Un mail de votre expert-comptable vous demande de valider une facture. Le logo est bon, la signature est là, le fil de discussion reprend trois échanges précédents. Tout est normal. Sauf que ce n'est pas lui. Ce scénario, je l'ai vu se jouer chez un client en mars dernier, et le comptable en question n'avait jamais envoyé ce message. Le fichier venait d'un domaine qui s'écrivait avec un « rn » à la place du « m ». Personne ne l'avait remarqué pendant deux jours.
Voilà où on en est en 2026 avec le phishing. Les fautes d'orthographe, les majuscules hystériques, le prince nigérian : cette époque est révolue. Ce qui circule aujourd'hui, ce sont des messages écrits par des modèles de langage, dans un français impeccable, avec le bon ton, la bonne formule de politesse et le bon contexte. Détecter une arnaque par hameçonnage ne consiste plus à repérer ce qui cloche visuellement. Il faut vérifier ce qui se passe derrière le message.
Points clés à retenir
- L'IA a tué les signaux d'alerte « visibles » : l'orthographe et la mise en page ne sont plus des indicateurs fiables.
- Le seul réflexe qui tient encore : vérifier le domaine réel et l'identité par un canal séparé, jamais par le canal qui vous sollicite.
- Les passkeys et clés FIDO2 résistent au phishing par conception, là où le code SMS ne protège plus.
- Une victime se repère à des traces concrètes : règles de transfert inconnues, sessions actives, mots de passe modifiés.
- Le temps de réaction compte plus que la technologie : les premières heures décident de l'ampleur des dégâts.
Pourquoi le phishing de 2026 n'est plus reconnaissable à l'œil
La première fois que j'ai reçu un faux message d'un fournisseur, j'ai passé dix minutes à chercher la faille. Rien. Pas une faute. Pas un logo flou. L'adresse affichée paraissait correcte. C'est mon client qui m'a fait remarquer que le nom de domaine, dans les détails de l'expéditeur, comportait un tiret de trop.
Le problème, c'est que les outils de détection grand public n'ont pas suivi. Un antispam classique filtre sur des signatures connues, des listes noires, des motifs. Face à un message généré à la demande, personnalisé avec le nom de votre entreprise, le nom de votre interlocuteur habituel et le bon montant, il ne voit rien. La règle de base reste la même qu'avant, mais elle s'applique à des endroits différents.
Le signal qui a disparu : le style d'écriture
Pendant des années, on a conseillé de se méfier des tournures bancales. Ce conseil est mort. Un escroc peut aujourd'hui produire, en quelques secondes, un message dans un registre professionnel parfait, avec la signature conforme de votre banque et le jargon qui va bien. Et il peut le faire dans la langue de votre choix.
Ce qui reste vérifiable, en revanche :
- Le domaine réel de l'expéditeur, pas le nom affiché (sur ordinateur, ouvrez les détails ou l'en-tête complet).
- La cohérence du fil de discussion : un vrai fil reprend des messages antérieurs que vous avez réellement envoyés. Une réponse qui « arrive » sans que vous ayez écrit, c'est un drapeau rouge.
- Le domaine du lien avant de cliquer, via un survol ou un appui long sur mobile.
- Les en-têtes d'authentification (SPF, DKIM, DMARC) pour les personnes qui savent les lire, ou pour l'équipe informatique de votre structure.
Quels sont les trois signes les plus révélateurs d'une tactique d'hameçonnage ?
Si je devais en garder trois, ce seraient ceux-ci : une urgence artificielle (compte suspendu dans 24 h, paiement à valider immédiatement), une demande d'action inhabituelle de la part d'un interlocuteur familier, et une incohérence de domaine entre ce qui est affiché et ce qui est réellement utilisé. Ces trois signes se combinent presque toujours, même quand le message est écrit par une IA.
L'urgence est le plus efficace parce qu'elle attaque votre jugement, pas votre logique. Un message qui vous laisse trois jours pour réagir vous laisse le temps de vérifier. Un message qui vous en donne trente minutes vous pousse à cliquer avant de réfléchir. C'est exactement ce que l'escroc cherche.
La hiérarchie des protections : ce qui marche vraiment
Beaucoup de gens confondent « avoir activé la double authentification » et « être protégé ». Ce n'est plus vrai. Depuis quelques années, les attaques par relais en temps réel contournent le code SMS et même le code généré par une application d'authentification : l'escroc se place entre vous et le vrai site, vous saisissez votre code, il le réutilise immédiatement.
Le tableau suivant résume ce que j'observe en pratique, du plus faible au plus solide :
| Protection | Résiste au phishing temps réel ? | Remarque |
|---|---|---|
| Mot de passe seul | Non | Rejoué instantanément |
| Code par SMS | Non | Interceptable, relayé |
| Code par application (TOTP) | Partiellement | Vulnérable au relais de session |
| Passkey / clé FIDO2 | Oui, par conception | La clé est liée au domaine réel |
Pourquoi la passkey tient bon ? Parce que la clé cryptographique est associée au domaine authentique du service. Si vous êtes sur un faux site qui imite votre banque, la clé refuse de fonctionner. L'escroc ne peut pas la relayer, même s'il voit tout ce qui se passe. C'est un verrou qui vérifie où vous êtes, pas seulement qui vous êtes.
J'ai basculé mon propre compte principal sur passkey il y a un peu plus d'un an. Honnêtement, je ne pensais pas que ça changerait grandement les choses. Puis j'ai réalisé que je n'avais plus jamais eu à me demander si un site était le bon. La clé le fait pour moi.
Quelle est la meilleure protection contre le phishing ?
La passkey ou une clé de sécurité FIDO2, activée en priorité sur votre messagerie principale et sur vos comptes bancaires. C'est la protection la plus solide, car elle résiste au phishing par conception, alors que toutes les autres méthodes reposent sur votre vigilance au moment critique. Ajoutez-y un gestionnaire de mots de passe : il remplit automatiquement les identifiants uniquement sur le domaine enregistré, ce qui vous alerte silencieusement quand vous êtes ailleurs.
Quels sont les 3 conseils pour éviter le phishing ?
J'ai testé beaucoup de « bonnes pratiques » ces dernières années. Trois tiennent réellement la route, et les autres sont des compléments, pas des fondations.
- Vérifier par un canal séparé. Un mail vous demande un virement ? Appelez le numéro que vous connaissez déjà, pas celui inscrit dans le message. Un SMS prétend venir de votre banque ? Ouvrez l'application officielle, pas le lien reçu.
- Ne jamais cliquer pour « vérifier ». Si vous doutez, tapez l'adresse du site vous-même dans la barre du navigateur. Le lien d'un message n'est jamais neutre.
- Ralentir sur tout ce qui est urgent. L'urgence est l'arme principale de l'escroc, pas un détail. Accorder systématiquement dix minutes de réflexion avant toute action liée à un message pressant.
Ces trois réflexes ne coûtent rien et couvrent la grande majorité des tentatives. Mais soyons clairs : ils reposent sur vous. Le jour où vous êtes fatigué, pressé, ou en déplacement, ils s'effondrent. C'est pourquoi la passkey reste la meilleure protection : elle ne dépend pas de votre humeur.
Comment savoir si vous avez été victime de phishing ?
Voici le moment où les gens se trompent le plus. Beaucoup pensent qu'une victime « le sait tout de suite ». En pratique, entre le clic et la découverte, il peut s'écouler des jours. Chez un client, une règle de transfert automatique a redirigé pendant trois semaines des factures légitimes vers une adresse externe. Personne ne s'en était rendu compte avant que le fournisseur ne s'étonne de ne pas être payé.
Les traces concrètes à vérifier :
- Une règle de transfert ou de redirection que vous n'avez pas créée, dans votre messagerie.
- Une session active depuis un appareil ou une localisation que vous ne reconnaissez pas.
- Un mot de passe qui ne fonctionne plus, sans que vous l'ayez changé.
- Un changement d'adresse de récupération ou de numéro de téléphone associé à votre compte.
- Des notifications de connexion inhabituelles reçues par mail (vérifiez toujours que ce mail est authentique avant de cliquer dessus, d'ailleurs).
Et si vous avez fourni vos identifiants sur un faux site : changez le mot de passe immédiatement depuis un autre appareil, révoquez toutes les sessions actives, puis contactez votre banque dans l'heure. Le temps de réaction compte beaucoup plus que la technologie de protection dans ces moments-là.
Un signal que presque personne ne regarde
Les en-têtes d'authentification. Je sais, c'est technique. Mais un mail qui échoue au contrôle DMARC (l'authentification du domaine expéditeur) est suspect par défaut. Sur Gmail ou Outlook, cela n'apparaît pas toujours clairement ; sur un client de messagerie classique, ouvrez les détails du message et cherchez la ligne d'authentification. Si l'expéditeur prétend être votre banque et échoue au contrôle, vous avez votre réponse sans lire un seul mot du contenu.
Le réflexe qui reste quand tout le reste échoue
Il y a une chose que je répète à chaque formation que je donne : le phishing ne cherche pas à vous convaincre, il cherche à vous faire agir sans réfléchir. Peu importe la qualité du message, la perfection de la signature, la crédibilité du contexte. L'escroc a besoin d'une chose : que vous fassiez le geste avant de vérifier.
Alors la vraie question n'est plus « comment reconnaître un faux message ». C'est « comment rendre ce geste impossible ou inutile ». Une passkey. Une vérification par canal séparé. Un appel de dix secondes à un numéro que vous avez déjà.
Et si vous ne devez retenir qu'une chose de cet article : le message parfait n'existe plus comme signal d'alarme. Ce qui compte, c'est le réflexe que vous avez avant de cliquer, pas celui que vous auriez dû avoir après.
