Le message semblait plausible, le lien a été ouvert, et c’est maintenant que le doute s’installe : l’adresse de l’expéditeur ne correspond pas, ou un collègue vient de recevoir le même courriel. Avant de supprimer le message ou de fermer l’onglet dans la précipitation, mieux vaut reconstituer ce qui s’est réellement passé.
Les gestes utiles diffèrent selon ce qui s’est produit — simple clic, identifiants entrés sur un faux formulaire, coordonnées bancaires communiquées ou pièce jointe ouverte — et la fiche réflexe hameçonnage de cybermalveillance.gouv.fr les distingue précisément.
Un clic sans saisie de données
Le scénario le moins grave reste le plus courant. Sur un système et un navigateur à jour, l’affichage d’une page piégée ne suffit généralement pas à compromettre l’appareil, la plupart des campagnes cherchant à faire saisir des informations plutôt qu’à exploiter une faille logicielle. Cybermalveillance.gouv.fr recommande alors de ne rien saisir et de conserver le message d’origine, qui servira de preuve. Le canal d’arrivée ne change rien à ces gestes : un SMS frauduleux ou un QR code piégé mènent souvent au même formulaire de collecte que le courriel.
Des identifiants saisis : reprendre le contrôle du compte
La situation change dès qu’un mot de passe a été entré. La fiche réflexe préconise de le modifier sans attendre, directement sur le site légitime, ainsi que partout où il était réutilisé. Les identifiants collectés étant souvent exploités très rapidement, la déconnexion des sessions actives, proposée par la plupart des services, coupe un accès déjà établi que le nouveau mot de passe ne fermerait pas toujours.
La messagerie mérite un examen particulier. Après avoir pris pied dans une boîte, les attaquants y créent fréquemment des règles de transfert automatique afin de continuer à lire les courriels même après la reprise du compte : vérifier les règles et les filtres fait donc partie de la reprise en main. Des demandes d’authentification non sollicitées peuvent ensuite apparaître, signe qu’un tiers tente de forcer la validation sur le modèle des attaques par fatigue MFA ; elles sont à refuser puis à signaler.
Des coordonnées bancaires communiquées
Carte de paiement ou identifiants d’accès au compte : cybermalveillance.gouv.fr conseille ici l’opposition immédiate auprès de la banque, puis une surveillance des relevés pour contester toute opération frauduleuse. La fiche mentionne aussi le téléservice Perceval, ouvert au signalement des fraudes à la carte bancaire quand celle-ci reste en possession de son titulaire, et le dépôt de plainte, preuves à l’appui.
Une pièce jointe ouverte : isoler le poste
Un fichier joint exécuté peut installer un programme malveillant. Cybermalveillance.gouv.fr conseille de déconnecter d’internet l’appareil possiblement infecté — câble débranché, Wi-Fi désactivé — et de le faire analyser avant toute réutilisation. En environnement professionnel, mieux vaut ne pas tenter de nettoyage soi-même : supprimer des fichiers détruirait des traces, et le poste doit être remis en l’état aux équipes chargées de l’investigation.
Signaler, en interne et auprès des plateformes publiques
Une fois l’urgence traitée, le signalement prolonge l’action. En entreprise, l’interlocuteur naturel est le support informatique ou l’équipe de réponse à incident (CSIRT), qui pourra rechercher les autres destinataires du même message et invalider les accès compromis. Côté plateformes publiques, les courriels d’hameçonnage peuvent être transmis à Signal Spam ou à Phishing Initiative, les SMS frauduleux au 33700 ; cybermalveillance.gouv.fr oriente par ailleurs les victimes vers les démarches adaptées.
En entreprise : signaler son clic sans attendre
Dans un établissement financier, un collaborateur qui déclare son propre clic dans les minutes qui suivent transforme un incident isolé en alerte exploitable : le même message a généralement été diffusé à de nombreux destinataires, et chaque déclaration précoce raccourcit la fenêtre dont dispose l’attaquant. À l’inverse, lorsque le clic expose à une sanction, les collaborateurs se taisent et la compromission n’est découverte que des semaines plus tard. Les travaux sur l’efficacité réelle de la sensibilisation invitent d’ailleurs à suivre le taux de signalement au moins autant que le taux de clic.
Lorsque des données personnelles de clients ont pu être exposées, l’épisode relève du régime des violations de données supervisé par la CNIL, avec notification dans les délais prévus par le RGPD. À plus long terme, déployer une authentification résistante au phishing réduit durablement l’enjeu : un mot de passe recopié sur un faux formulaire ne suffit alors plus à ouvrir une session.
Les jours suivants : se méfier des relances ciblées
Les données collectées alimentent fréquemment une seconde vague, mieux ciblée. Un appel se présentant comme le service anti-fraude de la banque et proposant d’« annuler » les opérations suspectes suit le schéma du faux conseiller bancaire, tandis qu’un prétendu technicien offrant de « désinfecter » l’ordinateur relève de l’arnaque au faux support technique. De faux SMS de suivi de dossier circulent aussi, et un numéro de téléphone communiqué sur le formulaire piégé peut préparer une fraude à la carte SIM visant les codes reçus par SMS. Ces relances portent d’autant mieux que l’attaquant connaît désormais des éléments vrais et récents, matière première d’une ingénierie sociale bien plus convaincante. La méfiance envers tout contact non sollicité évoquant l’incident reste justifiée plusieurs semaines.
Questions fréquentes après un clic sur un lien d’hameçonnage
Un simple clic, sans rien saisir, peut-il suffire à un piratage ?
Sur un appareil à jour, c’est rare : les campagnes courantes reposent sur la saisie d’informations par la victime. Le message mérite néanmoins d’être conservé et signalé ; une demande d’authentification inattendue dans les jours suivants doit éveiller la méfiance.
Changer le mot de passe suffit-il après une saisie d’identifiants ?
Non. Les sessions déjà ouvertes par l’attaquant peuvent survivre au changement, d’où l’intérêt de la déconnexion globale. La vérification des règles de transfert de la messagerie et le remplacement du même mot de passe partout ailleurs complètent la reprise de contrôle.
Faut-il éteindre l’ordinateur après l’ouverture d’une pièce jointe suspecte ?
Éteindre la machine n’est pas le geste conseillé en entreprise, car cela peut effacer des éléments en mémoire utiles à l’analyse. Il vaut mieux couper sa connexion au réseau, la laisser allumée et la confier telle quelle aux équipes d’investigation.
Où signaler un courriel d’hameçonnage en France ?
Le canal détermine la plateforme : Signal Spam et Phishing Initiative reçoivent les courriels, le 33700 les SMS frauduleux. Cybermalveillance.gouv.fr accompagne ensuite les victimes dans leurs démarches, et un dépôt de plainte reste possible en cas de préjudice.
