Hameçonnage

En anglais, le terme «phishing» est une combinaison des mots anglais «fishing» (pêcher) et «phreaking» (pirater). Aux États-Unis, dans les années 1960 et 1970, le terme «phreaking» désignait le piratage de systèmes téléphoniques. Il s’agit d’un mot obtenu par la contraction de «phone» et de «freak».

Le «ph» au début de «phreaking» est devenu plus tard la marque de fabrique de la culture du piratage: il a été utilisé au début de plusieurs noms désignant des méthodes de piratage dans la langue anglaise et a également inspiré l’orthographe de «phishing». C’est probablement à cause de ce «ph», non usuel dans la langue courante, que ce terme est souvent mal orthographié. On rencontre par exemple «phising», «pishing», «pisching» ou encore «fishing». En français, «phishing» est traduit par «hameçonnage».

Bien que cette théorie soit largement diffusée, «phishing» n’a pas été composé à partir de «password» ou de «password harvesting» (voir aussi Data Science Lab de l’EPFL).

Hameçonnage: terme générique utilisé pour désigner une tentative de tromperie au moyen de messages frauduleux ou de faux sites web. Les cybercriminels envoient de tels messages pour obtenir les mots de passe ou les informations de carte de crédit du plus grand nombre possible de personnes ou pour propager des logiciels malveillants.

Harponnage (ou «spear phishing»): contrairement au hameçonnage de masse, les attaques de harponnage sont très personnalisées et ciblent donc une personne ou une entreprise en particulier. Lorsqu’une attaque est dirigée contre une personne haut placée, on parle de «fraude au président» (ou «whaling phishing»).

Hameçonnage en temps réel (ou «real time phishing»): comme son nom l’indique, l’hameçonnage en temps réel a lieu en temps réel. Il est souvent utilisé pour obtenir des codes de vérification valables pendant une courte durée ou pour faire approuver une transaction par la victime. Ce type d’hameçonnage a souvent lieu dans les applications de messagerie, lors du traitement de paiements sur des plateformes de vente ou par téléphone (voir aussi «hameçonnage par téléphone»).

Hameçonnage par SMS (ou «smishing»): les escrocs se font passer pour une entreprise de livraison ou une banque et envoient à leur victime potentielle un SMS contenant un lien vers un faux site web. Bien que le terme anglais «smishing» se réfère, au sens étroit, uniquement aux SMS, les attaques d’hameçonnage par WhatsApp ou d’autres services de messagerie sont également qualifiées de «smishing».

Hameçonnage par téléphone (ou «voice phishing» ou encore «vishing»): il s’agit d’une tentative d’escroquerie par téléphone ou message vocal. Les auteurs se font par exemple passer pour des collaborateurs du service d’assistance d’une entreprise ou d’une autorité afin d’inciter la victime à divulguer des données ou à autoriser des paiements. Les escrocs recourent souvent à l’hameçonnage par téléphone s’ils sont déjà en possession de données d’accès ou d’un numéro de carte de crédit. L’hameçonnage par téléphone est une variante d’hameçonnage en temps réel.

Hameçonnage par code QR (ou «QR code phishing» ou encore «quishing»): les escrocs collent leurs propres codes QR sur de vrais codes (p. ex. sur un parcmètre) ou les intègrent à des lettres afin que les personnes qui scannent le code soient dirigées vers de fausses pages de paiement ou de connexion.

Hameçonnage par moteur de recherche ou («search engine phishing»): les criminels diffusent des annonces publicitaires payantes sur Google ou Bing. Lorsqu’une personne tape par exemple les mots clés «Login e-banking», ces annonces apparaissent tout en haut de la page, avant les résultats de recherche, et mènent directement sur des pages d’hameçonnage extrêmement convaincantes.

E-mail

Administration des contributions: les cybercriminels se font passer pour l’Administration des contributions (AFC) et vous informent que vous auriez droit à un remboursement d’impôt. Pour l’obtenir, vous devez vous connecter sur une page. Ils vous conduisent ainsi sur une fausse page de connexion, où vous devez remplir un formulaire et notamment fournir les données de votre carte de crédit.

Services de streaming: vous recevez un e-mail censé provenir de Netflix ou de Spotify vous avertissant d’un problème avec le mode de paiement que vous avez choisi et vous menaçant de bloquer immédiatement votre compte. Pour résoudre ce problème, les escrocs vous demandent de cliquer sur un lien menant vers un faux site, où ils vont tenter de faire main basse sur vos informations de carte de crédit.

Sécurité bancaire: vous recevez un e-mail envoyé au nom d’UBS, de PostFinance ou d’une banque cantonale vous demandant de réactiver votre accès en raison de nouvelles mesures de sécurité, par exemple pour que vous puissiez utiliser les applications PhotoTAN ou SecureGo. L’attaque vise le vol de vos données d’accès à l’e-banking.

SMS («smishing»)

La Poste/la douane: la douane ou un service d’expédition vous informent par SMS d’un colis qui ne pourrait apparemment pas être livré en raison de droits de douane non acquittés s’élevant à un faible montant (p. ex. CHF 1,95). Après avoir cliqué sur le lien, vous devez saisir les données de votre carte de crédit.

Service des amendes d’ordre: vous recevez un message vous informant d’une amende de stationnement que vous n’avez soi-disant pas réglée. Vous devez effectuer le paiement dans un bref délai afin de vous éviter des frais supplémentaires. Ce genre de SMS vise à voler les données de votre carte de crédit.

WhatsApp ou autres services de messagerie

Arnaque au faux neveu 2.0: un prétendu membre de votre famille vous écrit depuis un nouveau numéro (p. ex.: «Coucou maman, mon téléphone est cassé...») et vous demande d’effectuer urgemment un versement par Twint. En savoir plus sur les arnaques sur Twint

Arnaque au code: un contact de votre liste vous demande de lui transférer un code que vous venez de recevoir par SMS. En réalité, le compte de votre contact a été piraté et des cybercriminels utilisent ce code pour tenter de prendre le contrôle de votre compte WhatsApp.

Appel téléphonique («vishing»)

Fausses autorités: vous recevez un message vocal vous indiquant que vous risquez une arrestation. Le but est de vous inciter à communiquer vos données d’identité ou à verser une caution en cryptomonnaie ou par Twint.

Service d’assistance bancaire: un prétendu collaborateur du service de sécurité de votre banque vous appelle pour vous avertir de l’existence d’une transaction suspecte en cours et vous presse de la stopper en saisissant un code dans votre application bancaire – ce qui, en réalité, la déclenchera.

Plateforme de vente telle que Tutti, Ricardo ou Facebook Marketplace

Arnaque à l’acompte: un acheteur potentiel vous envoie un lien vers une (fausse) page de paiement de La Poste ou de Twint, sur laquelle vous devez saisir vos coordonnées bancaires pour recevoir l’argent.

Annonce publicitaire dans un moteur de recherche («ad phishing»)

Fausses pages de connexion: lorsque vous tapez les mots clés «Login e-banking» sur Google apparaît tout en haut de la page une annonce payante ressemblant parfaitement à la page de votre banque. Si vous vous connectez sur cette page, des pirates pourront mettre la main sur vos données d’accès.

Courrier (hameçonnage hors ligne) et code QR («quishing»)

Lettre envoyée par votre banque: vous recevez une lettre qui ressemble à un courrier officiel de votre banque vous demandant de scanner un code QR afin de vérifier votre compte en vue d’une mise à jour du système. Les escrocs veulent que vous vous connectiez à votre e-banking depuis la fausse page afin de s’emparer de vos données d’accès.

Codes QR manipulés: des vrais codes QR sur des parcmètres ou des bornes de recharge pour véhicules électriques sont recouverts au moyen d’autocollants qui visent à mener les utilisatrices et utilisateurs sur des sites de paiement frauduleux. L’objectif est de voler vos données de carte de crédit.

Selon l’Office fédéral de la cybersécurité (OFCS), l’hameçonnage est l’une des principales méthodes utilisées par les pirates pour lancer une cyberattaque. En 2025, quelque 65 000 cyberincidents ont été signalés à l’OFCS. Près de 19% d’entre eux étaient directement liés à un cas d’hameçonnage, ce qui représente environ 12 000 cas déclarés.

Les spécialistes estiment que le nombre réel de tentatives d’hameçonnage se chiffre à plusieurs millions par an. Si le nombre total de signalements n’a que légèrement augmenté en 2025 par rapport à l’année précédente (63 000), la qualité des attaques a évolué. Elles sont aujourd’hui plus ciblées et plus sophistiquées qu’il y a deux ans.

Nom de domaine de l’expéditeur erroné: l’adresse après le @ ne correspond pas exactement au site web officiel de l’entreprise (p. ex. «info@post-service.net» au lieu de «@post.ch»).

Moyens de pression ou appât: le message a un caractère urgent. Il peut s’agir de menaces de désavantages (blocage de compte, frais, actions en justice) ou de promesses d’avantages (concours avec prix à remporter, remboursement).

Erreurs de langue: les messages d’hameçonnage contiennent souvent des fautes d’orthographe, un mélange de plusieurs langues ou une formule d’appel impersonnelle («Cher client»).

Vous trouverez de plus amples informations dans notre guide «Reconnaître un e-mail d’hameçonnage».

Colis inattendus: vous recevez une notification concernant un colis ou des frais de douane. De tels messages peuvent être envoyés aussi bien à des personnes qui ont effectivement commandé quelque chose à ce moment-là qu’à des personnes qui n’ont rien commandé.

Numéros de portable inconnus: les messages proviennent souvent de numéros de portable privés ou de préfixes étrangers plutôt que de numéros courts officiels.

Liens raccourcis: l’URL est rendue méconnaissable (p. ex. «bit.ly/xyz» ou «t.co/abc») au lieu de mener directement vers le site web de l’entreprise.

Usurpation de numéros: même si un numéro officiel voire le nom de votre banque s’affiche sur l’écran de votre téléphone, cela ne signifie pas nécessairement que l’appel provient effectivement de votre banque.

Messages enregistrés: l’appel commence par une voix générée par ordinateur (souvent en anglais) se faisant passer pour la police, Interpol ou le support Microsoft.

L’appelant vous presse d’appuyer sur un bouton, d’installer un logiciel d’accès à distance ou de valider un paiement par Twint.

Annonce publicitaire avec mention: le lien qui s’affiche tout en haut de la page est par exemple assorti de la mention «Annonce» ou «Annonce sponsorisée». Une telle mention est plutôt inhabituelle sur les pages de connexion officielles des banques.

URL suspecte: si vous cliquez sur l’annonce, vous voyez un nom de domaine ne correspondant pas au vrai nom de domaine de la banque dans la ligne d’adresse (p. ex. «raiffeeisen.com» au lieu de «login.raiffeisen.ch»).

Demande instantanée de données: le site vous demande directement votre numéro de carte de crédit ou votre code NIP, avant même que vous ne soyez dans l’e-banking.

Autocollant: le code QR apposé sur un parcmètre ou une station de recharge est clairement un autocollant ou a un design différent du reste de l’appareil.

URL suspecte: votre smartphone affiche l’URL cible avant que vous ne l’ouvriez. Vérifiez alors si l’adresse est bien celle du prestataire (exemple: «easy-park-payment.xyz» est suspect).

Demande de données de carte de crédit: après avoir scanné le code, vous vous retrouvez sur une page qui demande des données de carte de crédit pour un service généralement payé au moyen d’une application ou par Twint.