En 30 secondes

  • Un message qui imite FranceConnect, votre banque, l'Assurance maladie ou les impôts doit être traité comme suspect dès qu'il demande un clic, un mot de passe ou des coordonnées bancaires.
  • Le bon réflexe n'est pas de répondre. Fermez le message, puis ouvrez le site ou l'application officielle par vos moyens habituels.
  • FranceConnect indique que ses e-mails officiels utilisent les domaines @franceconnect.gouv.fr et @notification.franceconnect.gouv.fr. Une autre adresse doit vous arrêter.
  • Si vous avez donné un mot de passe, changez-le immédiatement, surtout si vous l'utilisez ailleurs. Activez une vérification supplémentaire quand le service la propose.
  • Si de l'argent est parti, contactez la banque sans attendre, conservez les preuves et utilisez les dispositifs officiels de signalement.

Le danger commence quand le message vous presse

Le faux message efficace ne ressemble plus toujours à une faute grossière. Il peut reprendre un logo, une couleur officielle, votre prénom ou une situation crédible : remboursement, colis, carte Vitale, compte bancaire bloqué, amende, impôt, espace personnel à confirmer. Ce qui doit vous alerter n'est donc pas seulement l'apparence. C'est la demande.

Cybermalveillance.gouv.fr décrit l'hameçonnage comme une usurpation d'identité d'un tiers de confiance, par e-mail, SMS ou téléphone, pour vous pousser à communiquer des données d'identité, des mots de passe ou des numéros de carte bancaire. Service Public rappelle aussi que le hameçonnage peut concerner un message ou un appel suspect prétendant venir d'une banque ou d'une administration.

Le piège le plus fréquent est le sentiment d'urgence. Le message annonce une fermeture de compte, une somme perdue, une livraison annulée ou une démarche à faire le jour même. Cette pression sert à vous faire agir avant de réfléchir. Quand un message vous donne peur, vous promet de l'argent ou vous menace d'un blocage, ralentissez volontairement.

La règle simple tient en une phrase : un organisme sérieux ne vous demande pas de donner votre mot de passe ou vos coordonnées bancaires en suivant un lien reçu par message. S'il existe vraiment un problème, vous le retrouverez dans votre espace personnel officiel.

Ne vérifiez pas le lien, vérifiez le chemin

Beaucoup de conseils disent de regarder l'adresse du lien. C'est utile, mais insuffisant. Sur un téléphone, l'adresse est parfois raccourcie. Dans un e-mail, le texte affiché peut cacher une autre adresse. Un faux site peut aussi utiliser un nom très proche du vrai, avec une lettre changée ou un mot ajouté.

Le geste le plus sûr est de ne pas utiliser le lien du message. Ouvrez votre navigateur, tapez vous-même l'adresse que vous connaissez, ou passez par votre favori déjà enregistré. Pour la banque, utilisez l'application installée depuis longtemps. Pour une administration, passez par le portail officiel que vous utilisez habituellement.

Cette méthode évite une grande partie des pièges, même si le message est bien imité. Elle est aussi plus simple que d'essayer de devenir spécialiste des adresses internet. Vous n'avez pas à deviner si le lien est bon. Vous refusez simplement de vous connecter depuis le message.

Gardez ce tableau sous la main pour décider vite.

Situation Mauvais réflexe Bon réflexe
SMS de livraison avec frais à payer Cliquer et saisir la carte Ouvrir le site du transporteur par vos moyens habituels
E-mail FranceConnect alarmant Répondre ou se connecter depuis le lien Vérifier l'adresse d'expédition, puis aller sur le site officiel
Appel d'un faux conseiller bancaire Donner un code reçu par SMS Raccrocher et appeler le numéro habituel de la banque
Message d'un proche qui demande de l'argent Virer rapidement pour aider Appeler la personne sur son numéro connu
Alerte de compte bloqué Réutiliser le même mot de passe partout Changer le mot de passe depuis le vrai site

FranceConnect : deux adresses à connaître

FranceConnect est une cible logique, car beaucoup de démarches y passent. Un faux message FranceConnect peut chercher à obtenir l'accès à des espaces administratifs, puis à d'autres informations personnelles. Le service d'aide de FranceConnect indique que ses messages officiels sont envoyés uniquement depuis @franceconnect.gouv.fr et @notification.franceconnect.gouv.fr.

Cette information ne transforme pas l'e-mail en document parfait. Une adresse peut être mal lue, un affichage peut tromper, et le plus prudent reste de ne pas cliquer. Mais elle donne un premier filtre. Si le message vient d'une adresse qui ne correspond pas, ne répondez pas et ne transmettez aucune information.

En cas de doute, gardez le message sans le modifier. Ne le supprimez pas tout de suite. FranceConnect indique que vous pouvez transférer un e-mail suspect à son support sécurité. Pour un site frauduleux, la page d'aide renvoie aussi vers un signalement de site malveillant. Le but n'est pas de mener l'enquête vous-même. Le but est de ne rien donner, puis de conserver une trace exploitable.

Ne confondez pas non plus FranceConnect et France Identité. L'un sert à vous connecter à des services publics en ligne. L'autre repose sur une application et un parcours distinct. Un message qui mélange tout, qui vous demande de télécharger une application en urgence ou qui exige une photo de pièce d'identité doit vous arrêter.

Le téléphone reste l'arme la plus convaincante

Un appel paraît souvent plus crédible qu'un e-mail. La personne parle bien, connaît parfois votre nom, cite votre banque ou une opération récente. Elle peut vous dire qu'un virement suspect est en cours et qu'il faut agir tout de suite. C'est précisément le moment où il faut raccrocher.

Un vrai conseiller n'a pas besoin de votre mot de passe. Il n'a pas besoin du code de validation que vous venez de recevoir. Il n'a pas besoin que vous installiez une application de contrôle à distance. Si l'appel concerne une opération grave, vous pouvez rappeler votre banque par le numéro habituel, celui de votre carte, de votre relevé ou de votre application.

Le point difficile est psychologique. Raccrocher paraît impoli. Pourtant, c'est la bonne décision. Vous pouvez dire : « Je rappelle ma banque par le numéro habituel. » Puis vous coupez. Si l'appel était réel, la banque pourra vous renseigner. S'il était frauduleux, vous venez d'éviter le piège.

Prévenez aussi la personne qui partage votre compte ou votre logement. Une fraude peut commencer avec vous et continuer avec votre conjoint, votre enfant ou une aide à domicile. Plus le scénario est urgent, plus il faut sortir du tête-à-tête avec l'appelant.

Mot de passe donné : l'ordre des gestes compte

Si vous avez saisi un mot de passe sur un faux site, n'attendez pas de voir si quelque chose se passe. Changez-le immédiatement depuis le vrai site. Si le même mot de passe sert ailleurs, changez-le aussi sur ces autres services. C'est pénible, mais c'est souvent là que les dégâts s'étendent.

L'ANSSI recommande d'adapter la robustesse du mot de passe au contexte, d'utiliser un coffre-fort de mots de passe et de privilégier l'authentification multifacteur. Dit simplement : un mot de passe unique pour chaque service important, conservé dans un outil fiable, et une vérification supplémentaire quand elle existe.

La vérification supplémentaire peut être un code dans une application, une validation sur votre téléphone ou une clé physique selon les services. Elle n'est pas magique. Si vous validez vous-même une opération frauduleuse, elle ne vous protège pas. Mais elle empêche souvent qu'un mot de passe volé suffise à entrer dans le compte.

Pour les comptes les plus sensibles, commencez par la messagerie. Votre boîte e-mail reçoit les liens de réinitialisation de beaucoup d'autres comptes. Si un fraudeur y entre, il peut reprendre la main sur vos démarches, vos achats et parfois vos espaces administratifs. Ensuite, traitez la banque, les impôts, l'Assurance maladie, les opérateurs téléphoniques et les sites marchands où une carte est enregistrée.

Argent débité : gardez les preuves avant de tout effacer

Si des débits apparaissent, contactez la banque rapidement pour faire opposition si nécessaire, contester les opérations et demander la marche à suivre. Service Public indique que, lorsque des informations bancaires ont été communiquées et que des débits ont eu lieu, il faut contacter la banque afin de faire opposition, de contester les opérations effectuées et d'obtenir un remboursement selon la situation.

Avant d'effacer quoi que ce soit, conservez les preuves : SMS, e-mails, numéro appelant, adresse du faux site, captures d'écran, date et heure des échanges, montants débités. Ces éléments peuvent servir au signalement, à la banque et au dépôt de plainte. Ne modifiez pas le message d'origine si vous pouvez l'éviter.

Selon le canal utilisé, plusieurs dispositifs existent : signalement de site d'hameçonnage, plateforme PHAROS pour certains contenus, service d'assistance aux victimes de cybermalveillance, dépôt de plainte auprès des forces de l'ordre. Vous n'avez pas besoin de choisir seul dans l'urgence. Commencez par la banque si l'argent est en jeu, puis suivez les parcours officiels de signalement.

Ne payez pas une seconde fois pour « récupérer » l'argent. Les fraudeurs peuvent rappeler en se présentant comme un service d'aide, un enquêteur ou un expert technique. Si quelqu'un vous demande encore un code, un virement ou une installation d'application, c'est un nouveau piège.

Organiser vos comptes pour fatiguer les fraudeurs

La meilleure défense n'est pas de repérer tous les faux messages. C'est de rendre leur travail moins rentable. Créez un favori pour les sites importants. Supprimez les cartes enregistrées sur les sites que vous utilisez peu. Notez le numéro d'urgence de la banque sur papier, pas seulement dans le téléphone. Rangez les mots de passe dans un coffre-fort plutôt que dans un carnet posé près de l'ordinateur.

Parlez aussi des procurations et des accès partagés. Donner le code de son téléphone à un proche pour dépanner n'est pas la même chose que lui confier l'accès complet à la banque. Si vous avez besoin d'aide régulière, mieux vaut poser un cadre clair avec la banque et, si la situation l'exige, se renseigner sur les outils juridiques adaptés. Un accès improvisé peut créer des malentendus dans la famille et compliquer les recours.

Enfin, acceptez de ne pas répondre vite. Un message légitime supporte presque toujours une vérification. Un fraudeur, lui, a besoin que vous agissiez maintenant. C'est souvent la meilleure différence entre les deux.

Sources

Sources vérifiées le 22 août 2026 : Cybermalveillance.gouv.fr, dossier « Qu'est-ce que le phishing ou hameçonnage ? », mis à jour le 2 juin 2026 ; Service Public, fiche « Hameçonnage (phishing ou vishing) », vérifiée le 10 avril 2026 ; FranceConnect, aide usagers « Comment reconnaître un message frauduleux (phishing) ? » ; MesServicesCyber et ANSSI, guide « Recommandations relatives à l'authentification multifacteur et aux mots de passe », publié le 8 octobre 2021. Les consignes de signalement peuvent évoluer : vérifiez les pages officielles avant une démarche importante.

Pour aller plus loin

Cet article vous a été utile ?

Partagez-le, il peut rendre service à quelqu'un de votre entourage.