Comment détecter une attaque par phishing: exemples réels 2026

Le phishing représente aujourd’hui plus de 80 % des cyberattaques signalées en France selon l’ANSSI. Pourtant, les techniques utilisées par les cybercriminels sont devenues si sophistiquées qu’un email frauduleux est souvent impossible à distinguer d’un message légitime à l’œil nu. En 2026, avec l’essor de l’IA générative, les attaques de phishing ont atteint un niveau de personnalisation inédit. Ce guide vous donne toutes les clés pour les détecter, et les exemples réels pour vous y préparer.

Qu’est-ce que le phishing exactement ?

Le phishing (ou hameçonnage) est une technique d’escroquerie qui consiste à usurper l’identité d’un expéditeur de confiance, une banque, un fournisseur, un collègue, une administration, pour inciter la victime à effectuer une action dangereuse : cliquer sur un lien malveillant, télécharger une pièce jointe infectée, ou saisir ses identifiants sur un faux site.

Il existe plusieurs variantes :

• Le phishing classique (mass phishing) : envoi en masse d’emails identiques à des milliers de destinataires aléatoires.
• Le spear phishing : attaque ciblée sur une personne ou entreprise précise, avec un message personnalisé à partir d’informations publiques (LinkedIn, site web, presse).
• Le whaling : spear phishing visant spécifiquement les dirigeants (PDG, DAF, DRH) pour maximiser l’impact financier ou l’accès aux données sensibles.
• Le smishing : phishing par SMS, souvent en se faisant passer pour La Poste, les impôts, ou un opérateur téléphonique.
• Le vishing : phishing vocal par téléphone, de plus en plus assisté par des deepfakes vocaux.

Les 8 signaux d’alerte d’un email de phishing

1. L’adresse email de l’expéditeur est légèrement modifiée

C’est le signal le plus fiable. Les cybercriminels enregistrent des domaines qui ressemblent à ceux de vraies entreprises : no-reply@microsoft-securite.com au lieu de @microsoft.com, ou @amaz0n.fr avec un zéro à la place du « o ». Vérifiez toujours l’adresse complète de l’expéditeur, pas seulement le nom affiché qui peut être falsifié librement.

2. Une urgence artificielle ou une menace

« Votre compte sera suspendu dans 24 heures », « Action requise immédiatement », « Votre paiement a été refusé ». Les attaquants créent délibérément un sentiment d’urgence pour court-circuiter votre réflexion critique et vous pousser à agir sans vérifier. Toute communication légitime d’une banque ou d’un fournisseur vous laissera le temps de contacter leur service client par téléphone.

3. Les liens ne correspondent pas au domaine officiel

Avant de cliquer, survolez le lien avec votre souris (sans cliquer) pour voir l’URL réelle dans la barre de statut de votre navigateur. Un lien affichant « Se connecter à votre espace BNP Paribas » peut pointer vers bnp-verification.ru ou un domaine créé il y a 48h. Sur mobile, appuyez longuement sur le lien pour afficher l’URL réelle.

4. La demande de saisie d’identifiants ou de données bancaires

Aucune banque, aucune administration française, aucun service en ligne sérieux ne vous demandera jamais votre mot de passe par email. Si un email vous demande de « confirmer » ou « mettre à jour » vos identifiants ou coordonnées bancaires, c’est une arnaque à 99,9 %. Connectez-vous toujours directement au site officiel en tapant l’URL dans votre navigateur.

5. Des pièces jointes inattendues ou inhabituelles

Les formats les plus dangereux sont les fichiers exécutables (.exe, .msi), les documents Office avec macros (.docm, .xlsm), et les fichiers compressés (.zip, .rar) protégés par un mot de passe fourni dans l’email (technique courante pour contourner les antivirus). N’ouvrez jamais une pièce jointe que vous n’attendiez pas, même si l’expéditeur vous semble connu, son compte peut avoir été compromis.

6. Un message générique sans personnalisation

« Cher client », « Bonjour utilisateur », « Madame, Monsieur », les emails de phishing de masse ne connaissent pas votre nom. Un email légitime de votre banque ou d’un fournisseur avec qui vous avez un contrat vous appellera par votre nom. Attention cependant : le spear phishing contourne ce signal en utilisant votre nom réel.

7. Le site web de destination n’est pas en HTTPS ou le certificat est suspect

Si vous cliquez sur un lien et que le site ne commence pas par https://, fuyez immédiatement. Mais attention : HTTPS ne garantit plus la légitimité d’un site, les cybercriminels obtiennent facilement des certificats SSL gratuits pour leurs faux sites. Vérifiez toujours le domaine complet dans la barre d’adresse.

8. La demande est inhabituelle pour cet expéditeur

Un email de votre « PDG » demandant un virement urgent et confidentiel depuis son adresse Gmail personnelle, un « fournisseur » qui change soudainement ses coordonnées bancaires par email, un « collègue » qui vous demande ses codes d’accès en urgence parce qu’il est en déplacement… Ces scénarios sont les préférés des attaquants. En cas de doute, décrochez votre téléphone et appelez directement la personne.

Au-delà de la vigilance humaine, une protection technique comme la Remote Browser Isolation (VirtualBrowser) empêche un clic malheureux sur un lien piégé de compromettre le poste de travail.

Exemples réels d’attaques phishing en 2026

L’arnaque à la facture fournisseur (BEC)

Une PME industrielle de Lyon reçoit un email de son fournisseur habituel signalant un changement de RIB pour les prochains paiements. L’email utilise exactement le même format, la même signature, et provient d’une adresse similaire (comptabilite@fournisseur-sarl.com au lieu de comptabilite@fournisseur.fr). Résultat : trois virements totalisant 87 000 € envoyés sur un compte en Bulgarie avant que la fraude soit découverte. Ce type d’attaque BEC (Business Email Compromise) a coûté plus de 2,9 milliards de dollars aux entreprises mondiales en 2025.

Le faux email de la DGFiP (Direction Générale des Finances Publiques)

En période de déclaration fiscale, des milliers de PME françaises reçoivent des emails imitant parfaitement les communications de l’administration fiscale : logo officiel, mentions légales, numéro SIRET demandé pour « confirmer l’éligibilité à un remboursement de TVA ». Le lien pointe vers un faux portail impots.gouv.fr qui capture identifiants et données bancaires. L’administration fiscale française ne contacte jamais par email pour demander des informations sensibles.

Le phishing par Teams et Slack

Depuis 2025, les attaquants ne se limitent plus à l’email. Des messages phishing arrivent directement via Microsoft Teams, Slack ou WhatsApp professionnel, souvent depuis un compte externe ou un compte interne compromis. « Bonjour, peux-tu regarder ce document en urgence ? » suivi d’un lien vers une fausse page de connexion Microsoft. La vigilance doit s’étendre à tous vos canaux de communication.

Le faux support informatique

Un employé reçoit un email du « service informatique interne » lui indiquant que son poste a été détecté comme infecté et qu’il doit télécharger un outil de désinfection en urgence. L’outil en question installe en réalité un RAT (Remote Access Trojan) qui donne un accès total à l’attaquant. Cette technique exploite la confiance accordée au service IT et le sentiment de panique face à une supposée infection.

Le phishing par IA générative : la nouvelle génération d’attaques

En 2026, l’émergence des LLM (grands modèles de langage) a radicalement changé la donne. Des services comme WormGPT ou FraudGPT , des versions non censurées de ChatGPT vendues sur le dark web, permettent à n’importe quel cybercriminel de générer des emails de phishing :

• Parfaitement rédigés en français, sans aucune faute d’orthographe
• Personnalisés à partir des données LinkedIn, du site web de l’entreprise et des publications récentes
• Adaptés au ton et au style de l’expéditeur usurpé
• Incluant des références contextuelles précises (nom du comptable, du fournisseur, du projet en cours)

Face à ces attaques de nouvelle génération, les signaux classiques (fautes d’orthographe, ton générique) ne fonctionnent plus. La vérification par appel téléphonique devient indispensable pour tout email demandant une action sensible.

Que faire si vous avez cliqué sur un lien de phishing ?

Ne paniquez pas mais agissez vite. Voici les étapes dans l’ordre :

• Déconnectez immédiatement votre poste du réseau (retirez le câble Ethernet ou désactivez le Wi-Fi) pour limiter la propagation d’un éventuel malware.
• Changez tous vos mots de passe depuis un autre appareil sain, en commençant par votre messagerie professionnelle et votre gestionnaire de mots de passe.
• Activez l’authentification à deux facteurs sur tous les comptes critiques si ce n’est pas déjà fait.
• Alertez votre service informatique immédiatement, ne tentez pas de gérer l’incident seul.
• Contactez votre banque si vous avez saisi des informations bancaires.
• Signalez l’incident sur signal-spam.fr et, en cas de préjudice financier, déposez une plainte.

Les outils pour se protéger du phishing en PME

Au niveau technique : activez DMARC, DKIM et SPF sur votre nom de domaine ; ces protocoles réduisent drastiquement l’usurpation de votre propre domaine par des tiers. Déployez un filtre anti-phishing intelligent (Microsoft Defender, Proofpoint, Mimecast). Utilisez un gestionnaire de mots de passe qui refuse automatiquement de compléter les formulaires sur des sites suspects.

Au niveau humain : organisez des simulations de phishing régulières pour tester et former vos collaborateurs. Des plateformes comme KnowBe4 ou Proofpoint Security Awareness Training permettent d’envoyer de faux emails de phishing à vos équipes et de mesurer leur vigilance dans le temps. Les études montrent qu’après 12 mois de formation continue, le taux de clics sur les phishing tests chute de 60 à 80 %.

Checklist anti-phishing pour votre PME

• ✅ Vérifier l’adresse email complète de l’expéditeur (pas seulement le nom affiché)
• ✅ Ne jamais cliquer sur un lien dans un email ; naviguer directement vers le site officiel
• ✅ Appeler l’expéditeur par téléphone pour toute demande financière ou sensible
• ✅ Ne jamais ouvrir une pièce jointe inattendue, même d’un expéditeur connu
• ✅ Activer l’authentification à deux facteurs sur tous les comptes critiques
• ✅ Signaler immédiatement tout email suspect au service informatique
• ✅ Mettre en place une procédure de validation des changements de RIB fournisseurs

Le phishing est une menace qui évolue constamment, mais qui repose toujours sur le même principe : exploiter la confiance et l’urgence pour bypasser votre jugement. En adoptant une culture du doute systématique pour tout email demandant une action sensible, vous neutralisez l’immense majorité de ces attaques ; quelle que soit leur sophistication technique.