Le phishing, ou hameçonnage en français, est l'une des cyberattaques les plus répandues. Elle vise aussi bien les particuliers que les entreprises, et peut entraîner le vol de données personnelles, bancaires, ou l'usurpation d'identité. En quoi consiste cette pratique, que prévoit la loi pour la sanctionner, et surtout comment s'en prémunir ? Le point.
Je précise mon rôle : je vulgarise ici un sujet à la croisée du droit pénal et de la sécurité numérique, dans une optique de protection. Pour une situation concrète, les ressources officielles citées en fin d'article et, le cas échéant, un professionnel, sont les bons interlocuteurs.
L'hameçonnage est un message frauduleux (le plus souvent un courriel, mais aussi un SMS, on parle alors de smishing, ou un message sur les réseaux sociaux) par lequel un escroc se fait passer pour un tiers de confiance (banque, administration, service de livraison, opérateur…) afin d'inciter la victime à communiquer des données personnelles ou bancaires, ou à cliquer sur un lien malveillant.
Le terme vient de l'anglais « fishing » (pêcher) : l'attaquant « lance une ligne » en espérant que des victimes « mordent ». Contrairement à ce que l'on lit parfois, il n'existe pas de version « légitime » de cette pratique : se faire passer pour autrui pour obtenir des données qu'une personne n'aurait pas livrées en connaissance de cause est, par nature, une tromperie sanctionnée par la loi.
Le phishing n'est pas une simple incivilité numérique : c'est un comportement susceptible de constituer plusieurs infractions pénales, selon les circonstances. Les autorités (notamment cybermalveillance.gouv.fr et le ministère de l'Économie) retiennent en particulier :
En cas d'utilisation frauduleuse de données bancaires dérobées, d'autres infractions peuvent s'ajouter (contrefaçon et usage frauduleux de moyen de paiement). La pratique relève donc clairement de la loi pénale, et expose son auteur à des poursuites.
Savoir repérer les signaux d'alerte est la meilleure défense. Plusieurs indices doivent éveiller la méfiance, sans qu'aucun ne soit infaillible :
En cas de doute, la règle d'or est simple : ne cliquez pas, ne répondez pas, et vérifiez en passant par le canal officiel habituel (le site ou le numéro de l'organisme, saisi vous-même, jamais le lien du message).
Si vous avez communiqué des informations ou cliqué sur un lien suspect, il faut agir vite. Si des données bancaires sont en cause, contactez immédiatement votre banque pour faire opposition et surveiller votre compte. Conservez les preuves (le message reçu, les captures d'écran, les adresses). Changez sans tarder les mots de passe concernés.
Vous pouvez ensuite signaler et, le cas échéant, porter plainte :
Pour les entreprises, l'hameçonnage est une menace majeure, et la cybersécurité passe d'abord par la vigilance des équipes. Il existe à ce titre une pratique légitime, à bien distinguer de l'attaque : le test d'hameçonnage interne. Il consiste, pour une organisation, à simuler une fausse campagne de phishing auprès de ses propres salariés, dans un cadre défini et à des fins de formation et de sensibilisation.
Cette démarche est licite parce qu'elle ne vise que les collaborateurs de l'entreprise, n'usurpe pas l'identité de vrais tiers pour piéger le public, et poursuit un objectif pédagogique. Elle doit toutefois être menée avec discernement (information des instances concernées, respect des personnes, absence de sanction individuelle). C'est l'exact opposé du phishing dirigé contre des tiers pour collecter leurs données, qui, lui, reste illégal.
Le phishing est une attaque par laquelle un escroc se fait passer pour un tiers de confiance afin de soutirer des données personnelles ou bancaires. C'est une pratique illégale, susceptible de constituer plusieurs infractions (collecte frauduleuse de données, usurpation d'identité, escroquerie, accès frauduleux), lourdement sanctionnées. La meilleure protection reste la vigilance : se méfier de l'urgence et des demandes de données, ne jamais cliquer sur un lien douteux, et vérifier par le canal officiel. En cas de problème, faites opposition, conservez les preuves, signalez (cybermalveillance.gouv.fr, PHAROS, 0 805 805 817) et portez plainte.
Ce sujet évoluant vite, il est utile de se tenir informé via les ressources officielles. Cet article a une vocation purement informative et ne remplace pas un conseil personnalisé.
Article rédigé par
