Qu’est-ce que le harponnage ou spear phishing?
Le harponnage ou spear phishing est une forme ciblée d’hameçonnage: au lieu d’envoyer massivement des e-mails frauduleux identiques, les cybercriminels prennent pour cible une personne en particulier. Leur objectif est d’inciter leur victime à divulguer des données sensibles, à effectuer un paiement ou à installer un logiciel malveillant. En raison de leur degré élevé de personnalisation, ces attaques sont plus difficiles à détecter que l’hameçonnage de masse classique.
Les attaques d’hameçonnage visant des personnes haut placées sont également appelées «chasse à la baleine» ou «whaling». Lorsque l’hameçonnage cible des cadres avec une fonction dirigeante ou des personnes ayant un rôle décisionnel important, on parle aussi d’«executive phishing». Lors d’attaques d’hameçonnage contre des collaboratrices et collaborateurs, les cybercriminels recourent fréquemment à de faux e-mails professionnels («business email compromise», BEC) et à la fraude au CEO. Cette dernière consiste à usurper l’identité de la ou du CEO à des fins frauduleuses.
Selon l’Office fédéral de la cybersécurité (OFCS), l’hameçonnage évolue vers des attaques sophistiquées en plusieurs étapes menées via différents canaux. Les cybercriminels combinent alors souvent l’hameçonnage de masse générique avec du harponnage ciblé. Vous trouverez dans les éléments déroulants des exemples réels de harponnage et d’hameçonnage de masse par e-mail, SMS, appel téléphonique et code QR.
Exemple de harponnage visant une entreprise via SharePoint (février 2026): un gestionnaire de dossier d’une société fiduciaire zurichoise reçoit d’un partenaire commercial qu’il connaît une véritable invitation SharePoint à consulter un document partagé. Après s’être connecté et avoir saisi correctement un code à usage unique, il trouve sur la plateforme un deuxième lien menant vers un site d’hameçonnage qui intercepte en temps réel la connexion Microsoft ainsi que le deuxième facteur d’authentification. Les cybercriminels avaient au préalable recherché les liens existant entre l’entreprise et ses collaboratrices et collaborateurs sur des sites web d’entreprises accessibles au public ou avaient utilisé un compte Microsoft préalablement piraté.
Exemple de harponnage visant un particulier au nom de Ricardo (mars 2026): une personne publie pour la première fois une annonce sur la plateforme de vente Ricardo. Peu après, elle reçoit un e-mail arborant le logo officiel de Ricardo qui, sous prétexte d’une prétendue mesure de sécurité, lui demande ses données d’accès. Selon l’OFCS, les personnes qui publient une annonce pour la première fois sur Ricardo sont régulièrement la cible d’attaques par harponnage au moyen d’e-mails d’hameçonnage rédigés dans un français irréprochable et d’un réalisme saisissant. Pour en savoir plus sur les escroqueries Twint sur les plateformes de vente
Exemple d’attaque d’hameçonnage de masse contre des entreprises au nom de bexio (mai 2026): dans toute la Suisse, plus de 100 000 collaboratrices et collaborateurs d’entreprises clientes de l’éditeur de logiciels bexio reçoivent des e-mails d’hameçonnage au nom de bexio. Ces e-mails font état d’une facture prétendument impayée. En cliquant sur un lien, les destinataires accèdent à une page de connexion contrefaite destinée à intercepter leurs données d’accès. Les e-mails d’hameçonnage ont été envoyés sans ciblage particulier, les adresses d’expéditeur utilisées ne provenaient pas de bexio et aucune donnée clientèle de l’entreprise n’a été divulguée à des tiers.
Exemple de business email compromise via bexio (BEC; mai 2026): les cybercriminels modifient les numéros IBAN des bénéficiaires figurant dans des comptes bexio piratés (voir l’exemple précédent) afin de détourner les paiements. Pour les collaboratrices et collaborateurs des entreprises dont les comptes bexio ont été compromis, cette fraude est particulièrement difficile à détecter, car les factures sont envoyées depuis leur propre système. Elles utilisent par ailleurs les en-têtes officiels et les bonnes adresses d’expédition, et adoptent le ton auquel les destinataires sont habitués.
Exemple de harponnage par SMS visant un particulier en lien avec une amende de stationnement (août 2026): dans le canton de Saint-Gall, une femme reçoit une amende de stationnement authentique. Deux jours plus tard, elle reçoit un SMS d’hameçonnage frauduleux contenant une demande de paiement provenant d’un numéro marocain.
Exemple de fraude au CEO via WhatsApp (janvier 2026): à l’aide de l’intelligence artificielle, les cybercriminels imitent le style rédactionnel de la supérieure ou du supérieur hiérarchique en suisse allemand, exercent une pression psychologique et demandent à leurs collaboratrices et collaborateurs d’effectuer un virement urgent sous un prétexte quelconque. Les prétextes les plus fréquents sont le paiement d’un fournisseur étranger ou l’achat de cartes-cadeaux.
Exemple d’attaque d’hameçonnage de masse au moyen d’un SMS-blaster visant des particuliers (octobre 2025): dans les cantons de Bâle-Ville, Bâle-Campagne et Zurich, un homme envoie massivement des SMS d’hameçonnage au nom de La Poste, d’UBS, de Migros ou d’une autorité à tous les téléphones mobiles se trouvant à proximité à l’aide d’un SMS-blaster. La police ne communique aucun chiffre concernant les dommages causés. Lors d’un cas similaire à Genève durant l’été 2025, les cybercriminels avaient dérobé près de 1,9 million de francs.
Exemple de harponnage par téléphone visant une entreprise (fraude au CEO, janvier 2026): dans le canton de Schwytz, un entrepreneur reçoit un appel dont la voix lui semble être celle, familière, de son partenaire commercial, qui lui demande d’effectuer en toute urgence un paiement confidentiel. Il transfère ensuite plusieurs millions de francs sur un compte en Asie. La voix de son partenaire commercial avait été falsifiée à l’aide de l’intelligence artificielle.
Exemple d’hameçonnage de masse par téléphone visant des particuliers (février 2026): de nombreuses personnes reçoivent, sans l’avoir sollicité, un appel provenant d’un prétendu collaborateur de l’Office fédéral de la cybersécurité (OFCS). Sous prétexte d’un problème de sécurité urgent, le cybercriminel tente de convaincre ses victimes d’installer un logiciel de télémaintenance afin de pouvoir ensuite vider leurs comptes d’e-banking.
Pour en savoir plus sur l’hameçonnage par téléphone ou message vocal (voice phishing ou vishing)
Prise de contrôle d’un compte WhatsApp au moyen d’un code QR (mai 2026): en utilisant le compte WhatsApp piraté d’une connaissance, les cybercriminels demandent à leurs victimes de voter pour un enfant dans le cadre d’un concours. Le lien mène vers un site web frauduleux. Après avoir saisi un code de vérification ou scanné un code QR, les utilisatrices et utilisateurs perdent l’accès à leur propre compte WhatsApp.
Exemple d’hameçonnage de masse par code QR (février 2026): dans la ville de Zoug, des escrocs collent des codes QR d’hameçonnage sur des horodateurs. Ces codes renvoient vers une page de paiement contrefaite destinée à intercepter les données de paiement des utilisatrices et utilisateurs.
Pour en savoir plus sur l’hameçonnage par code QR (quishing)
Avec la cyberassurance de la Mobilière, vous jouez la carte de la sécurité.
Si vous êtes victime d’hameçonnage ciblé, la cyberassurance de la Mobilière est là pour vous aider. Calculez sans engagement votre prime d’assurance et décidez ensuite en toute sérénité.
Comment reconnaître le harponnage et s’en protéger?
Méfiez-vous des demandes inattendues qui exercent une pression psychologique et qui doivent prétendument être traitées de toute urgence et de manière confidentielle. Examinez avec une attention particulière les messages qui semblent, à première vue, étonnamment bien correspondre à votre situation (nom correct, supérieur hiérarchique, projet en cours). De tels messages sont en effet typiques du harponnage.
Faites confirmer tout ordre de virement inattendu ou toute modification inopinée concernant la ou le bénéficiaire du paiement (p. ex. un autre numéro IBAN) par la personne responsable via un deuxième canal connu. N’effectuez le virement qu’ensuite.
Activez l’authentification à deux facteurs pour tous vos accès en ligne. Même si vous divulguez involontairement vos données d’accès, les cybercriminels ne pourront pas se connecter à vos comptes en ligne sans le second facteur. Ne communiquez jamais à des tiers le second facteur ou des codes de vérification. Cela vaut en particulier lorsqu’un prétendu contact ou une personne au téléphone vous demande de lui communiquer ces informations.
Utilisez un gestionnaire de mots de passe dans toute l’entreprise et sur tous vos appareils privés afin d’employer par défaut, pour chacun de vos accès en ligne, un mot de passe sûr généré automatiquement. Un tel gestionnaire de mots de passe est inclus dans les prestations de la cyberassurance de la Mobilière.
Mesures
- Vérifiez soigneusement l’adresse e-mail de l’expéditrice ou de l’expéditeur et soyez attentif aux différences minimes, telles que les fautes de frappe ou les extensions inhabituelles.
- Passez la souris sur les liens afin de vérifier l’URL de destination. N’ouvrez pas les pièces jointes provenant d’expéditrices ou d’expéditeurs inconnus.
- Vérifiez les demandes sensibles via un autre canal connu. Une langue irréprochable ou l’utilisation d’un dialecte ne constitue plus une preuve d’authenticité, car ils peuvent avoir été générés par une IA.
Bon à savoir
- Les e-mails provenant d’expéditrices ou d’expéditeurs connus peuvent eux aussi être falsifiés si leur compte e-mail a été piraté.
- Il en va de même pour les e-mails ayant une apparence officielle en lien avec des événements réels, par exemple des commandes dans des boutiques en ligne ou des inscriptions sur des plateformes de vente.
Mesures
- Ne cliquez sur aucun lien figurant dans un SMS inattendu, en particulier s’il concerne prétendument un colis, une amende, un message bancaire ou une communication d’une autorité.
- Suivez vos envois directement dans l’application officielle du prestataire et non via un lien reçu par SMS.
Bon à savoir
- Des SMS falsifiés peuvent apparaître dans un historique de conversation authentique avec une organisation.
- Les messages provenant de vos contacts peuvent être falsifiés, notamment si leur compte WhatsApp a été piraté.
- Même les SMS en lien avec des événements réels, comme une amende de stationnement justifiée, peuvent être falsifiés.
- Les SMS-blaster peuvent atteindre les téléphones mobiles se trouvant à proximité sans connaître leurs numéros.
Pour en savoir plus sur l’hameçonnage par SMS ou messagerie instantanée
Mesures
- Ne vous laissez pas mettre sous pression par l’urgence ou l’émotion.
- En cas de demande de paiement ou de données, raccrochez systématiquement et rappelez au numéro que vous connaissez.
- Convenez, au sein de votre famille ou de votre entreprise, d’un mot de passe ou d’une procédure de rappel définie à l’avance.
Bon à savoir
- Même si une voix vous semble familière, elle peut avoir été imitée à l’aide de l’intelligence artificielle.
- Les messages alarmants concernant par exemple l’état de santé d’une personne proche sont fréquemment utilisés dans ce type d’escroquerie.
- Les autorités, les banques ou l’Office fédéral de la cybersécurité (OFCS) ne vous appellent généralement pas de manière spontanée pour vérifier des transactions ou vous demander des codes et des mots de passe. Dans de tels cas, raccrochez.
Mesures
- Ne scannez jamais de codes QR provenant d’e-mails, de lettres ou de SMS inattendus.
- Sur les horodateurs, bornes de recharge, etc., vérifiez qu’aucun autocollant n’a été placé sur le véritable code QR.
- Une fois le code scanné, faites afficher l’URL de destination et vérifiez-la avant de l’ouvrir.
- Ne saisissez aucune donnée d’accès ni donnée de paiement sur des pages ouvertes au moyen d’un code QR.
- Pour effectuer un paiement, utilisez de préférence une application officielle ou un site web connu plutôt que le code imprimé.
Bon à savoir
- Scannez les codes QR Twint exclusivement avec l’application Twint.
- Si un prétendu code QR Twint ne fonctionne pas lorsque vous le scannez avec l’application Twint, il est très probablement falsifié.
Questions et réponses
1. Bloquez immédiatement le service concerné.
A. Carte de crédit: faites immédiatement bloquer votre carte en appelant le numéro d’urgence figurant au verso de celle-ci.
B. E-banking: faites immédiatement bloquer votre compte via la hotline de votre banque.
C. Twint: faites immédiatement bloquer votre compte Twint via la hotline de la banque qui a émis votre compte Twint.
D. Logiciel malveillant: déconnectez immédiatement l’appareil d’Internet. Faites supprimer le logiciel malveillant par une spécialiste ou un spécialiste IT.
E. Accès en ligne: modifiez votre mot de passe et activez l’authentification à deux facteurs. Si vous ne parvenez plus à vous connecter à votre compte, adressez-vous au support de l’organisation concernée.
2. Signalez l’incident à l’Office fédéral de la cybersécurité (OFCS).
3. En cas de préjudice financier, signalez l’incident à la police.
4. Le cas échéant, déclarez le sinistre à votre cyberassurance. Déclaration de sinistre pour les particuliers; Déclaration de sinistre pour les entreprises
Pour les PME, la somme d’assurance et la franchise peuvent être définies individuellement en fonction de la taille de l’entreprise et de son secteur d’activité (voir police d’assurance). Dans les limites de la somme d’assurance, la cyberassurance de la Mobilière prend notamment en charge les coûts liés aux prestations suivantes:
- analyses forensiques;
- restauration des données et des systèmes;
- pertes résultant d’une interruption d’exploitation;
- dommages causés à des tiers (responsabilité civile);
- frais de gestion de crise et de relations publiques;
- négociation en cas d’exigence de rançon.
Cyberassurance pour particuliers
En cas de préjudice financier assuré, la protection juridique tente dans un premier temps de récupérer les fonds. Si cette démarche n’aboutit pas, la cyberassurance de la Mobilière examine la possibilité d’un versement pouvant atteindre 20 000 francs.
Important: les cybercriminels doivent avoir obtenu l’argent de manière illégale. Si, par exemple, vous avez autorisé un virement sur la base d’une hypothèse erronée, le dommage n’est généralement pas couvert.
Par hameçonnage, on entend les cyberattaques visant à obtenir frauduleusement des données sensibles ou à diffuser des logiciels malveillants. Alors qu’à l’origine le terme «hameçonnage» désignait principalement des attaques de masse diffusées à grande échelle, le harponnage renvoie à des tentatives de tromperie ciblées et personnalisées.
Par ingénierie sociale, on entend les méthodes d’attaque qui visent à manipuler des personnes plutôt qu’à exploiter les failles de sécurité de systèmes techniques. Le harponnage n’est qu’une des nombreuses méthodes utilisées dans le cadre d’attaques reposant sur l’ingénierie sociale.
Le harponnage est une méthode d’attaque ou une stratégie de fraude personnalisée visant à obtenir des données sensibles ou de l’argent, ou encore à diffuser des logiciels malveillants. Le spoofing est en revanche une technique permettant d’usurper une identité. Il est fréquemment utilisé dans le cadre d’attaques par harponnage.
Parmi les exemples courants de spoofing figurent les fausses adresses d’expéditeur dans les e-mails ou les SMS, les faux numéros affichés lors d’appels téléphoniques ou encore les faux sites web.
