Phishing (hameçonnage) : définition et fonctionnement

Le phishing, ou hameçonnage, est une technique de fraude par laquelle un attaquant se fait passer pour un organisme de confiance (banque, administration, transporteur) afin de vous pousser à livrer vous-même vos identifiants, vos données bancaires, ou à installer un logiciel malveillant. Il vise la personne et non une faille logicielle, ce qui explique qu'un antivirus à jour ne suffise pas à l'arrêter.

Ce que désigne exactement le mot phishing

Le mot est un jeu de mots anglais entre fishing (la pêche à la ligne) et phreaking, le piratage des lignes téléphoniques des années 1970. Il apparaît au milieu des années 1990 dans les forums liés à AOL, où des pirates récupéraient les mots de passe d'abonnés en se faisant passer pour le service client. En français, on dit hameçonnage : le terme, d'abord retenu par l'Office québécois de la langue française, est celui qu'emploient l'ANSSI et cybermalveillance.gouv.fr. On croise encore « filoutage », proposé au Journal officiel en 2006, mais il n'a jamais pris.

Une attaque de phishing combine toujours trois ingrédients. Un canal : mail, SMS, appel, message privé sur un réseau social. Une usurpation : un expéditeur ou un site qui imite un tiers légitime, banque, administration, transporteur, fournisseur. Un appât : facture impayée, colis bloqué, remboursement, alerte de sécurité, mot de passe expiré. L'objectif est de vous faire agir vous-même : cliquer, saisir un identifiant, valider un paiement, ouvrir une pièce jointe. C'est une attaque contre la personne, pas contre la machine.

Deux confusions reviennent souvent. Le spam est un envoi de masse non sollicité, généralement publicitaire, sans usurpation ; tout phishing par mail est du spam, l'inverse est faux. Le pharming, lui, détourne la résolution DNS (cache empoisonné, fichier hosts modifié, box compromise) pour vous envoyer sur un faux site alors que vous avez tapé la bonne adresse. Le phishing n'a pas besoin de ça : il compte sur votre clic.

Anatomie d’un mail d’hameçonnage

Un cas fréquent en France : un mail annonce un remboursement d'impôts de 234,50 € et vous invite à « confirmer vos coordonnées bancaires ». Le nom affiché est DGFiP. Le lien mène vers une copie du portail impots.gouv.fr hébergée sur un site WordPress compromis, dont le certificat TLS est parfaitement valide, puisque Let's Encrypt en délivre gratuitement à n'importe quel nom de domaine. Le cadenas ne prouve rien d'autre que le chiffrement de la connexion.

Ce sont les en-têtes du message qui trahissent la supercherie. Le champ From: est libre, n'importe quel serveur SMTP peut y écrire ce qu'il veut. Ce qui compte, c'est le verdict des contrôles effectués par votre serveur de réception, consigné dans l'en-tête Authentication-Results (RFC 8601). Extrait simplifié d'un message qui usurpe directement le domaine de l'administration :

Deux situations existent. Soit l'attaquant usurpe le domaine légitime, et SPF, DKIM et DMARC échouent comme ci-dessus ; la plupart des messageries classent alors le message en indésirable ou le rejettent. Soit il envoie depuis un domaine ressemblant qu'il possède réellement, impots-gouv-remboursement.com ou dgfip-finances.net, avec un SPF et un DKIM correctement configurés. Les trois contrôles passent au vert. C'est le cas le plus courant aujourd'hui : SPF et DKIM prouvent que le mail vient bien du domaine indiqué, pas que ce domaine appartient à l'administration.

• From: DGFiP (affiché, falsifiable)
• Return-Path: (adresse technique réelle des retours)
• Received: from unknown (203.0.113.7) (serveur absent de la liste SPF du domaine usurpé)
• Authentication-Results: spf=fail; dkim=none; dmarc=fail header.from=dgfip.finances.gouv.fr

Les formes que prend le phishing

Le mail reste le vecteur historique, mais le mot s'applique désormais à tous les canaux. Le vocabulaire change selon le support et le degré de ciblage.

Le spear phishing est le plus dangereux pour une entreprise, parce qu'il s'appuie sur des informations vraies : organigramme trouvé sur LinkedIn, nom d'un fournisseur réel, signature de mail copiée d'un échange précédent. Rien à voir avec une campagne de masse. Le vishing bancaire mérite aussi une mention : l'escroc affiche le numéro de votre banque grâce à l'usurpation d'identifiant d'appelant, se présente comme le service fraude, puis vous fait valider dans votre application une opération qu'il présente comme une annulation. L'authentification forte est contournée par la victime elle-même.

Variante	Canal	Ciblage	Exemple typique
Phishing classique	E-mail	Envoi de masse	Colis en attente, compte suspendu, facture impayée
Spear phishing	E-mail, LinkedIn	Une personne ou un service précis	Fausse demande de changement de RIB envoyée à la comptabilité au nom d'un fournisseur
Whaling	E-mail	Dirigeants	Arnaque au président : virement urgent demandé par un faux PDG
Smishing	SMS	Masse	« Votre colis est retenu, réglez 1,99 € de frais » avec un lien raccourci
Vishing	Téléphone	Masse ou ciblé	Faux conseiller bancaire qui fait valider une opération dans l'application
Quishing	QR code	Masse	QR code collé sur un parcmètre ou inséré dans un PDF de facture

Vérifier un lien ou un domaine suspect en ligne de commande

Avant de cliquer, survolez le lien : la cible réelle s'affiche en bas du navigateur ou du client mail. Sur mobile, un appui long fait la même chose. Lisez ensuite le nom de domaine de droite à gauche. Dans https://impots.gouv.fr.verification-compte.com/login, le domaine enregistré est verification-compte.com ; impots.gouv.fr n'est qu'un sous-domaine créé par l'attaquant.

Méfiez-vous aussi des alphabets. En 2017, un chercheur a enregistré un domaine écrit uniquement en lettres cyrilliques qui s'affichait comme apple.com, alors que sa forme réelle, en Punycode, était xn--80ak6aa92e.com. Les navigateurs récents affichent le préfixe xn-- dans la plupart de ces cas, mais la règle varie de l'un à l'autre, et elle ne protège en rien contre un domaine tout en latin comme paypa1.com ou rnicrosoft.com. Quelques commandes permettent d'y voir clair sans ouvrir la page :

Ne saisissez jamais vos identifiants « pour voir si ça marche ». Ne répondez pas non plus au message, même pour injurier l'expéditeur : vous confirmez que l'adresse est active et lue. Et si vous avez un doute sur un mail de votre banque, ouvrez un nouvel onglet et tapez l'adresse vous-même.

• dig +short verification-compte.com : renvoie l'adresse IP du site, à comparer avec celle du site officiel
• whois verification-compte.com | grep -i creat : un domaine créé il y a trois jours pour une banque centenaire est une réponse en soi
• curl -sI https://bit.ly/3xYz0Ab | grep -i location : révèle la destination d'un lien raccourci sans le charger dans un navigateur
• dig +short TXT _dmarc.impots.gouv.fr : affiche la politique DMARC du domaine légitime, utile pour savoir s'il peut être usurpé facilement

S’en protéger : ce qui marche et ce qui ne suffit pas

Côté expéditeur, trois mécanismes limitent l'usurpation directe d'un domaine. SPF (RFC 7208) publie dans un enregistrement TXT la liste des serveurs autorisés à envoyer pour ce domaine. DKIM (RFC 6376) signe le message avec une clé privée dont la partie publique est dans le DNS. DMARC (RFC 7489) dit quoi faire quand les deux échouent : p=none pour observer, p=quarantine pour mettre en indésirable, p=reject pour refuser. Depuis février 2024, Google et Yahoo exigent un enregistrement DMARC de tout expéditeur qui dépasse 5 000 messages par jour vers leurs boîtes. Si vous administrez un domaine, publiez au minimum un SPF terminé par -all et un DMARC en p=quarantine. Sans ça, n'importe qui peut écrire en votre nom.

Côté utilisateur, la double authentification réduit les dégâts d'un mot de passe volé, mais toutes les méthodes ne se valent pas. Un code SMS ou TOTP se relaie en temps réel par un kit d'attaque de type adversaire au milieu, Evilginx ou Modlishka par exemple : la fausse page transmet votre code au vrai site, récupère le cookie de session, et l'attaquant est connecté à votre place. Les clés FIDO2 et les passkeys résistent à ce scénario parce que la signature est liée à l'origine du site ; sur un domaine qui n'est pas celui de l'enregistrement, la clé ne répond tout simplement pas.

Signalez ce que vous recevez. En France : transfert du mail à signal-spam.fr ou à phishing-initiative.fr, SMS transféré au 33700, plainte en ligne via la plateforme THESEE sur service-public.fr en cas de préjudice. Ces signalements alimentent les listes de blocage utilisées par les navigateurs et les opérateurs, ce qui coupe la campagne pour les victimes suivantes.

Questions fréquentes

Phishing et hameçonnage, est-ce la même chose ?

Oui. Hameçonnage est la traduction française du terme, employée par l'ANSSI, la CNIL et cybermalveillance.gouv.fr. Dans les offres d'emploi, la documentation des éditeurs et la plupart des équipes techniques, c'est phishing qui domine. Les deux mots recouvrent exactement la même pratique.

J’ai cliqué sur un lien de phishing, que faire ?

Si vous n'avez rien saisi, le risque est faible : le clic seul livre au mieux votre adresse mail, votre adresse IP et votre agent utilisateur. Si vous avez saisi un mot de passe, changez-le immédiatement sur le vrai site, puis partout où il était réutilisé, et activez la double authentification. Si vous avez donné des données bancaires, faites opposition en appelant le numéro au dos de la carte, jamais celui du message. Si vous avez ouvert une pièce jointe, coupez la machine du réseau et lancez une analyse antimalware complète.

Le phishing est-il puni par la loi en France ?

Il n'existe pas d'infraction nommée « phishing », mais les faits relèvent de l'escroquerie (article 313-1 du Code pénal, jusqu'à cinq ans d'emprisonnement et 375 000 € d'amende), de l'usurpation d'identité (article 226-4-1, un an et 15 000 €) et, dès que des comptes sont utilisés, de l'accès frauduleux à un système de traitement automatisé de données (article 323-1).

Un antivirus suffit-il contre le phishing ?

Non. L'antivirus détecte un fichier ou un comportement malveillant sur la machine ; une page web qui vous demande poliment votre mot de passe n'en contient aucun. Les filtres des navigateurs (Google Safe Browsing, Microsoft SmartScreen) bloquent les URL déjà signalées, mais une page mise en ligne le matin même passe entre les mailles pendant ses premières heures. La protection réelle vient de la lecture de l'URL, d'un gestionnaire de mots de passe qui refuse de remplir un formulaire sur le mauvais domaine, et d'une clé FIDO2.

Pourquoi les mails de phishing contiennent-ils autant de fautes ?

Ce n'est pas toujours un accident. Cormac Herley, chercheur chez Microsoft, a avancé en 2012 l'hypothèse que les fautes servent de filtre : elles écartent les lecteurs méfiants dès le premier message et ne laissent répondre que ceux qui iront jusqu'au bout. Mais avec les outils de génération de texte, cette règle ne tient plus. Une orthographe parfaite ne prouve rien, et un mail bien écrit peut être une attaque ciblée.

À lire aussi

authentification a deux facteurs 2fa · attaque man in the middle · attaques par mot de passe · cheval de troie

Testez vos connaissances