Le phishing s’invite dans les boîtes de messagerie des entreprises et des collectivités, et un email frauduleux bien imité peut tromper les plus attentifs. En 2025, l’hameçonnage est le 2ème motif d’assistance des entreprises et associations : 16 % des diagnostics, en hausse de 29 %. Dix secondes d’attention et quelques questions bien choisies aident à démasquer un faux mail. On vous dit tout.
L’essentiel en bref :
- Quatre signaux aident à démasquer un faux mail : l’adresse de l’expéditeur, l’urgence, la destination du lien et la pièce jointe annoncée.
- Les faux mails ressemblent de plus en plus à de vrais messages : dans une expérience de 2024, 54 % des 101 participants ont cliqué sur un email rédigé entièrement par IA.
- Colis, amendes, carte Vitale, impôts : les campagnes de 2025 et 2026 empruntent les codes d’enseignes et d’administrations, avec une urgence (48 h) ou un petit paiement (1 à 2 €).
- Après un clic, trois gestes à connaître : faire opposition à sa carte si ses données ont été saisies, changer ses mots de passe et prévenir l’organisme concerné.
- En entreprise, le support informatique est le premier destinataire d’un signalement, puis 3 plateformes prennent le relais : Signal Spam, 33700 et Phishing Initiative.
- Les Parcours Apprenants Cybersécurité de Pix Pro proposent une évaluation des compétences, puis des modules d’une dizaine de minutes pour reconnaître le phishing et sécuriser ses comptes.
Qu’est-ce que le phishing et pourquoi est-il si répandu ?
Un mot anglais, un équivalent français, plusieurs variantes : tour d’horizon du vocabulaire, puis des raisons d’une telle présence.
Phishing, hameçonnage, smishing : les mots à connaître
Le phishing est un message frauduleux (email, SMS ou appel) qui usurpe un tiers de confiance pour obtenir des identifiants, des données bancaires ou une action. Technique d’ingénierie sociale, il porte en français le nom d’hameçonnage, terme employé par les institutions. Le smishing désigne l’hameçonnage par SMS, et le spear phishing (hameçonnage ciblé) personnalise le message à son destinataire. Côté phishing en entreprise, les messageries professionnelles figurent parmi les comptes très ciblés.
Pourquoi le phishing est un vecteur d’attaque très présent ?
En 2025, parmi les 588 entreprises de moins de 250 salariés interrogées, 16 % déclarent avoir subi une cyberattaque. Parmi elles, 43 % citent l’hameçonnage, contre 24 % en 2024. Les collectivités territoriales et administrations sont également concernées : l’hameçonnage représente 19,2 % de leurs demandes d’assistance en 2025, en hausse de 14 % vs 2024.
Ce taux peut s’expliquer par des messages mieux personnalisés grâce aux données issues de fuites et par des outils d’IA qui facilitent la rédaction multilingue. Dans une expérience de 2024 auprès de 101 participants, 54 % ont cliqué sur un email rédigé entièrement par IA, autant que sur ceux d’experts humains, contre 12 % pour des emails génériques. L’agence nationale de cybersécurité ANSSI observe que l’IA générative sert notamment à concevoir du contenu d’ingénierie sociale, et qu’une attaque complète reste conduite avec une intervention humaine.
Reconnaître un phishing en 10 secondes : les 4 signaux à repérer
Un faux mail réussit quand il ressemble à un vrai, texte soigné compris : quatre signaux, de l’expéditeur aux pièces jointes, aident à le démasquer.
L’expéditeur : l’adresse complète plutôt que le nom affiché
Affichez l’adresse complète : elle peut révéler un expéditeur usurpé. Un domaine proche d’une marque connue, avec un caractère modifié, mérite une analyse appuyée. Un message qui cite votre nom, voire un IBAN, a pu être personnalisé à partir de données issues de fuites : l’adresse de l’expéditeur et celle du site sont les premiers points à contrôler.
L’urgence : un délai serré, une menace ou une récompense
Objet alarmant, compte présenté comme bloqué, remboursement ou gain inattendu : ces messages cherchent à vous faire agir vite. Certains invitent même à répondre ou à rappeler un numéro, plutôt qu’à cliquer. Quelques secondes de recul redonnent la main.
Les liens malveillants : survoler avant de cliquer
Pour repérer un lien malveillant, placez le pointeur sur le lien : l’adresse réelle s’affiche et se compare au site officiel, un seul caractère modifié pouvant servir à tromper. Saisir soi-même l’adresse officielle dans le navigateur est une alternative fiable. Une fois la page ouverte, regardez la barre d’adresse : une page de connexion en “http://” appelle à la prudence, tandis que “https://” et le cadenas attestent d’un échange chiffré. L’authenticité du site se confirme par son adresse exacte, car certains faux sites reproduisent l’apparence d’un site connu de bout en bout.
Pièces jointes piégées et demandes d’informations : un document attendu et annoncé
Une pièce jointe légitime est en général annoncée dans le message, avec un nom cohérent. Une pièce jointe piégée peut mener vers un faux site, demander des informations ou installer un virus. Une demande d’identifiants ou d’informations confidentielles par email constitue aussi un signal fort.
Le contrôle express des 10 secondes : 4 questions à vous poser et les indices de phishing
Connaissez-vous l’expéditeur ?
Le délai annoncé est-il raisonnable ?
Le lien mène-t-il où vous l’attendez ?
La pièce jointe est-elle annoncée ?
Si vous avez un doute : contactez l’expéditeur par un autre canal que le message reçu.
Indices de phishing complémentaires : alerte de la messagerie ou de l’antivirus, fautes d’orthographe ou de grammaire, salutation générique, logo flou ou ancien, objet vague mais très alarmant ou très alléchant, demande inhabituelle de la part d’un contact connu.
Exemples de campagnes de phishing en 2025 et 2026
Cybermalveillance.gouv.fr recense chaque année les scénarios les plus diffusés : trois familles d’exemples de phishing se détachent, avec leurs signaux les plus visibles.
Faux colis et fausses commandes : des messages aux couleurs de marques connues
Le faux colis : Un supposé problème de livraison, puis un réacheminement moyennant à 1 à 2 € de frais. Mondial Relay est la marque la plus usurpée en 2025. Le site du lien recueille informations personnelles et coordonnées de carte bancaire, qui alimentent ensuite d’autres escroqueries, dans la grande majorité des cas des fraudes au faux conseiller bancaire.
Le SMS “Bonjour, vous êtes chez vous ?” : Durant l’été 2025, un smishing largement diffusé a utilisé cette simple question. Certaines applications de messagerie désactivent les liens de numéros inconnus, mais il suffit d’une réponse du destinataire pour que l’application la considère comme légitime. Les messages suivants, envoyés par un système automatisé aux réponses pré-rédigées, peuvent alors contenir des liens actifs.
La fausse confirmation de commande : Très présentes en 2025, des campagnes ont usurpé les couleurs d’Amazon et affiché des informations personnelles et bancaires (IBAN/BIC), provenant probablement de violations de données en 2024 et 2025. Cette personnalisation rend le message crédible et détourne l’attention de l’adresse de l’expéditeur et du lien.
Fausses amendes, cartes Vitale et remboursements d’impôt : l’administration comme prétexte
L’amende à régulariser : Aux couleurs de l’ANTAI ou d’Amendes.gouv.fr, un SMS ou un email annonce un retard de paiement, avec une menace de majoration. Le lien mène vers un faux site qui réclame données personnelles puis coordonnées bancaires. Dans quelques campagnes, un véritable module de paiement a dérobé 135 € par victime.
La carte Vitale à renouveler : Fin 2025, de larges campagnes ont annoncé un prétendu renouvellement de carte Vitale, à effectuer sous 48 h, avec des frais de livraison à régler par carte bancaire : un délai serré et un paiement, deux signaux à mettre en doute.
Le remboursement d’impôt : Durant l’été 2026, de faux remboursements ont été signalés par email, SMS ou téléphone, au moment des vrais versements des 24 et 31 juillet. Le message annonce un montant précis à récupérer et le lien mène vers un faux site, qui réclame données personnelles, identifiants fiscaux ou coordonnées bancaires. Ce remboursement sert de prétexte à une collecte d’informations, qui peuvent ensuite alimenter d’autres escroqueries, le plus souvent un faux conseiller bancaire. Un repère utile : l’administration fiscale rembourse directement sur le compte enregistré dans l’espace particulier, et le numéro de carte bancaire n’intervient jamais dans cette démarche.
Faux documents à télécharger : la messagerie professionnelle dans le viseur
Le faux document : Courrier recommandé en ligne (AR24), acte de notaire, facture, devis : l’email annonce un document à consulter, puis une page demande les identifiants de la messagerie pour y accéder “de manière sécurisée”. C’est l’une des méthodes les plus utilisées pour viser les messageries.
Le faux message de sécurité : Les professionnels reçoivent aussi de faux changements de mot de passe obligatoires ou de faux renforcements de sécurité, par exemple aux couleurs d’Outlook/Office 365 ou de Zimbra.
Pourquoi la messagerie professionnelle est une cible de choix ? Elle contient des informations et des documents, donne accès à d’autres comptes en ligne, permet des usurpations d’identité auprès des contacts et peut servir à envoyer des campagnes d’hameçonnage en nombre.
Phishing : que faire après un clic et quels réflexes partager en équipe ?
Un clic arrive à chacun, et quelques gestes aident à reprendre la main : les équipes RH et la DSI peuvent les relayer auprès des collaborateurs.
Les premiers gestes : couper, alerter, protéger ses comptes
Si vous avez saisi des informations, la fiche réflexe de Cybermalveillance.gouv.fr recommande notamment de :
- contacter l’organisme concerné par un moyen que vous connaissez déjà
- faire opposition auprès de votre banque en cas de données de carte
- conserver les preuves, à commencer par le message
- changer vos mots de passe, sur le site concerné et sur les services où le même est utilisé
- déposer plainte en cas de préjudice
Notre conseil : L’authentification multifacteur ajoute une seconde barrière après la saisie d’un mot de passe sur un faux site, même si certains faux sites bancaires tentent de l’intercepter. Mettez-la en place dès que possible.
Sur un poste professionnel, alertez le support informatique, débranchez l’appareil du réseau en le laissant allumé, cessez de l’utiliser et prévenez la hiérarchie et les collègues au plus vite.
Signaler un phishing en entreprise : un geste qui protège aussi les autres
En entreprise ou en collectivité, le support informatique est le premier destinataire d’un signalement. Voici les plateformes disponibles pour signaler un phishing :
- Signal Spam pour les emails
- le 33700 pour les SMS
- Phishing Initiative pour l’adresse d’un site frauduleux
17Cyber complète avec un diagnostic et une assistance en ligne.
Sensibilisation au phishing : cinq gestes simples à partager au quotidien
La sensibilisation au phishing s’appuie sur des gestes courts, faciles à répéter :
- vérifier l’adresse complète de l’expéditeur
- survoler le lien, ou saisir soi-même l’adresse officielle
- confirmer par un autre canal au moindre doute
- signaler dès le premier doute
- activer l’authentification multifacteur sur ses comptes
Évaluer, puis progresser avec les Parcours Apprenants Pix Pro
Un point de départ encourageant : selon l’Observatoire Pix, réalisé fin 2024 auprès de 1 900 personnes en emploi, 47 % réussissent la question sur le phishing et 85 % souhaitent améliorer leurs compétences numériques. Les Parcours Apprenants Cybersécurité de Pix Pro prolongent cet élan : une évaluation des compétences, puis des modules d’une dizaine de minutes ajustés au niveau de chacun. “Connaître les menaces et s’en protéger” aide à reconnaître une situation d’hameçonnage et à repérer les arnaques par manipulation psychologique. En écho à la protection des comptes après un clic, “Sécuriser ses comptes sur les services en ligne” aborde les mots de passe et la double authentification.
