Un email de votre banque, logo compris, qui vous prévient que votre compte va être bloqué dans 24h. Un SMS de bpost pour un colis bloqué en douane, avec un petit lien à cliquer — alors que vous n'avez rien commandé depuis trois semaines. Un message de votre responsable qui demande un virement en urgence, avant une réunion, écrit dans un français étonnamment approximatif pour quelqu'un qui dirige l'entreprise. Point commun : ce sont des arnaques, et elles sont de mieux en mieux imitées.
Le phishing (ou hameçonnage) reste la porte d'entrée numéro un des cyberattaques, aussi bien chez les particuliers que dans les petites entreprises. Pas besoin d'être un expert en informatique pour s'en protéger — juste de savoir où regarder, et de résister à cette petite voix qui dit « bon, je clique vite fait ».
Pourquoi ça marche aussi bien
Le phishing ne cherche pas à pirater votre ordinateur. Il cherche à vous piéger, vous, directement. Un email bien fait ne s'attaque pas à une faille technique : il s'attaque à un réflexe humain — l'urgence, la peur, la fatigue, ou simplement l'habitude de cliquer sans réfléchir.
« Votre compte sera suspendu sous 24h. » « Facture impayée, dernier rappel avant poursuites. » « Colis en attente, frais de douane à régler. » Ces messages sont construits pour une seule chose : vous faire agir vite, avant que vous ne preniez le temps de vérifier.
Et les outils pour les fabriquer sont devenus très accessibles. Un logo copié, une mise en page identique à l'original, parfois même un nom de domaine à une lettre près (cbc-banque.be au lieu de cbc.be). Fini le temps du prince nigérian mal orthographié qui vous promettait dix millions de dollars — l'arnaque d'aujourd'hui a un service marketing. La différence entre un vrai message et un faux est parfois minime — d'où l'intérêt d'avoir quelques réflexes systématiques plutôt que de se fier à l'œil.
Les signaux qui doivent vous alerter
Aucun de ces signes n'est une preuve à lui seul, mais dès que deux ou trois s'accumulent, la méfiance est de mise :
- L'urgence artificielle — un compte bloqué « dans les 24h », une offre qui expire « ce soir ». Les vraies organisations ne fonctionnent presque jamais avec ce niveau d'urgence par email.
- L'expéditeur ne correspond pas — regardez l'adresse complète, pas juste le nom affiché.
Service Client BNPpeut très bien cachercontact@secure-banque-verif.info, surtout sur smartphone où l'affichage est tronqué. - Le lien ne correspond pas au texte affiché — sur ordinateur, survolez le lien sans cliquer : l'adresse réelle s'affiche en bas de votre navigateur ou de votre client mail. Sur mobile, un appui long fait souvent apparaître l'URL.
- Une demande d'informations sensibles — mot de passe, numéro de carte, code de vérification. Aucune banque, aucune administration sérieuse ne vous les demande par email.
- Des fautes ou une mise en page légèrement décalée — de moins en moins fréquent avec l'IA, mais ça reste un bon indice quand c'est présent.
- Une pièce jointe inattendue, surtout un fichier
.zip,.exe, ou un document Office qui demande d'« activer les macros ». - Un ami vous contact via un réseau social ou un email, mais le ton est inhabituel ou la demande étrange. Les comptes peuvent être piratés pour envoyer des messages à vos contacts, si un doute persiste, contactez la personne par un autre canal avant de répondre.
Le doute est votre meilleur outil. Une entreprise sérieuse ne vous en voudra jamais de vérifier avant d'agir — et si votre banque vous en veut vraiment de prendre trente secondes pour vérifier, changez peut-être de banque.
Le réflexe qui règle 90 % des cas
Ne cliquez jamais sur le lien du message. Ouvrez votre navigateur, et allez vous-même sur le site officiel en tapant l'adresse ou via vos favoris. Si votre compte a vraiment un problème, vous le verrez en vous connectant normalement.
Même logique au téléphone : si un « conseiller bancaire » vous appelle et vous demande des informations, raccrochez et rappelez vous-même le numéro officiel de votre banque, celui qui figure sur votre carte ou votre contrat. Jamais celui que la personne vous donne.
En entreprise, une demande de virement inhabituelle « de la part du patron », même par email ou via une messagerie qui semble légitime, mérite toujours une vérification par un second canal — un coup de téléphone, un message sur une autre plateforme. C'est ce qu'on appelle la fraude au président, et elle a coûté des sommes considérables à des entreprises, y compris de petite taille.
Avec l'évolution de l'IA, les arnaques deviennent de plus en plus crédibles, reproduction de voix connue, messages personnalisés, et même conversations entières simulées. Le réflexe de vérifier par un autre canal reste la meilleure protection où même mieux d'avoir un protocole interne pour valider les demandes inhabituelles, par exemple, une phrase de sécurité pour prouver que la demande est légitime.
Vous avez déjà cliqué ? Voici quoi faire
Respirez. Ça arrive aux meilleurs — y compris à des gens qui donnent des formations sur le sujet, un jour de fatigue entre deux cafés. Pas de panique, mais il faut agir vite et dans l'ordre.
- Ne saisissez rien de plus si une page de connexion s'est ouverte — fermez-la simplement.
- Si vous avez entré un mot de passe, changez-le immédiatement sur le vrai site, et sur tout autre site où vous utilisiez le même (voir notre article sur les bons mots de passe).
- Si vous avez communiqué des données bancaires, contactez votre banque sans attendre pour faire opposition ou surveiller les mouvements.
- Si un fichier a été téléchargé et ouvert, déconnectez l'appareil du réseau et faites-le vérifier — un fichier piégé peut installer un logiciel malveillant à votre insu.
- Signalez le message. En Belgique, vous pouvez transférer l'email suspect à suspicious@safeonweb.be, le service du Centre pour la Cybersécurité Belgique. Pour un SMS frauduleux, un transfert au 8811 est aussi possible.
Et si des données personnelles ont fuité : le rôle de la CNIL (et de l'APD en Belgique)
Le phishing ne vise pas que les particuliers — il vise aussi les entreprises, souvent pour accéder à des bases de données de clients. Si vous gérez une activité, même petite, et que vous soupçonnez une fuite de données personnelles (fichier clients, emails, informations de paiement), vous avez des obligations légales, pas juste une bonne pratique à suivre.
En Belgique, l'équivalent est l'Autorité de protection des données (APD), qui rappelle que toute violation de données personnelles présentant un risque pour les personnes concernées doit être notifiée dans les 72 heures suivant sa découverte. Si vous êtes une entreprise ou une association basée en Belgique, c'est vers elle qu'il faut se tourner en cas d'incident, en parallèle d'un signalement à Safeonweb.
Dans les deux cas, le principe est le même : mieux vaut notifier une fuite rapidement, même mineure, que la découvrir plus tard sans avoir réagi. Cela fait partie des obligations RGPD, et une notification tardive ou absente peut être plus lourdement sanctionnée que l'incident lui-même.
En résumé
Le phishing mise sur la vitesse et l'automatisme. La meilleure protection, c'est de ralentir : vérifier l'expéditeur, ne jamais cliquer sur un lien reçu par email pour se connecter à un compte sensible, et appeler directement en cas de doute plutôt que de répondre au message. Si un incident touche des données personnelles dans un cadre professionnel, la déclaration à la CNIL ou à l'APD n'est pas optionnelle — c'est une obligation, avec un délai serré. Et non, votre colis n'est jamais réellement bloqué en douane.
Si vous avez un doute sur un email reçu, ou si vous pensez avoir été victime d'une tentative de phishing, n'hésitez pas à me contacter — c'est le genre de situation où quelques minutes de vérification évitent souvent bien des complications.
Sources
- CNIL — Comment se protéger du phishing — recommandations officielles
- CNIL — Notification de violation de données — obligations et délai de 72h
- Safeonweb (Centre pour la Cybersécurité Belgique) — signalement des emails et SMS frauduleux
- Autorité de protection des données (Belgique) — équivalent belge de la CNIL