Vous avez cliqué sur un lien de phishing ? La priorité dépend surtout de ce que vous avez fait ensuite. Si vous avez seulement ouvert la page sans rien saisir ni télécharger, le risque est généralement plus limité. Si vous avez communiqué un mot de passe, des coordonnées bancaires ou installé un fichier ou une application, il faut en revanche agir rapidement.
Avant de supprimer le SMS ou l’e-mail frauduleux, conservez les preuves : capture d’écran du message, adresse de l’expéditeur, numéro de téléphone, URL du site et, le cas échéant, opérations bancaires suspectes. Elles pourront être utiles pour un signalement ou une plainte.
Si vous avez un doute sur la nature du message reçu, notre guide explique également comment reconnaître un phishing et les principaux signes d’un faux e-mail ou SMS.
| Ce que vous avez fait | Niveau de risque | Action prioritaire |
|---|---|---|
| Cliqué, sans rien saisir | Faible à modéré | Fermer la page et vérifier l’appareil et le navigateur |
| Saisi un identifiant ou mot de passe | Élevé | Changer immédiatement le mot de passe et fermer les sessions |
| Donné des coordonnées bancaires | Critique | Contacter immédiatement la banque et faire opposition si nécessaire |
| Téléchargé ou exécuté un fichier ou une application | Élevé à critique | Ne pas l’exécuter ou, s’il l’a déjà été, rechercher une compromission |
Cas 1 : j’ai cliqué sur le lien de phishing mais je n’ai rien rempli
Si vous avez simplement ouvert le lien puis quitté la page sans communiquer d’informations, sans accepter de notification et sans télécharger de fichier, inutile de considérer automatiquement tous vos comptes comme compromis.
Un simple clic peut néanmoins communiquer au serveur certaines informations techniques, notamment votre adresse IP et des caractéristiques de votre navigateur ou de votre appareil. Dans des circonstances plus rares, une vulnérabilité du navigateur ou du système peut également être exploitée.
Le risque d’une infection automatique est nettement plus faible lorsque le navigateur et le système sont à jour, mais il n’est pas possible d’affirmer qu’un simple clic est absolument sans danger.
Dans ce scénario :
- fermez immédiatement la page suspecte ;
- ne retournez pas sur le lien pour « vérifier » ;
- vérifiez qu’aucun fichier ou application n’a été téléchargé ;
- mettez à jour votre navigateur et votre système si nécessaire ;
- si vous avez accepté des notifications du site, retirez cette autorisation dans les paramètres du navigateur ;
- surveillez les comportements inhabituels de l’appareil et de vos comptes.
Si vous avez encore un doute sur la page ouverte, vous pouvez appliquer les vérifications détaillées dans notre guide pour reconnaître un site dangereux.
Cas 2 : j’ai donné mon mot de passe sur le faux site
La situation devient urgente dès qu’un identifiant et un mot de passe ont été transmis. Considérez le mot de passe comme compromis, même si aucune connexion suspecte n’est encore visible.
Depuis un appareil que vous estimez sûr, ouvrez directement le site ou l’application officielle du service concerné, sans utiliser le lien reçu. Changez immédiatement le mot de passe.
Si ce même mot de passe est utilisé sur d’autres services, changez-le également sur chacun d’eux et choisissez des mots de passe différents. L’utilisation d’un mot de passe unique pour chaque compte important permet notamment de limiter les piratages en cascade.
Pour approfondir ces étapes, consultez notre guide consacré aux actions à effectuer après une fuite ou compromission de mot de passe. Vous pouvez également utiliser notre générateur de mot de passe sécurisé pour créer localement un nouveau mot de passe aléatoire.
Changer le mot de passe ne suffit pas toujours
Une précaution est souvent oubliée après un phishing : fermer les sessions déjà ouvertes. Lorsqu’un service propose une fonction comme « Se déconnecter de tous les appareils » ou « Fermer les autres sessions », utilisez-la.
Vérifiez ensuite les appareils connectés, les connexions récentes et les applications auxquelles vous avez accordé un accès au compte. Supprimez toute autorisation que vous ne reconnaissez pas et activez la double authentification lorsqu’elle est disponible.
Un gestionnaire de mots de passe peut également faciliter l’utilisation d’identifiants uniques pour vos différents comptes sans avoir à tous les mémoriser.
Si votre boîte mail est concernée, vérifiez les transferts automatiques
Une messagerie compromise mérite une attention particulière puisqu’elle permet souvent de réinitialiser les mots de passe d’autres services.
Après avoir sécurisé son accès, examinez les paramètres de transfert, les filtres et les règles automatiques. Supprimez toute adresse de transfert ou règle inconnue. Vérifiez également les coordonnées de récupération du compte afin de vous assurer qu’aucune adresse e-mail ou aucun numéro de téléphone inconnu n’a été ajouté.
Cas 3 : j’ai donné mes coordonnées bancaires après avoir cliqué sur le lien
Si vous avez communiqué des informations relatives à votre moyen de paiement ou des données permettant d’accéder à votre banque, contactez immédiatement votre établissement bancaire. Utilisez son application, son site officiel saisi directement dans le navigateur ou un numéro dont vous avez vérifié vous-même l’origine.
Ne rappelez jamais le numéro indiqué dans le SMS ou l’e-mail frauduleux. Les escroqueries utilisant de faux numéros d’opposition ou de faux conseillers bancaires sont elles-mêmes une forme de phishing.
Si des éléments concernant votre moyen de paiement ont été communiqués, suivez les instructions de votre banque concernant l’opposition. En présence d’opérations frauduleuses, signalez-les également immédiatement à votre établissement.
Pour une carte bancaire, le serveur interbancaire d’opposition est accessible au 0 892 705 705, 24 heures sur 24 et 7 jours sur 7. Votre banque peut toutefois disposer de son propre service d’opposition : privilégiez ses coordonnées officielles.
Faut-il faire opposition si j’ai seulement donné mon e-mail et mon téléphone ?
Pas uniquement pour cette raison. Une adresse e-mail et un numéro de téléphone ne permettent normalement pas, à eux seuls, d’effectuer des paiements avec votre carte.
En revanche, ces données peuvent servir à préparer une seconde étape de l’escroquerie. Soyez particulièrement vigilant face aux appels d’un prétendu conseiller bancaire qui connaîtrait votre nom, votre téléphone ou certains détails du phishing. Le fait que l’interlocuteur possède des informations exactes ne prouve pas qu’il travaille pour votre banque.
Bloquer la carte ne règle pas nécessairement toutes les opérations
Demandez à votre banque de vérifier avec vous la nature exacte des opérations ou autorisations éventuellement créées. Une opposition sur la carte, une contestation de paiement, un virement, un prélèvement ou un abonnement récurrent ne relèvent pas nécessairement de la même procédure.
Si des opérations frauduleuses sont déjà visibles, signalez-les immédiatement à votre établissement et conservez les relevés ou captures correspondants.
Cas 4 : j’ai téléchargé un fichier mais je ne l’ai pas ouvert
Le téléchargement d’un fichier ne signifie pas automatiquement qu’un virus a infecté l’appareil. Si vous ne l’avez pas ouvert ni exécuté, ne le lancez pas simplement pour découvrir ce qu’il contient.
Analysez-le d’abord avec votre solution de sécurité. Si vous souhaitez effectuer plusieurs vérifications avant de prendre une décision, consultez notre guide expliquant comment vérifier si un fichier contient un virus sans l’ouvrir.
Si le fichier est clairement inattendu et provient d’un message frauduleux, le choix le plus prudent reste généralement de le supprimer sans l’exécuter.
Cas 5 : j’ai exécuté un fichier ou installé une application
La situation doit être prise plus au sérieux si vous avez exécuté le fichier, installé une application ou accordé des autorisations inhabituelles à la suite du phishing.
Si vous observez des signes laissant penser qu’une infection est active, isolez l’appareil du réseau en coupant le Wi-Fi, les données mobiles ou en débranchant le câble Ethernet. N’utilisez pas cet appareil pour modifier vos mots de passe tant que vous pensez qu’il peut être compromis : effectuez les changements sensibles depuis un autre appareil de confiance.
Effectuez ensuite une analyse avec les fonctions de sécurité du système ou une solution antivirus reconnue et à jour. Sous Windows, Microsoft Defender constitue la solution intégrée au système. Vous pouvez également utiliser un antivirus tiers comme Avast Antivirus Gratuit si vous préférez cette solution comme protection antivirus principale.
Si vous ne savez pas si l’appareil est réellement infecté, commencez par notre guide pour savoir si votre PC contient un virus. Si une infection est détectée ou fortement suspectée, suivez ensuite les étapes permettant de supprimer un virus d’un PC.
Il n’est pas recommandé d’empiler plusieurs antivirus fonctionnant simultanément en temps réel dans le seul but de multiplier les protections. Si vous choisissez Avast comme antivirus principal sous Windows, notre guide explique également comment installer Avast.
Si vous utilisez un ordinateur professionnel, prévenez rapidement votre service informatique ou votre responsable de la sécurité plutôt que de tenter de nettoyer seul la machine.
Sur iPhone ou Android, vérifiez aussi les applications et configurations inconnues
Sur un smartphone, recherchez toute application récemment installée que vous ne reconnaissez pas et examinez les autorisations sensibles accordées récemment.
Sur iPhone et certains appareils administrés, vérifiez également qu’aucun profil de configuration ou système de gestion de l’appareil inconnu n’a été ajouté. Contrôlez les configurations VPN inhabituelles. Sur Android, vérifiez notamment les applications installées récemment et les autorisations particulièrement sensibles accordées à celles-ci.
Ne supprimez toutefois pas au hasard des composants système que vous ne connaissez pas. Si vous souhaitez utiliser Avast sur mobile, nos guides présentent séparément Avast sur Android et Avast sur iPhone et iPad.
Comment savoir si un compte a déjà été piraté ?
Connectez-vous directement au service concerné et recherchez son espace consacré à la sécurité. Plusieurs indices doivent attirer votre attention : connexion depuis un appareil inconnu, changement de mot de passe que vous n’avez pas demandé, nouvelle adresse de récupération, message envoyé à votre insu ou modification des paramètres du compte.
Pour une messagerie, contrôlez également les messages envoyés et supprimés, les règles automatiques, les transferts et les applications connectées.
Si le service le permet, vérifiez la date et l’heure des dernières connexions. En présence d’un accès que vous ne reconnaissez pas, fermez les sessions inconnues, modifiez votre mot de passe et vérifiez les paramètres de récupération.
Qui contacter après un phishing en France ?
17Cyber permet aux particuliers, entreprises et collectivités d’obtenir un diagnostic et des recommandations adaptés à différentes formes de cybermalveillance, dont l’hameçonnage, le piratage de compte et les virus informatiques.
Pour obtenir des conseils sur une escroquerie, Info Escroqueries est joignable au 0 805 805 817. L’appel et le service sont gratuits, du lundi au vendredi de 9 h à 18 h 30.
En cas d’urgence nécessitant l’intervention immédiate des forces de l’ordre, utilisez les numéros d’urgence appropriés.
Où signaler le phishing ou le smishing ?
Commencez par conserver le message frauduleux et les éléments permettant d’identifier le site. Les preuves peuvent être utiles aussi bien pour le signalement que pour d’éventuelles démarches ultérieures.
- Signal Spam permet de signaler un e-mail indésirable ou d’hameçonnage.
- 33700 permet notamment de signaler les SMS frauduleux.
- Phishing Initiative permet de signaler l’adresse d’un site de phishing.
- PHAROS permet de signaler aux autorités des contenus ou comportements illicites sur Internet lorsqu’ils relèvent de cette plateforme.
- 17Cyber permet d’obtenir un diagnostic et une orientation adaptés à votre situation.
Ces signalements ne remplacent pas nécessairement une plainte lorsque vous avez subi un préjudice.
Comment déposer plainte après une escroquerie par phishing ?
Si vos informations personnelles sont utilisées frauduleusement, si de l’argent a été détourné ou si vous avez subi une escroquerie, conservez tous les éléments disponibles : e-mail ou SMS original, URL, captures d’écran, relevés bancaires, coordonnées utilisées par l’escroc et échanges éventuels.
Une plainte peut notamment être déposée dans un commissariat ou une brigade de gendarmerie, ou être adressée au procureur de la République. Certaines escroqueries commises sur Internet peuvent également relever de dispositifs de plainte ou de signalement en ligne selon leur nature.
En cas d’utilisation frauduleuse de votre carte bancaire alors que vous êtes toujours en possession de celle-ci, le dispositif Perceval peut également être pertinent lorsque les conditions prévues par le service sont remplies.
Que faire dans les 10 minutes après avoir cliqué sur un lien frauduleux ?
- Fermez la page et ne communiquez plus aucune information.
- Conservez les preuves utiles : message, expéditeur, URL et captures d’écran.
- Si un mot de passe a été donné, changez-le depuis un appareil sûr et fermez les autres sessions.
- Si des données bancaires ont été transmises, contactez immédiatement votre banque.
- Si un fichier a seulement été téléchargé, ne l’ouvrez pas et analysez-le.
- Si un fichier a été exécuté ou une application installée et que vous suspectez une infection, faites contrôler l’appareil et isolez-le si nécessaire.
- Activez la double authentification sur les comptes sensibles qui la proposent.
- Vérifiez les connexions, appareils et applications autorisés sur les comptes exposés.
- Signalez ensuite le message ou le site frauduleux auprès du service approprié.
Après avoir cliqué sur un lien de phishing, la rapidité compte surtout lorsque des informations ont été transmises. Un simple clic sans saisie ni téléchargement ne signifie pas automatiquement que l’appareil ou les comptes sont piratés. À l’inverse, un mot de passe, des données bancaires ou l’installation d’un fichier justifient des mesures immédiates.
FAQ
Est-ce grave d’avoir juste cliqué sur un lien de phishing sans rien remplir ?
Le risque est généralement limité si vous avez uniquement ouvert la page, sans saisir d’information, télécharger de fichier ou accorder d’autorisation. Il n’est cependant pas nul. Fermez la page, vérifiez les téléchargements et maintenez votre appareil et votre navigateur à jour.
Un virus peut-il s’installer simplement en ouvrant un lien sur iPhone ou Android ?
C’est techniquement possible, notamment si une vulnérabilité exploitable existe, mais une infection automatique après la simple ouverture d’une page n’est pas le scénario le plus courant sur un appareil et un navigateur à jour. Le risque augmente nettement si vous téléchargez une application ou un fichier, installez un profil ou accordez des autorisations.
Dois-je faire opposition si j’ai seulement donné mon adresse e-mail et mon numéro de téléphone ?
Ces deux informations seules ne justifient généralement pas de bloquer une carte bancaire. Elles peuvent toutefois être utilisées pour préparer une nouvelle tentative d’escroquerie, notamment un appel de faux conseiller bancaire. Ne communiquez aucun code de validation et contactez votre banque par ses coordonnées officielles au moindre doute.
Que faire si j’ai donné mon mot de passe sur un site de phishing ?
Changez immédiatement le mot de passe depuis le site ou l’application officielle et depuis un appareil sûr. Fermez les autres sessions, vérifiez les appareils connectés, activez la double authentification et remplacez ce mot de passe sur les autres comptes où il était réutilisé.
Que faire si j’ai téléchargé un fichier après avoir cliqué sur le lien ?
Si vous ne l’avez pas ouvert, ne l’exécutez pas et analysez-le avec votre solution de sécurité. S’il a déjà été exécuté et que vous suspectez une infection, analysez l’appareil et isolez-le du réseau si des signes de compromission apparaissent.
Quel numéro appeler en cas de vol d’argent après un phishing ?
Contactez d’abord votre banque immédiatement. Pour une carte bancaire, le serveur interbancaire d’opposition est joignable au 0 892 705 705, 24 h/24 et 7 j/7. Info Escroqueries est également joignable au 0 805 805 817, du lundi au vendredi de 9 h à 18 h 30, pour vous orienter.
Peut-on porter plainte après un phishing ?
Oui. Si vous avez subi une escroquerie, une fraude ou une utilisation frauduleuse de vos informations, conservez les preuves. Selon la situation, une plainte peut être déposée auprès de la police ou de la gendarmerie, adressée au procureur de la République ou réalisée via un dispositif en ligne lorsque votre cas y est éligible.
