Qu’est-ce qu’un site de phishing, et comment le reconnaître ?

Qu’est-ce qu’un site de phishing ?

Un site de phishing se fait passer pour une entreprise en qui vous avez confiance, pour que vous livriez quelque chose de précieux : un mot de passe, un numéro de carte, un code à usage unique, ou un appel vers une fausse assistance. Il se trouve sur une adresse que la vraie entreprise ne possède pas, et un lien dans un e-mail, un SMS ou une publicité vous y mène.

Le mot vient de l’anglais « fishing », la pêche : le message est l’appât, le site est l’hameçon. Le National Cyber Security Centre (NCSC) britannique décrit le but d’un message de phishing : vous amener sur un site qui peut télécharger un virus ou voler vos coordonnées bancaires et d’autres données personnelles.^[11] Le FBI définit le phishing comme des messages qui semblent venir d’une entreprise légitime et demandent des données personnelles, financières ou des identifiants.^[2]

On pense souvent d’abord à l’e-mail. Mais l’e-mail ne peut que demander. Le préjudice se produit sur le site, parce que c’est là que vous tapez. C’est pourquoi ce guide parle de la page, pas du message.

Que faire : chaque fois qu’un message vous demande de vous connecter, de payer ou d’appeler, considérez la page qu’il ouvre comme inconnue tant que vous n’avez pas vérifié son adresse.

Trois sortes de pages de phishing

Presque toutes les pages de phishing appartiennent à l’une de trois familles : une fausse page de connexion qui veut votre mot de passe, une fausse page de paiement qui veut votre carte, ou une fausse page d’alerte qui veut que vous appeliez un numéro. Chacune a son chemin et son indice. Le tableau les compare.

Les fausses pages de connexion copient banques, messageries, réseaux sociaux et services de streaming. L’Anti-Phishing Working Group (APWG), qui recueille les signalements d’entreprises de sécurité, a constaté qu’au dernier trimestre 2025, les réseaux sociaux et les messageries en ligne étaient les secteurs les plus attaqués, avec 20,3 % des attaques de phishing chacun, devant les opérateurs télécoms à 18,7 %.^[1] Les fausses pages bancaires sont détaillées dans Comment repérer une fausse page de connexion bancaire.

Les fausses pages de paiement réclament une petite somme, souvent des frais de livraison ou de douane, pour que vous saisissiez votre carte. La petite somme n’est pas le but ; la carte l’est. Plus de détails dans Fausses pages de paiement : comment les escrocs volent les données de carte et sur les faux frais de colis.

Les fausses pages d’alerte remplissent l’écran d’une alerte virus et d’un numéro de téléphone. Elles ont leur propre section plus bas.

Pourquoi l’apparence ne prouve rien

Une page de phishing copie l’apparence de la vraie, souvent à la perfection. Son allure ne dit donc presque rien. L’office fédéral allemand de la sécurité informatique (BSI) note que l’e-mail et le site vers lequel il renvoie sont en général soigneusement imités, jusqu’au logo, aux couleurs et aux polices.^[14] Chercher le faux à l’œil, c’est perdre d’avance.

Le cadenas n’aide pas non plus. Il signifie que la connexion est chiffrée, pas que le site appartient à celui qu’il prétend être. Le FBI prévient que les criminels misent sur la confiance du public envers « https » et le cadenas, et conseille de ne pas faire confiance à un site pour cette seule raison.^[3]

Les chiffres montrent l’ampleur :

• Des millions de sites. L’APWG a observé 3,8 millions d’attaques de phishing en 2025, un peu plus que les 3,76 millions de 2024. Rien qu’au dernier trimestre, il en a compté 853 244.^[1]
• Le délit le plus signalé aux États-Unis. L’Internet Crime Complaint Center du FBI a reçu 191 561 plaintes pour phishing et usurpation en 2025, plus que pour tout autre type de délit.^[2]
• Les plus âgés, les plus souvent visés. Les personnes de 60 ans et plus y ont déposé 48 064 plaintes pour phishing et usurpation, plus que pour toute autre escroquerie dans cette tranche d’âge.^[2]
• Partout en Europe. Selon le BSI, environ un e-mail indésirable sur trois contient une tentative de phishing.^[14] En Espagne, l’INCIBE a traité 25 133 cas de phishing en 2025.^[20]

Que faire : ne jugez plus une page à son air sérieux. Jugez-la à son adresse et à la façon dont vous y êtes arrivé.

Lisez l’adresse au bon endroit

L’adresse est la seule partie d’un site de phishing qu’un escroc ne peut pas copier, car le nom appartient à la vraie entreprise. Encore faut-il lire le bon morceau. Repérez la première barre oblique simple après https:// et lisez les deux parties juste avant. Ce couple, c’est le propriétaire du site. Tout ce qui est à gauche peut être inventé. Avec une terminaison en deux parties comme .co.uk, lisez-en trois : banqueexemple.co.uk.

Voici ce que cela donne avec une banque fictive, Banqueexemple, dont la vraie adresse est banqueexemple.fr :

La troisième ligne est l’astuce la plus courante : le vrai nom figure au début, mais le propriétaire est la partie à la fin. La cinquième remplace « m » par « rn ». La dernière place le vrai nom après la barre oblique, là où chacun peut écrire ce qu’il veut. Le FBI cite les fautes d’orthographe et les mauvaises terminaisons, comme « .com » à la place de « .gov », parmi les signes à surveiller.^[3]

Reconnaître un site d’hameçonnage à son adresse

• Repérez la première barre oblique simple après https://
• Lisez les deux parties juste avant. Est-ce le nom de l’entreprise, bien orthographié ?
• Ignorez tout ce qui est plus à gauche. « banqueexemple » à cet endroit ne prouve rien.
• Cherchez les lettres inversées, les mots ajoutés comme « securite » ou « verification », les terminaisons étranges.
• Un doute ? Fermez l’onglet et tapez vous-même l’adresse de l’entreprise.

Certains liens cachent l’adresse jusqu’à ce que vous les ouvriez. Le BSI signale que les escrocs utilisent des raccourcisseurs de liens pour que la vraie destination ne soit pas visible tout de suite.^[14] Les QR codes font de même sur papier et à l’écran ; l’APWG les suit comme une porte d’entrée à part du phishing.^[1] Dans les deux cas, il ne reste que la barre d’adresse une fois la page ouverte. Notre guide Comment vérifier un lien dans un e-mail avant de cliquer montre comment voir où mène un lien avant de l’ouvrir, et celui sur les noms de domaine trompeurs réunit d’autres astuces.

Que faire : sur un téléphone, touchez la barre d’adresse pour voir l’adresse entière avant de taper quoi que ce soit. Sur un ordinateur, regardez le haut de la fenêtre, pas le logo de la page.

Les autres signes d’une fausse page de connexion

En plus de l’adresse, trois choses trahissent une fausse page de connexion : la façon dont vous y êtes arrivé, la pression qu’elle met, et ce qu’elle demande. Une vraie connexion commence rarement par un message annonçant un problème. Une fausse, presque toujours. Et un signe discret ne coûte rien : votre gestionnaire de mots de passe reste vide.

• Vous venez d’un message. La FTC, l’autorité américaine de protection des consommateurs, rappelle que les vraies entreprises ne vous envoient pas de lien par e-mail ou SMS pour mettre à jour vos données de paiement.^[4] Si un message vous a conduit sur une page de connexion, c’est déjà une raison de vous arrêter.
• Elle est pressée. « Votre compte sera fermé dans 24 heures », « connexion inhabituelle », « confirmez maintenant ». La pression est là pour vous empêcher de vérifier.
• Elle veut tout. Le mot de passe, puis le numéro de carte, puis la date de naissance, puis un code reçu sur le téléphone. Une banque demande vos identifiants. Une page qui demande tout d’un coup collecte.
• Votre gestionnaire de mots de passe ne remplit rien. Le NCSC indique qu’un gestionnaire de mots de passe intégré au navigateur ne devrait pas proposer de mot de passe sur un mauvais site.^[7] Si votre navigateur remplit d’habitude le mot de passe de votre banque et ne propose soudain rien, l’adresse n’est pas celle de votre banque. Ne le tapez pas à la main.

Que faire : si une page de connexion vient d’un lien dans un message, fermez-la, ouvrez l’application ou tapez l’adresse vous-même et connectez-vous là. Si l’alerte était vraie, vous la verrez aussi. La FTC donne le même conseil : contactez l’entreprise par un numéro ou un site que vous savez authentique.^[4]

Les fausses alertes virus sont aussi des pages de phishing

Une fausse alerte virus est une page de phishing qui veut un appel plutôt qu’un mot de passe. Elle remplit le navigateur d’alarmes, d’un compte à rebours et d’un numéro « d’assistance ». La personne qui répond demande un accès à distance à l’ordinateur, puis de l’argent. Les vraies alertes de Windows, d’Apple ou de votre antivirus n’affichent jamais de numéro à appeler.

La FTC est claire : les vraies alertes de sécurité ne vous demandent jamais d’appeler un numéro de téléphone.^[5] Microsoft dit la même chose de ses propres messages d’erreur et de ceux des autres grandes entreprises technologiques.^[6] Ces pages donnent souvent l’impression que l’ordinateur est bloqué ; Microsoft décrit des fenêtres qui semblent empêcher l’accès à la machine pour qu’on ne puisse pas les fermer.^[6] Le plus souvent, seule la fenêtre du navigateur est coincée.

Les pertes sont lourdes. Le FBI a enregistré 47 794 plaintes pour arnaque au faux support technique en 2025 et 2 134 675 818 dollars de pertes.^[2] Les personnes de 60 ans et plus en ont perdu 1 040 730 043 dollars.^[2]

• N’appelez pas le numéro affiché.
• Fermez le navigateur. Sous Windows, appuyez sur ALT+F4.
• S’il ne se ferme pas, redémarrez l’ordinateur.
• Rouvrez le navigateur sans restaurer la session précédente.
• Si vous avez déjà appelé et laissé quelqu’un entrer, éteignez l’ordinateur et lisez la suite.

Les étapes ALT+F4 et redémarrage viennent de Microsoft.^[6] La suite, y compris après un accès à distance, se trouve dans Fausse alerte virus à l’écran : que faire et L’arnaque au faux support Microsoft expliquée. Si les alertes reviennent même navigateur fermé, un site a peut-être obtenu le droit d’envoyer des notifications : Comment arrêter les notifications frauduleuses dans Chrome, Edge et Firefox explique comment les couper.

Ce qui se passe si vous cliquez sur un lien de phishing

Ouvrir un site de phishing n’est généralement pas le problème. Y taper quelque chose, si. Selon le NCSC, quand quelqu’un clique sur un mauvais lien, l’une de deux choses se produit en général : on le persuade de saisir ses identifiants sur une fausse page, ou il télécharge un fichier malveillant.^[7] Les attaques par le navigateur lui-même sont plus rares et réservées surtout à des attaques très poussées.^[7]

Posez-vous donc trois questions, dans cet ordre :

1. Avez-vous tapé quelque chose ? Un mot de passe, un numéro de carte, un code, votre adresse. Sinon, la page n’a rien de vous.
2. Avez-vous téléchargé ou ouvert un fichier ? Un « document », une « facture », une application ou une mise à jour proposée par la page.
3. Avez-vous appelé un numéro ou laissé quelqu’un accéder à l’ordinateur ?

Si la réponse est trois fois non, fermez l’onglet, supprimez le message et passez à autre chose. Des navigateurs et des systèmes à jour rendent le troisième type d’attaque rare : laissez-les se mettre à jour automatiquement, comme la FTC le conseille pour les logiciels de sécurité.^[4]

Si vous avez téléchargé quelque chose, la FTC conseille de mettre à jour le logiciel de sécurité, de lancer une analyse et de supprimer ce qu’il signale.^[4] Si vous avez tapé quelque chose, la section suivante est pour vous.

Si c’est arrivé à un parent, restez calme. Le NCSC souligne que la honte d’avoir cliqué peut dissuader de le signaler, ce qui retarde la réaction.^[7] Un simple « merci de me l’avoir dit » vous donne les détails dont vous avez besoin, tant qu’il est encore temps. Plus de conseils dans Mon parent a cliqué sur un lien frauduleux : que faire.

Vous avez tapé quelque chose ? Faites ceci maintenant

Agissez dans l’heure, en commençant par ce qui peut coûter de l’argent. Si vous avez saisi des données de carte ou bancaires, appelez d’abord la banque : un paiement peut parfois encore être bloqué. Changez ensuite le mot de passe saisi, partout où vous l’utilisez, et déconnectez les autres sessions. Puis signalez la page pour qu’elle soit bloquée pour les autres.

• Carte ou données bancaires saisies : appelez votre banque au numéro inscrit sur votre carte. Faites opposition et demandez une surveillance des paiements.
• Mot de passe saisi : changez-le tout de suite sur le vrai site, et sur tous les sites où vous utilisez le même.
• Code unique saisi : partez du principe que l’escroc s’est connecté. Changez le mot de passe et déconnectez tous les appareils dans les réglages du compte.
• Activez la validation en deux étapes, ou une clé d’accès, pour ce compte si ce n’est pas fait.
• Gardez le message, l’adresse de la page et des captures d’écran.
• Signalez la page (voir « Où signaler un site de phishing » plus bas).
• Surveillez le compte et vos relevés pendant quelques semaines.

La FTC conseille de changer immédiatement un mot de passe donné à un escroc, y compris sur les autres comptes où vous l’avez réutilisé.^[5] En France, 17Cyber, le service en ligne de la Police nationale, de la Gendarmerie nationale et de Cybermalveillance.gouv.fr, propose un diagnostic gratuit et des recommandations, notamment pour l’hameçonnage.^[17]

La marche à suivre complète, y compris pour une messagerie piratée, se trouve dans Mot de passe saisi sur un site de phishing ? Faites ceci maintenant.

Comment se protéger des sites de phishing

Les habitudes les plus efficaces ne dépendent pas de votre capacité à repérer les faux. Allez vous-même sur les sites importants au lieu de passer par des liens, laissez un gestionnaire de mots de passe ou une clé d’accès refuser la mauvaise adresse à votre place, et ajoutez un deuxième verrou à vos comptes. Puis ajoutez un outil qui prévient avant que la page s’affiche.

• Allez sur le site vous-même. Par l’application, un favori ou l’adresse tapée. Un lien dans un message est le seul chemin que vous ne contrôlez pas.
• Utilisez un gestionnaire de mots de passe. Il ne remplit les mots de passe que sur l’adresse à laquelle ils appartiennent, ce qui en fait un test de phishing discret.^[7]
• Passez aux clés d’accès (passkeys) quand c’est possible. Une clé d’accès remplace le mot de passe et elle est liée à votre compte sur le seul site pour lequel elle a été créée. La FIDO Alliance, qui rédige la norme, les décrit comme résistantes au phishing et « secure by design ».^[9] Si un compte propose les clés d’accès, vous les trouverez dans ses réglages de sécurité.
• Activez la validation en deux étapes, en connaissant sa limite. Selon la FTC, elle complique la connexion des escrocs même s’ils ont votre mot de passe.^[4] Elle vaut la peine. Mais un code peut être hameçonné : l’agence américaine de cybersécurité CISA décrit de fausses pages de connexion qui demandent, en plus du mot de passe, le code à six chiffres de l’application d’authentification.^[8] Ne tapez jamais un code dans une page atteinte par un lien.
• Gardez la protection du navigateur activée. Google Safe Browsing avertit avant les sites dangereux connus et protège plus de cinq milliards d’appareils chaque jour, selon Google.^[10] Edge dispose de Microsoft Defender SmartScreen, qui peut aider à bloquer les sites de phishing connus, selon Microsoft.^[6] Ces listes ne connaissent que les sites signalés : une page vieille de quelques heures peut passer. Est-ce suffisant ? Notre guide La protection intégrée du navigateur suffit-elle contre les arnaques ? compare les options.

• Sites importants enregistrés en favoris ou ouverts par leur application
• Un gestionnaire de mots de passe configuré dans le navigateur
• Clés d’accès activées là où la banque ou la messagerie les propose
• Validation en deux étapes sur la messagerie, la banque et les comptes d’achat
• Protection du navigateur activée, navigateur mis à jour automatiquement

Si vous vous occupez de l’ordinateur d’un parent, mettez tout cela en place ensemble lors de votre prochaine visite. Le guide Comment protéger ses parents âgés des arnaques en ligne vous accompagne pas à pas.

Où signaler un site de phishing

Signaler un site de phishing le fait bloquer pour la personne suivante, et cela prend une minute. Le seul NCSC britannique indique que les signalements avaient permis, en septembre 2026, de supprimer 263 700 arnaques sur 466 300 adresses web.^[11] Signalez la page, transférez le message et, si de l’argent a été perdu, portez plainte.

• France : signalez un site de phishing à Phishing Initiative, un service d’Orange Cyberdefense : après vérification par ses analystes, l’adresse est transmise aux navigateurs partenaires pour être bloquée.^[16] Transférez les SMS frauduleux au 33700 et signalez les e-mails sur Signal Spam.^[18] Pour un diagnostic et des conseils, utilisez 17Cyber.^[17]
• Allemagne : les e-mails de phishing peuvent être transférés au Phishing-Radar de la Verbraucherzentrale, à phishing@verbraucherzentrale.nrw.^[15]
• Espagne : la ligne gratuite 017 de l’INCIBE répond tous les jours de 8 h à 23 h.^[19]
• États-Unis et Royaume-Uni : aux États-Unis, transférez les e-mails à reportphishing@apwg.org et signalez sur ReportFraud.ftc.gov.^[4] Au Royaume-Uni, transférez-les à report@phishing.gov.uk^[13] et signalez les sites via le formulaire du NCSC.^[12]

Vous pouvez aussi transmettre le message à l’entreprise dont le nom est usurpé ; beaucoup ont une adresse dédiée dans leur rubrique contact.^[15]

Ce qu’un bloqueur d’arnaques apporte

Toutes les vérifications ci-dessus demandent que quelqu’un les fasse, au moment précis où un message inquiétant pousse à se dépêcher. C’est justement le moment où la plupart des gens les sautent. Un bloqueur d’arnaques fait la première vérification sur chaque nouvelle page, avant que la personne tape quoi que ce soit, et intervient quand une page semble louche.

OkayTab est une extension pour Chrome, Edge et Firefox. Elle vérifie chaque nouveau site qu’une personne ouvre, y compris les fausses pages de connexion, les fausses pages de paiement et les fausses alertes virus. Quand une page ressemble à une arnaque, OkayTab affiche un avertissement plein écran avec un bouton pour revenir en arrière. Quand OkayTab ne peut pas trancher, il affiche « Pas clair. » et vous laisse décider. Seul un court résumé de la page quitte le navigateur, jamais ce que vous tapez. Aucun outil ne repère toutes les pages de phishing : aller vous-même sur les sites importants reste le plus utile.

Les options gratuites sont un bon début : Google Safe Browsing et Microsoft Defender SmartScreen avertissent déjà des sites de phishing présents sur leurs listes.^[10][6] OkayTab s’adresse à ceux qui veulent que chaque nouvelle page soit examinée, y compris celles qui n’existent que depuis quelques heures.

Questions sur les sites de phishing

Que se passe-t-il si j’ouvre un lien de phishing sans rien taper ?

En général, rien. Selon le NCSC, le préjudice vient surtout de la saisie de vos identifiants sur la fausse page ou du téléchargement d’un fichier qu’elle propose. Fermez l’onglet, ne téléchargez rien et gardez votre navigateur à jour. Si vous avez tapé quelque chose, changez le mot de passe et appelez votre banque s’il s’agissait de votre carte.

Les codes de validation en deux étapes me protègent-ils sur un site de phishing ?

En partie. La validation en deux étapes arrête un escroc qui n’a que votre mot de passe. Mais une fausse page de connexion peut aussi demander le code et l’utiliser aussitôt, comme le décrit la CISA. Ne tapez jamais un code dans une page atteinte par un lien. Les clés d’accès sont meilleures, car elles ne fonctionnent que sur le site pour lequel elles ont été créées.

Le cadenas signifie-t-il qu’un site n’est pas du phishing ?

Non. Le cadenas indique seulement que la connexion est chiffrée. Les sites de phishing l’utilisent aussi, et le FBI met en garde contre la confiance qu’on lui accorde. Lisez plutôt l’adresse.

Un site de phishing peut-il ressembler exactement à ma banque ?

Oui. Les escrocs copient logos, couleurs, polices et textes, et le BSI note que les pages de phishing sont en général soigneusement imitées. L’adresse, ils ne peuvent pas la copier, car le nom appartient à votre banque. Ouvrez votre banque par son application ou un favori.

Où signaler un site de phishing ?

En France, signalez le site sur Phishing Initiative, transférez les SMS au 33700 et les e-mails à Signal Spam. Pour un diagnostic et de l’aide, utilisez 17Cyber. Si vous avez payé, appelez d’abord votre banque, puis portez plainte.

OkayTab peut-il arrêter les sites de phishing ?

OkayTab vérifie chaque nouvelle page que vous ouvrez dans Chrome, Edge ou Firefox et affiche un avertissement plein écran quand elle ressemble à une arnaque, y compris les fausses pages de connexion et de paiement, ou « Pas clair. » quand il ne peut pas trancher. Aucun outil ne repère toutes les pages de phishing ; aller vous-même sur les sites importants reste donc essentiel.

Sources

1. Anti-Phishing Working Group : Phishing Activity Trends Report, 4th Quarter 2025 (18 février 2026)
2. FBI Internet Crime Complaint Center : 2025 Internet Crime Report
3. FBI Internet Crime Complaint Center : Cyber actors exploit "secure" websites in phishing campaigns
4. Federal Trade Commission : How to recognize and avoid phishing scams
5. Federal Trade Commission : How to spot, avoid, and report tech support scams
6. Microsoft : Protect yourself from tech support scams
7. National Cyber Security Centre : Telling users to 'avoid clicking bad links' still isn't working
8. CISA : Implementing phishing-resistant MFA (octobre 2022)
9. FIDO Alliance : Passkeys
10. Google : Safe Browsing
11. National Cyber Security Centre : Phishing scams
12. National Cyber Security Centre : Report a scam website
13. National Cyber Security Centre : Report a scam email
14. BSI : Passwortdiebstahl durch Phishing
15. Verbraucherzentrale : Phishing-Radar: Aktuelle Warnungen
16. Phishing Initiative : Phishing Initiative
17. 17Cyber : Assistance en ligne pour les victimes de cybermalveillance
18. CNIL : Spam, hameçonnage, arnaques : signaler pour agir
19. INCIBE : 017, Tu Ayuda en Ciberseguridad
20. INCIBE : INCIBE detectó más de 122.000 incidentes de ciberseguridad en 2025 (9 février 2026)