de personnalisation.

• Phishing par courriel : le message de masse imite une banque, un service de livraison ou un opérateur, avec un lien vers un faux site ou une pièce jointe piégée.
• Spear phishing (hameçonnage ciblé) : le message vise une personne ou une équipe précise. Il reprend son nom, son poste, ses projets, souvent trouvés sur les réseaux professionnels.
• Whaling : un spear phishing dirigé vers les dirigeants ou les personnes qui peuvent valider un virement important.
• Smishing : le leurre passe par SMS ou messagerie, avec un lien vers un faux site.
• Vishing : le leurre passe par un appel téléphonique ou un message vocal. Le détail est dans notre article sur la définition du vishing.
• Quishing : le lien est caché dans un code QR, par exemple dans un courriel, sur une affiche ou sur un faux autocollant. Le filtre de messagerie voit une image, pas une adresse.
• Clone phishing : l'attaquant copie un message légitime déjà reçu, puis le renvoie en remplaçant le lien ou la pièce jointe par une version piégée.

Ces formes se combinent. Un courriel peut demander de rappeler un numéro, ou un appel peut annoncer l'arrivée d'un SMS contenant un code. Le communiqué de Cybermalveillance.gouv.fr du 26 mars 2026 évoque d'ailleurs des vagues d'hameçonnage « par SMS, courriels ou même appels audio ».

Exemples de phishing

Les trois scénarios ci-dessous sont construits pour illustrer le mécanisme. Ils ne décrivent aucun cas réel.

Le faux courriel de la messagerie d'entreprise

Imaginons un courriel qui annonce : « Votre boîte mail est pleine, réactivez votre compte dans les 24 heures ». Le bouton mène à une page identique à la page de connexion de l'entreprise. Le salarié saisit son identifiant et son mot de passe, que l'attaquant récupère aussitôt.

Le spear phishing adressé à la comptabilité

Imaginons un message envoyé à une comptable, avec le nom de son responsable et une facture en pièce jointe : « Peux-tu régler celle-ci avant ce soir, le fournisseur menace de suspendre la livraison ? » Le ton est familier, la demande est plausible, l'urgence limite la vérification. Pour la version téléphonique de ce schéma, voir la fraude au président par téléphone.

Le faux SMS de livraison suivi d'un appel

Imaginons un SMS : « Votre colis est en attente, réglez 1,99 euro de frais ». Le faux site collecte les données de carte. Quelques heures plus tard, un faux conseiller bancaire appelle pour « sécuriser » le compte. Le premier message a préparé le second.

Comment reconnaître un message de phishing

Aucun indice ne suffit seul. C'est leur accumulation qui doit faire hésiter. Cybermalveillance.gouv.fr cite notamment une offre alléchante, une apparence suspecte, une pièce jointe inattendue et une adresse d'expédition fantaisiste.

• L'expéditeur : l'adresse imite un nom connu, avec un caractère changé ou un domaine inhabituel. Le nom affiché ne prouve rien.
• Le lien : l'adresse réelle, visible en survolant le lien sans cliquer, diffère du texte affiché.
• L'urgence : un délai court, une menace de blocage, une sanction ou une opportunité qui disparaît.
• La demande : un mot de passe, un code, des coordonnées bancaires ou un paiement. Selon Cybermalveillance.gouv.fr, aucune administration ou société commerciale sérieuse ne demande vos données bancaires ou vos mots de passe de cette façon.
• La pièce jointe inattendue, surtout si l'expéditeur ne vous écrit jamais.
• Le contexte : une demande qui sort du circuit habituel, comme un changement de RIB annoncé par simple courriel.

Les fautes d'orthographe sont un indice, mais les messages récents sont souvent bien écrits. Le bon réflexe ne consiste donc pas à chercher une faute. Il consiste à vérifier la demande par un canal que l'on connaît déjà.

Que faire si vous avez cliqué ?

Ne restez pas seul avec le doute, et agissez vite. Voici l'ordre conseillé, d'après la fiche réflexe de Cybermalveillance.gouv.fr et les recommandations de la CNIL.

1. Prévenez votre service informatique ou sécurité si l'incident touche un poste ou un compte professionnel. Chaque minute compte, et personne n'a intérêt à cacher un clic.
2. Changez le mot de passe du compte concerné et de tous les comptes où vous l'aviez réutilisé.
3. Faites opposition auprès de votre banque si vous avez saisi des coordonnées bancaires ou constaté un débit frauduleux. Utilisez le numéro figurant sur votre carte ou votre application, pas celui du message.
4. Conservez les preuves : le message, l'adresse de l'expéditeur, les captures d'écran, l'heure.
5. Déposez plainte au commissariat ou à la gendarmerie en cas de préjudice.
6. Signalez le message : les courriels sur Signal Spam, les SMS en les transférant au 33700, les sites frauduleux sur la plateforme PHAROS. Vérifiez toujours ces adresses et numéros sur les sites officiels avant de les utiliser.

Pour savoir quoi noter au moment du signalement, voir notre grille de signalement d'un incident.

Pourquoi l'entraînement au phishing doit couvrir le téléphone

Beaucoup d'organisations se limitent à des campagnes de faux courriels, avec un taux de clic comme indicateur. C'est utile, mais cela mesure un seul geste : cliquer ou ne pas cliquer. Or les attaques réelles changent de canal quand le courriel échoue.

Au téléphone, la situation est différente. Un courriel se relit, se transfère, se signale. Un appel exige une réponse immédiate, face à quelqu'un qui insiste, flatte ou menace. Savoir qu'il faut vérifier ne suffit pas à le faire quand la voix est pressante.

Les limites des campagnes de faux courriels sont détaillées dans notre article sur les limites de la simulation de phishing face à la voix. Retenons ici le principe : le réflexe de vérification se construit en le pratiquant à voix haute, pas en le lisant.

Comment former les équipes au phishing

Une démarche solide combine quatre éléments.

1. Une règle simple et connue de tous : pour toute demande sensible, on vérifie par un canal indépendant, jamais par les coordonnées du message.
2. Un canal de signalement sans reproche, utilisé même après un clic. Une personne qui craint la sanction signale tard.
3. Des rappels courts et réguliers sur les types d'attaques, plutôt qu'un module annuel.
4. Une pratique de la conversation : refuser, rappeler, demander une validation écrite face à quelqu'un qui insiste.

Pour ce dernier point, Face Up permet aux formateurs de créer leurs propres jeux de rôle à partir de leurs cas réels, grâce à un outil auteur. L'apprenant parle, à la voix ou en vidéo, avec un persona joué par une IA : faux conseiller bancaire, faux fournisseur ou collègue pressé. Il reçoit ensuite un débriefing avec des citations de ce qu'il a dit, et peut rejouer.

La démarche complète est décrite dans notre guide de la sensibilisation cybersécurité au vishing.

Questions fréquentes

Quelle est la différence entre phishing et hameçonnage ?

Aucune. « Hameçonnage » est le terme français officiel, « phishing » l'emprunt à l'anglais, et « filoutage » un synonyme plus rare. Les trois désignent la même technique.

Quelle est la différence entre phishing et spear phishing ?

Le phishing classique est envoyé en masse, avec un message générique. Le spear phishing est préparé pour une personne ou une équipe, avec des détails réels sur son poste ou ses contacts. Il est plus difficile à repérer.

Le phishing existe-t-il par téléphone ?

Oui, on parle alors de vishing. Le canal change, pas le principe : un appelant se fait passer pour une personne de confiance afin d'obtenir une information, un code ou un virement.

Un antivirus ou un filtre anti-spam suffit-il ?

Non. Les filtres bloquent une partie des messages, mais pas tous, et ils ne voient pas les appels ni toujours les codes QR. Le geste de la personne reste la dernière barrière.

Pour entraîner vos équipes à refuser une demande suspecte, au courriel comme au téléphone, demandez une démonstration de Face Up.