Le phishing, ou hameçonnage, est une méthode d’escroquerie qui consiste à se faire passer pour un organisme de confiance – une banque, un service postal, une administration – afin de vous soutirer des informations personnelles ou bancaires. L’attaque se présente généralement sous forme d’e-mail, de SMS ou de message privé contenant un lien vers un site piégé. L’objectif : vous inciter à saisir vos identifiants, mots de passe ou données de carte bancaire.
Des exemples concrets et quotidiens. Les escrocs savent imiter à la perfection les messages de votre banque, de la Poste ou d’un service de livraison comme UPS ou DPD: logos officiels, mise en page soignée, vocabulaire professionnel. Un faux e-mail peut vous annoncer un problème de connexion, un colis en attente de paiement ou un remboursement urgent. Les SMS frauduleux jouent sur l’urgence et contiennent souvent un lien raccourci pour masquer l’adresse réelle. Même l’État est utilisé comme prétexte, avec de faux messages d’impôts ou d’amendes à régler immédiatement.
Pourquoi on tombe encore dans le piège en 2025 ? Parce que ces messages sont conçus pour créer une réaction émotionnelle forte : peur, urgence, promesse d’un gain. Sous stress, on clique avant de réfléchir. Les cybercriminels utilisent aussi des bases de données d’adresses réelles récupérées lors de fuites, ce qui rend leurs messages plus crédibles car ils contiennent vos nom et prénom.
Comment vérifier l’origine d’un message ? Avant de cliquer sur un lien, passez la souris dessus pour voir l’adresse réelle. Si elle ne correspond pas au site officiel, méfiance. Les banques et administrations ne demandent jamais de saisir vos identifiants complets ou codes par e-mail ou SMS.
Pour vérifier l’origine d’un lien, il suffit de regarder l’aperçu de l’adresse avant de cliquer.
Sur ordinateur, placez votre souris sur le lien (sans cliquer). L’adresse réelle s’affichera généralement en bas à gauche de votre navigateur (Chrome, Firefox, Edge, Safari) ou dans une petite info-bulle près du curseur si vous lisez vos e-mails.
Concentrez-vous sur le début de l’adresse : c’est le nom de domaine qui compte.
- Exemple correct : https://www.ma-banque.ch/securite → domaine officiel : ma-banque.ch
- Exemple trompeur : https://www.ma-banque.ch-securite.com → domaine réel : ma-banque.ch-securite.com, qui n’appartient pas à votre banque.
Sur smartphone ou tablette, faites un appui long sur le lien dans un e-mail ou un SMS. Une fenêtre affichera l’adresse complète. Ne cliquez pas tant que vous n’êtes pas sûr qu’il s’agit bien du site officiel.
Si l’adresse est très longue, contient des caractères étranges ou utilise un raccourcisseur de lien (type bit.ly), soyez particulièrement vigilant. En cas de doute, contactez directement l’organisme par son numéro officiel, et non celui indiqué dans le message.
Où signaler une tentative de phishing. En Suisse, vous pouvez vous rendre sur le site antiphishing.ch ou à la Centrale d’enregistrement et d’analyse pour la sûreté de l’information (MELANI) via report.ncsc.admin.ch. Les signalements permettent de faire fermer rapidement les sites frauduleux et de prévenir d’autres victimes.
Le réflexe à adopter : ne jamais cliquer dans un message non sollicité, même s’il semble crédible. Tapez toujours vous-même l’adresse du site dans votre navigateur et utilisez vos accès habituels pour vérifier si l’alerte est réelle.
