Reconnaître une arnaque en ligne avant de cliquer

Reconnaître une arnaque en ligne, c’est d’abord un réflexe qui s’apprend : en 2026, près de 9 Français sur 10 déclarent avoir déjà reçu un message frauduleux par SMS, mail ou messagerie instantanée. Le phishing, ces faux messages qui imitent une banque, un transporteur ou un service public pour vous soutirer vos données, reste la technique la plus répandue. Ce qui a changé, c’est leur qualité : les courriers d’hier truffés de fautes ont laissé place à des copies presque parfaites, parfois même rédigées dans un français impeccable.

Le tour de la question

Le terme « phishing » vient de la contraction de « fishing », pêcher en anglais : l’escroc lance un hameçon et attend que quelqu’un morde. Le principe n’a pas bougé depuis vingt ans, mais les canaux se sont multipliés. Un SMS qui vous annonce un colis en attente, un mail de votre « banque » qui vous demande de vérifier vos identifiants, un message sur une messagerie qui vous propose un poste à mi-temps trop bien payé : tous fonctionnent sur le même ressort, l’urgence et la peur.

L’Office anti-cybercriminalité (OFAC) a enregistré plus de 280 000 plaintes pour escroqueries en ligne en 2025, un chiffre en hausse de 15 % par rapport à 2024. Les préjudices vont de la cinquantaine d’euros pour un faux site de revente de places de concert à plusieurs milliers pour une usurpation bancaire. Derrière ces chiffres, il y a surtout des personnes qui se disent « je ne pensais pas que ça m’arriverait ».

Les signaux qui doivent alerter

Avant même de lire le message, trois détails techniques vous mettent la puce à l’oreille. Le premier, c’est l’adresse de l’expéditeur : un mail de la Poste qui arrive depuis « laposte-colis@expedition-track.net » ne vient pas de la Poste. Les entreprises utilisent leur propre nom de domaine, jamais une adresse générique. Sur un téléphone, appuyez longuement sur le nom de l’expéditeur pour afficher l’adresse réelle.

Le deuxième signal, c’est le lien sur lequel on vous demande de cliquer. Passez votre souris dessus sans cliquer, ou faites un appui long sur mobile : l’URL qui s’affiche n’a souvent rien à voir avec le nom de l’organisme. Un sous-domaine comme « suivi-colis-pointrelais.info » ne vous renvoie pas vers le site de la Poste, mais vers une copie conçue pour récupérer vos données.

Le troisième, c’est le ton du message. Une menace (« votre compte sera suspendu sous 24 h »), une offre trop belle (« vous avez gagné un bon d’achat de 500 € ») ou une familiarité déplacée : ces trois registres doivent vous faire reposer le téléphone. Aucun service public, aucune banque ne vous demandera jamais vos identifiants par mail ou SMS.

Signal	Ce qu’il faut regarder	Exemple suspect
Adresse expéditeur	Le domaine après le @	banque@securite-client.org
Lien masqué	Survol ou appui long	mondialrelay.colis-paiement.com
Ton du message	Urgence, menace, cadeau	« Votre colis est bloqué, agissez maintenant »
Fautes discrètes	Accents absents, tournures bancales	« Votre compte a ete suspendu »
Pièce jointe inattendue	Fichier .zip, .exe, PDF nommé « facture »	« facture_20260819.zip »

Les arnaques les plus courantes

La plus répandue en 2026 reste le faux SMS de livraison : « Votre colis est en attente, finalisez le paiement des frais de port ici ». Le montant demandé est faible, souvent 1,95 € ou 2,99 €, juste assez pour que vous ne réfléchissiez pas. Mais derrière ce petit paiement, l’escroc récupère vos coordonnées bancaires complètes et peut ensuite les utiliser pour des achats bien plus conséquents.

Le faux conseiller bancaire a lui aussi gagné en sophistication. L’appel provient d’un numéro qui ressemble à celui de votre banque, parfois même le vrai numéro, usurpé par une technique de spoofing. L’interlocuteur connaît votre nom, votre adresse, le nom de votre agence. Il vous alerte d’une « fraude en cours sur votre compte » et vous demande de valider une opération de « sécurisation » qui est en réalité un virement vers son propre compte.

Le phishing par mail reste le plus massif, avec des thèmes qui suivent l’actualité : faux remboursement des impôts au printemps, fausse amende de stationnement en été, faux renouvellement de carte Vitale à l’automne. Le faux mail de support technique, qui vous annonce que votre ordinateur est infecté et vous invite à appeler un numéro surtaxé, complète le tableau.

Réagir si on s’est fait piéger

Si vous avez cliqué et saisi vos coordonnées bancaires, le premier geste est de faire opposition. Le numéro unique est le 34 34 pour les cartes bancaires françaises, 24 heures sur 24. Vous pouvez aussi le faire depuis l’application de votre banque. Ne perdez pas une minute à vous demander si c’est vraiment nécessaire : une opposition est gratuite et une nouvelle carte vous est envoyée sous quelques jours.

Si vous avez donné un mot de passe, changez-le immédiatement sur tous les services où vous l’utilisez. Un mot de passe unique par service, c’est la règle d’or : si vous l’avez compris cette fois, appliquez-le pour la suite. Activez aussi la validation en deux étapes sur vos comptes principaux, messagerie, banque, impôts. Elle vous protège même si votre mot de passe est compromis.

Signalez le message frauduleux sur la plateforme officielle cybermalveillance.gouv.fr, ou transférez-le au 33 700 pour les SMS (service gratuit de lutte contre le spam). Pour un mail, vous pouvez le transférer à l’adresse signalement@phishing-initiative.fr. Ces signalements alimentent les bases de blocage utilisées par les fournisseurs d’accès et les navigateurs.

Le bon tuyau en plus

Le réflexe qui vous sauve dans 90 % des cas tient en une phrase : ne jamais cliquer sur un lien reçu, toujours passer par le site officiel. Un SMS de votre banque ? Ouvrez l’application de votre banque. Un mail des impôts ? Tapez impots.gouv.fr dans votre navigateur. Un message de votre opérateur ? Connectez-vous à votre espace client. Ce détour de dix secondes coupe le chemin de l’escroc : son lien, personne ne clique dessus.

Si vous avez un doute en recevant un appel suspect, raccrochez et rappelez vous-même votre banque au numéro inscrit au dos de votre carte. Un vrai conseiller comprendra parfaitement cette précaution. Si vous hébergez un proche moins à l’aise avec le numérique, installez-lui un bloqueur de publicités qui filtre aussi les sites de phishing connus. Cinq minutes de paramétrage peuvent lui éviter des mois de tracas.

FAQ

Comment savoir si un SMS est une arnaque ?

Regardez le numéro d’envoi : un numéro court à 5 chiffres est souvent légitime, un 06 ou 07 suspect. Si le message contient un lien, ne cliquez pas. Vérifiez plutôt l’information par vous-même sur le site officiel de l’organisme cité. Un SMS légitime ne vous demande jamais de communiquer vos identifiants.

Que faire si j’ai cliqué sur un lien frauduleux ?

Si vous n’avez rien saisi, fermez la page et videz le cache de votre navigateur. Si vous avez saisi vos coordonnées bancaires, faites opposition immédiatement au 34 34. Si vous avez entré un mot de passe, changez-le sans attendre sur le service concerné et sur tous les sites où vous l’utilisez.

Peut-on attraper un virus juste en cliquant sur un lien ?

C’est rare sur un téléphone récent, mais cela reste possible sur un ordinateur si la page exploite une faille de sécurité du navigateur. Maintenez votre système et votre navigateur à jour. Ne téléchargez et n’ouvrez jamais une pièce jointe provenant d’un message suspect.

Comment reconnaître un faux site de vente en ligne ?

Vérifiez l’URL dans la barre d’adresse : un site légitime commence par « https:// » et affiche un cadenas. Regardez les mentions légales et les conditions de vente : leur absence est un signal fort. Un prix trop bas par rapport au marché, l’absence de coordonnées postales ou un paiement uniquement par virement sont des indices qui ne trompent pas.

Liens utiles :