Phishing par email et SMS : vérifier, signaler, réagir

L'hameçonnage (phishing en anglais) consiste, selon la fiche de Service-Public.fr, à se faire passer pour un site familier, un organisme officiel ou l'un de vos contacts dont le compte a été piraté, afin de vous dérober des données personnelles ou des coordonnées bancaires. Le message arrive par email ou par SMS. Quand la même manœuvre passe par un appel, on parle de vishing. La même fiche rappelle que l'hameçonnage est un délit, quelles que soient les intentions de son auteur.

C'est la première raison pour laquelle les particuliers demandent de l'aide à Cybermalveillance.gouv.fr. Selon son bilan des menaces de 2025, publié le 22 avril 2026, l'hameçonnage représente près de 33 % des demandes d'assistance des particuliers, et les recherches d'assistance associées sont en hausse de 71 % par rapport à 2024. Viennent ensuite le piratage de compte, les fuites de données et l'arnaque au faux support technique.

Ce guide couvre trois questions pratiques : comment vérifier un message, à qui le signaler, et que faire, dans quel délai, si vous avez déjà donné une information.

Ce que le message cherche à obtenir

Tous les messages d'hameçonnage ne veulent pas la même chose, et la conduite à tenir en dépend. Cybermalveillance.gouv.fr distingue, dans son analyse de l'hameçonnage par SMS, trois finalités.

Le vol d'informations. Le lien mène à un site qui imite l'organisme usurpé et demande identité, adresse, numéro de téléphone, coordonnées de carte bancaire, identifiants ou mots de passe. C'est le cas le plus courant.

L'installation d'un virus. Le lien affiche une alerte qui pousse à installer une application ou une prétendue mise à jour. Une fois installée, l'application peut dérober les mots de passe utilisés sur le téléphone, intercepter les SMS de double authentification ou envoyer des SMS à votre insu.

Le rappel d'un numéro. Le message ne contient aucun lien. Il invite à appeler un numéro, par exemple pour « faire opposition » à un achat que vous n'avez pas passé. Au bout du fil, un escroc se présente comme un service officiel. Le numéro peut aussi être surtaxé.

Les prétextes, eux, varient peu. Service-Public.fr cite les plus fréquents : annonce de remboursement, impayé à régler d'urgence, renforcement de la sécurité d'un compte, problème d'acheminement d'un colis, tirage au sort.

Vérifier un message sans se fier à son apparence

Aucun élément visible du message ne permet de conclure à lui seul.

L'expéditeur affiché n'est pas une preuve. La CNIL l'écrit sans détour dans sa page Phishing : détecter un message malveillant : l'adresse de messagerie source n'est pas un critère fiable, elle peut facilement être usurpée. Pour les SMS, Cybermalveillance.gouv.fr note que l'expéditeur n'apparaît que sous la forme d'un numéro ou d'un intitulé sommaire, qui ne permettent pas d'établir l'authenticité du message.

L'adresse du lien est un indice, pas davantage. Sur ordinateur, placer le curseur sur le lien sans cliquer affiche l'adresse réelle. La CNIL précise toutefois que cette manipulation est parfois difficile, voire impossible sur un smartphone, et Cybermalveillance.gouv.fr rappelle que l'adresse d'un site y est généralement tronquée et qu'un seul caractère modifié suffit à tromper.

L'absence de fautes ne prouve rien. Cybermalveillance.gouv.fr rappelle, dans sa liste des signaux d'un mail d'hameçonnage, que ces messages comportent souvent des fautes de frappe, d'orthographe ou de grammaire, mais constate que le niveau de français des tentatives s'améliore.

La seule vérification fiable ne passe donc pas par le message. Elle consiste à ne pas utiliser le lien, puis à ouvrir vous-même le site ou l'application de l'organisme (adresse saisie à la main, favori que vous avez créé) et à regarder dans votre espace personnel si une action est réellement attendue. En cas de doute persistant, contactez l'organisme par des coordonnées que vous possédez déjà, jamais par celles du message.

Un repère vaut pour tous les cas : aucune administration ou société commerciale sérieuse ne vous demandera vos données bancaires ou vos mots de passe par message électronique ou par téléphone, rappelle la fiche hameçonnage de Cybermalveillance.gouv.fr.

Notre analyseur d'email et SMS et notre vérificateur de lien donnent une estimation du risque à partir du texte ou de l'adresse. Ils complètent la vérification à la source, ils ne la remplacent pas : un résultat rassurant ne prouve pas qu'un message est légitime.

Les cas traités en détail

Chaque prétexte a ses particularités : ce que l'organisme usurpé dit officiellement, où vérifier, quelles démarches engager.

• Faux colis par SMS : ce que La Poste réclame réellement, et dans quels cas des frais existent.
• Faux message des impôts ou d'une amende : ce que la DGFiP et l'ANTAI n'envoient jamais, et leurs seuls sites de paiement.
• Faux mail de banque : le déroulé d'une fausse connexion et les règles de remboursement.
• Faux mail de streaming ou d'abonnement : carte et compte visés en même temps.
• Hameçonnage sur les réseaux sociaux : reprendre un compte volé et porter plainte en ligne.

Où signaler, et ce que devient le signalement

Signaler ne règle pas votre situation personnelle, mais c'est ce qui permet de couper un numéro ou de faire bloquer un site. Chaque canal a son périmètre.

33700. Après le transfert du SMS, vous recevez un message vous demandant le numéro de l'expéditeur, que vous envoyez à son tour. L'envoi est gratuit chez Bouygues Telecom, Orange et SFR, au prix d'un SMS normal chez les autres opérateurs, indique Cybermalveillance.gouv.fr. Le 33700 précise que l'effet n'est pas immédiat : l'opérateur vérifie avant d'agir. Les mesures possibles sont la coupure du numéro émetteur ou du numéro surtaxé mis en avant par le message. Selon Service-Public.fr, le 33700 est la plateforme officielle de lutte contre les spams vocaux et les spams par SMS : un spam vocal peut y être signalé en ligne, même s'il a été reçu sur un téléphone fixe.

Signal Spam. La plateforme a besoin du message complet, en-têtes techniques comprises : ce sont elles qui contiennent l'adresse IP et le serveur d'origine, explique Signal Spam. Deux méthodes : installer un module de signalement pour votre messagerie ou votre navigateur, ou copier le code source du message dans le formulaire de votre espace. Signaler seulement le contenu du message ne suffit pas : il faut aussi ses en-têtes. La CNIL indique qu'elle déclenche des contrôles à partir des alertes reçues de cette plateforme.

Phishing Initiative. Le service, référencé par Service-Public.fr, demande seulement l'adresse du site suspect.

PHAROS. La plateforme du ministère de l'Intérieur ne sert pas à signaler un email d'hameçonnage en tant que tel, indique Cybermalveillance.gouv.fr. Service-Public.fr précise qu'elle ne peut être utilisée, en la matière, que si vous êtes victime ou témoin d'une escroquerie à la livraison de colis ou à la loterie, via le téléservice de signalement des contenus illicites.

Avant tout signalement, conservez le message d'origine : vous en aurez besoin si vous déposez plainte.

Vous avez saisi une information : quoi faire selon ce que vous avez donné

Si vous avez seulement lu le message, sans cliquer sur un lien, ouvrir une pièce jointe ni répondre, signalez-le par les canaux ci-dessus. Si vous avez ouvert une pièce jointe, Cybermalveillance.gouv.fr prévient qu'elle peut rediriger vers un site frauduleux, voire installer un virus sur l'ordinateur ou le téléphone. Dans les autres cas, les démarches dépendent de ce qui a été communiqué.

Des coordonnées de carte bancaire. Faites opposition tout de suite, auprès de votre banque ou du serveur interbancaire au 0 892 705 705, ouvert 7 jours sur 7 et 24 heures sur 24 (numéro majoré). Un numéro d'enregistrement vous est remis : gardez-le. Contestez ensuite chaque débit auprès de votre banque. L'article L133-18 du Code monétaire et financier prévoit le remboursement d'une opération non autorisée au plus tard à la fin du premier jour ouvrable suivant, et l'article L133-24 impose de la signaler sans tarder, au plus tard treize mois après le débit. Service-Public.fr indique que ce délai est de 70 jours si le paiement a été effectué hors de l'Espace économique européen, et que la banque peut refuser de rembourser en cas d'opposition tardive. Le détail des étapes, dont le signalement Perceval, figure dans notre article sur la fraude à la carte bancaire et sur la fiche Service-Public.fr.

Vos identifiants de banque en ligne. Prévenez votre banque sans attendre et demandez la réinitialisation de vos accès. La marche à suivre est décrite dans Faux mail de banque.

Un mot de passe. Changez-le immédiatement sur le service concerné, puis sur tous les autres services où vous utilisiez le même, et activez la double authentification lorsqu'elle est proposée. Notre vérificateur de mot de passe aide à en choisir un solide. Si vous ne pouvez plus vous connecter, voyez Compte piraté : que faire.

Une pièce d'identité ou des informations d'état civil. Le risque devient l'usurpation d'identité. Notre guide Usurpation d'identité détaille les démarches.

Une application installée à la demande du message. Cybermalveillance.gouv.fr recommande de ne jamais télécharger d'application en dehors des sites ou magasins officiels, et renvoie à ses conseils sur les virus si l'installation a eu lieu ou si le téléphone se comporte anormalement.

Dans tous les cas, attendez-vous à une suite. Cybermalveillance.gouv.fr observe que les données volées par hameçonnage servent très souvent, dans les heures ou les jours qui suivent, à une fraude au faux conseiller bancaire : un appel qui prétend bloquer une fraude en cours et vous fait valider des opérations.

Porter plainte : comment, et sur quel fondement

La plainte se dépose dans le commissariat ou la brigade de gendarmerie de votre choix. Les services sont tenus de l'enregistrer dès lors que vous êtes victime d'une infraction, rappelle Service-Public.fr. Elle peut aussi être adressée par courrier au procureur de la République, auprès du tribunal judiciaire du lieu de l'infraction ou du domicile de l'auteur, à l'aide d'un modèle de courrier. Si l'auteur est inconnu, la plainte est déposée contre X.

Apportez les preuves listées par Service-Public.fr : le message reçu, une capture d'écran du faux site, son adresse, le numéro de téléphone utilisé.

Plusieurs qualifications pénales peuvent être retenues :

• l'escroquerie, définie par l'article 313-1 du Code pénal comme le fait de tromper une personne par l'usage d'un faux nom, d'une fausse qualité ou de manœuvres frauduleuses pour la déterminer à remettre des fonds, et punie de cinq ans d'emprisonnement et de 375 000 euros d'amende. La tentative est punie des mêmes peines, précise Service-Public.fr ;
• l'usurpation d'identité, punie d'un an d'emprisonnement et de 15 000 euros d'amende par l'article 226-4-1 du Code pénal, y compris lorsqu'elle est commise en ligne ;
• la collecte de données personnelles par un moyen frauduleux, punie selon Service-Public.fr de cinq ans d'emprisonnement et de 300 000 euros d'amende ;
• l'accès frauduleux à un système de traitement automatisé de données, lorsque vos identifiants ont servi à entrer dans un compte : trois ans d'emprisonnement et 100 000 euros d'amende selon l'article 323-1 du Code pénal.

Se faire aider

• Info Escroqueries, service de la police nationale : 0 805 805 817, appel gratuit, du lundi au vendredi de 9 h à 18 h 30, pour être conseillé et orienté.
• France Victimes : 116 006, appel gratuit, 7 jours sur 7 de 9 h à 19 h, pour un accompagnement dans la démarche de plainte.
• 17Cyber, service d'assistance en ligne présenté sur Service-Public.fr, pour identifier votre situation et les solutions adaptées.