J’ai cliqué sur un lien de phishing : comment réagir immédiatement

Vous avez cliqué sur un lien suspect et le doute s’installe. Page de connexion inhabituelle, pièce jointe étrange, SMS alarmant : le piège s’est refermé en quelques secondes, souvent sur un simple réflexe. La bonne nouvelle : une réaction rapide limite très fortement les dégâts, à condition de suivre les bons gestes dans le bon ordre.

Entre mots de passe compromis, données bancaires en danger et risques d’usurpation d’identité, chaque minute compte. Les chiffres récents sur le phishing montrent une progression continue des attaques, mais aussi des moyens concrets pour reprendre la main dès les premières secondes après le clic…

Phishing : comprendre ce qui vient de se passer quand on a cliqué

Un lien de phishing dirige généralement vers un site frauduleux ou déclenche le téléchargement d’un logiciel malveillant. L’objectif des cybercriminels reste toujours le même : voler des identifiants, siphonner des données bancaires, ou installer un malware pour espionner, chiffrer ou prendre le contrôle de l’appareil.

Entre 2024 et 2026, les chiffres illustrent une industrialisation claire de ces attaques. On recense plus d’un million d’attaques de phishing pour le seul premier trimestre 2025, et près de 60 % de l’ensemble des cyberattaques au deuxième trimestre 2025 exploitent ce vecteur. Les cybercriminels misent sur la vitesse, la pression psychologique et des leurres parfaitement rodés.

Dans le monde, plus de 4 100 violations de données ont été divulguées en 2026. Les attaques par email contenant des malwares ont bondi de 131 % en un an, et les arnaques numériques progressent de 35 %. Le phishing, lui, augmente encore de 21 %. Ces volumes montrent une réalité simple : tout le monde finit par cliquer un jour, y compris les personnes les plus prudentes.

27 février 2026

J’ai cliqué sur un lien de phishing par SMS : que faire ?

0 commentaires

Pourquoi la réaction immédiate après un clic de phishing change tout

Lorsqu’un lien de phishing est ouvert, les attaquants tentent d’exploiter une courte fenêtre de temps pour récupérer un maximum d’informations et se connecter à vos comptes. En moyenne, les cybercriminels restent présents dans les systèmes compromis pendant 11 jours avant d’être détectés. Plus la réaction est rapide, plus cette durée se réduit, et avec elle, les dégâts potentiels.

Les conséquences financières illustrent cet enjeu. Une violation liée au phishing coûte en moyenne 4,88 millions de dollars en 2025, et un incident de type BEC (Business Email Compromise, ou fraude au président / usurpation de messagerie professionnelle) atteint 4,2 millions de dollars. Ces montants intègrent non seulement les pertes directes, mais aussi l’interruption d’activité, la remédiation technique et la perte de confiance des clients.

En France, 8 entreprises sur 10 se déclarent victimes d’une cyberattaque chaque année, et le pays représente 13 % des attaques en Europe, ce qui en fait l’un des territoires les plus visés. Les campagnes ciblent massivement les institutions financières, les services de paiement, le e‑commerce, mais aussi les solutions SaaS et les webmails, ce qui expose en cascade les salariés et les particuliers.

« Une erreur de clic ne condamne pas l’utilisateur. Ce qui détermine l’ampleur de l’incident, c’est la vitesse à laquelle les accès sont sécurisés, les informations sensibles protégées et l’attaque signalée. »

J’ai cliqué sur un lien de phishing : les réflexes immédiats à adopter

Face à un clic malheureux, la priorité absolue reste de couper rapidement les canaux que les cybercriminels pourraient exploiter. Les gestes ci‑dessous servent de check‑list dans les premières minutes.

1. Fermer la page frauduleuse sans interagir davantage

Dès que le doute apparaît, fermez l’onglet ou la fenêtre du navigateur. N’entrez plus aucune information et ne cliquez sur aucun bouton supplémentaire, même si le site menace de bloquer un compte, une carte ou un colis. Plus vous limitez les interactions, plus vous réduisez la surface d’attaque.

Si un fichier a démarré un téléchargement automatique, annulez‑le dans le navigateur avant qu’il ne soit ouvert. Évitez d’exécuter tout fichier récemment téléchargé depuis cet email, SMS ou message suspect.

26 février 2026

Comment porter plainte pour une arnaque sur internet : démarche complète

0 commentaires

2. Activer immédiatement le mode hors ligne si un téléchargement a été lancé

En cas de téléchargement suspect ou de comportement anormal de l’appareil (ouverture de fenêtres, ralentissements soudains, messages étranges), coupez la connexion :

• désactivez le Wi‑Fi ;
• débranchez le câble réseau ;
• passez le téléphone en mode avion.

Cette coupure limite la communication entre un éventuel malware et les serveurs des attaquants. Le logiciel malveillant se retrouve isolé, ce qui réduit fortement sa capacité à exfiltrer des données ou à télécharger des modules supplémentaires.

3. Faire un état des lieux : qu’avez-vous réellement fait après le clic ?

Pour réagir de manière structurée, identifiez précisément vos actions après le clic :

• Avez‑vous saisi un email et un mot de passe ?
• Avez‑vous communiqué des codes 2FA/SMS, un code de sécurité, un OTP ?
• Avez‑vous tapé des numéros de carte bancaire, date d’expiration, CVC ?
• Avez‑vous téléchargé puis ouvert un fichier (PDF, Word, Excel, ZIP, APK…) ?

Plus vos réponses seront précises, plus la suite des actions pourra être adaptée : changement de mots de passe ciblé, opposition bancaire, analyse antivirus, alerte du service informatique, etc.

Cas n°1 : j’ai cliqué mais je n’ai rien saisi ni téléchargé

Dans ce cas, le risque existe encore, mais reste souvent limité. Le simple chargement de la page permet parfois au pirate de collecter des informations techniques (adresse IP, configuration du navigateur, géolocalisation approximative). Cependant, sans saisie de données ni téléchargement exécuté, les conséquences restent généralement plus contenues.

La prudence reste toutefois de mise, car certaines pages exploitent des vulnérabilités du navigateur pour tenter d’installer du code sans action supplémentaire de l’utilisateur. Ce type d’attaque reste moins fréquent, mais ne doit pas être exclu.

Actions recommandées si vous avez uniquement cliqué

• Fermez l’onglet immédiatement.
• Lancez un scan antivirus/antimalware complet sur l’appareil.
• Vérifiez l’historique de navigation pour repérer d’autres pages douteuses ouvertes au même moment.
• Surveillez de près vos boîtes mail dans les jours suivants (emails de connexion suspecte, tentatives de réinitialisation de mot de passe, alertes de connexion inhabituelle).

Si votre navigateur affiche une alerte de site dangereux ou d’hameçonnage, tenez compte de cette information et signalez la page comme frauduleuse via la fonction intégrée (Chrome, Firefox, Edge ou Safari disposent de mécanismes de signalement).

Cas n°2 : j’ai saisi mon mot de passe sur un faux site

La saisie d’identifiants sur une page de phishing constitue un scénario courant. 43 % des victimes qui cliquent sur un lien de phishing transmettent ensuite des informations. Les attaquants récupèrent alors en temps réel login, mot de passe, et parfois des codes temporaires, afin de se connecter immédiatement sur le véritable service ciblé.

Les services les plus concernés restent les webmails (Gmail, Outlook, Yahoo, etc.), les espaces clients bancaires, les comptes de services de paiement, ou encore les interfaces SaaS d’entreprise. Une compromission de messagerie peut ensuite servir de point d’entrée pour d’autres attaques, notamment des fraudes au virement ou des usurpations d’identité vis‑à‑vis de vos contacts.

Étapes immédiates si un mot de passe a été communiqué

Dans ce cas, l’action la plus urgente consiste à changer le mot de passe compromis sur le vrai site, en passant par l’URL officielle (tapez‑la manuellement ou utilisez un favori déjà enregistré). Suivez un processus rigoureux :

• Connectez‑vous au véritable service en tapant l’adresse à la main.
• Accédez à la page de gestion du compte ou de sécurité.
• Changez le mot de passe immédiatement, même si aucune activité suspecte n’apparaît encore.
• Si le même mot de passe est réutilisé ailleurs, modifiez aussi ces autres comptes sans délai.

Pour un accompagnement dédié à ce type de situation d’urgence, un guide complet sur la marche à suivre figure ici : changer son mot de passe en urgence.

Renforcer la sécurité : activer la double authentification

Les statistiques montrent que près de 80 % des entreprises victimes de cyberattaques n’avaient pas activé une authentification multifacteur (MFA). L’activation de la double authentification sur vos comptes sensibles empêche de nombreux accès frauduleux, même lorsque le mot de passe a fuité.

• Privilégiez une application d’authentification (Google Authenticator, Authy, Microsoft Authenticator…) plutôt que le SMS lorsqu’elle est disponible.
• Générez des codes de secours et conservez‑les dans un endroit sécurisé.
• Revoyez régulièrement la liste des appareils autorisés et des sessions actives.

Cas n°3 : j’ai transmis des données bancaires ou effectué un paiement

Les pages de phishing imitent fréquemment les interfaces de banque, de prestataires de paiement ou de livraison. Elles réclament des informations comme :

• numéro de carte bancaire ;
• date d’expiration ;
• cryptogramme visuel (CVC/CVV) ;
• codes 3D Secure reçus par SMS ;
• ou invitent à effectuer un virement vers un « nouveau compte sécurisé ».

Les services financiers constituent une cible privilégiée : environ 18,3 % des attaques de phishing visent des institutions financières et 12,1 % des services de paiement. Dans ces contextes, la réactivité conditionne directement l’ampleur de la perte financière.

Réagir en urgence auprès de votre banque ou de l’émetteur de carte

Si vous avez transmis vos données bancaires ou validé un paiement suspect, contactez immédiatement le service d’urgence de votre banque :

• faites opposition sur la carte ou demandez son blocage temporaire ;
• signalez qu’il s’agit d’une fraude par phishing ;
• notez la date, l’heure, le montant, le libellé et, si possible, le numéro du bénéficiaire ;
• surveillez les opérations en ligne dans les heures et jours qui suivent.

En parallèle, conservez tous les éléments de preuve : captures d’écran du SMS ou de l’email, adresse du site frauduleux, numéro de téléphone utilisé, relevé détaillé, échanges avec la banque. Ces documents seront utiles en cas de contestation ou de dépôt de plainte.

Pour aller plus loin sur les recours possibles et les conditions de remboursement, un contenu détaillé sur le sujet est proposé : phishing bancaire et remboursement.

« En matière de fraude bancaire, la chronologie compte autant que la nature de l’arnaque. Une opposition rapide, une contestation formelle et des preuves conservées avec rigueur renforcent considérablement les chances de remboursement. »

Cas n°4 : j’ai téléchargé ou ouvert une pièce jointe malveillante

De nombreuses campagnes de phishing embarquent des pièces jointes (fichiers Word, Excel, PDF, ZIP, ou applications mobiles) contenant des macros malveillantes ou des exécutables déguisés. Une fois ouverts, ces fichiers installent des chevaux de Troie, des ransomwares, des voleurs de mots de passe ou des outils de prise de contrôle à distance.

Les attaques par email contenant des malwares ont progressé de 131 % sur un an. Les cybercriminels utilisent ces vecteurs pour contourner les protections classiques et maintenir une présence dans les systèmes pendant plusieurs jours, voire semaines.

Conduite à tenir en cas de téléchargement ou d’ouverture de fichier suspect

• Déconnectez immédiatement l’appareil d’Internet (Wi‑Fi, câble, données mobiles).
• Lancez un scan antivirus complet, puis un second scan avec un antimalware reconnu.
• Si des menaces sont détectées, suivez scrupuleusement les recommandations de suppression ou de mise en quarantaine.
• En contexte professionnel, alertez sans délai le service informatique ou le RSSI.

Pour les ransomwares ou les malwares avancés, une réinstallation complète du système s’avère parfois nécessaire. Dans ce cas, une sauvegarde récente et saine devient un atout déterminant : elle permet de repartir d’un environnement propre sans réintroduire le code malveillant.

Cas n°5 : j’ai répondu à un SMS de phishing (smishing)

Le phishing par SMS (smishing) connaît une progression forte, car les victimes se montrent entre 6 et 10 fois plus susceptibles de cliquer sur un lien reçu par SMS que dans un email. Environ 80 % des attaques récentes ciblant les utilisateurs exploitent désormais le mobile, que ce soit via SMS, messageries instantanées ou QR codes.

Les scénarios les plus répandus jouent sur l’urgence : colis bloqué, compte bancaire restreint, amende à payer, URSSAF, CAF, ou sécurité d’un compte en ligne. Un simple clic ouvre une page web mobile optimisée qui imite parfaitement le site d’une marque connue.

Gestes à adopter après un clic sur un SMS suspect

• Fermez l’onglet du navigateur mobile et ne saisissez aucun identifiant.
• Supprimez le SMS, mais notez avant le numéro émetteur ou faites une capture d’écran pour un éventuel signalement.
• Si des informations (identifiants, codes, carte bancaire) ont été communiquées, appliquez les mêmes mesures que pour un phishing classique : changement de mot de passe, opposition carte, alerte à la banque, etc.
• Vérifiez les autorisations des applications récemment installées sur votre téléphone et supprimez toute appli suspecte.

Une ressource complémentaire détaille toutes les étapes spécifiques à ce type d’arnaque : phishing par SMS, que faire.

« Les SMS frauduleux exploitent la rapidité des échanges sur mobile. Un simple réflexe de vérification, comme l’ouverture de l’application bancaire officielle plutôt que le lien reçu, brise efficacement ce type de chaîne d’attaque. »

Comment vérifier si mes comptes ont été compromis après un clic de phishing

Au‑delà des gestes d’urgence, une phase de vérification s’impose pour détecter toute activité anormale sur vos comptes. Les pirates agissent parfois discrètement, en se connectant à intervalles réguliers pour siphonner des données, rediriger des emails ou installer des règles de transfert automatiques.

Les attaques touchent prioritairement certaines marques : Microsoft représente environ 25 % des tentatives d’usurpation de marque, Google 11 %, Apple 9 %, Spotify 6 % et Adobe 4 %. Les comptes associés à ces services devraient être vérifiés en priorité si le phishing ciblait un de ces univers.

Contrôler les journaux de connexion et les appareils associés

• Consultez l’historique des connexions récentes sur vos principaux comptes (messagerie, réseaux sociaux, services bancaires, cloud).
• Recherchez les connexions depuis des pays, appareils ou horaires inhabituels.
• Révoquez tous les appareils inconnus ou anciens.
• Forcer la déconnexion de toutes les sessions actives lorsque la fonction existe.

Cette vérification permet de couper l’accès à un pirate qui aurait déjà réussi une connexion. Elle complète le changement de mot de passe et la mise en place d’une authentification à deux facteurs.

Inspecter les réglages de sécurité et de messagerie

Certains pirates modifient les paramètres internes d’un compte plutôt que de se limiter à une simple utilisation ponctuelle. Il devient alors nécessaire de passer en revue :

• les règles de transfert automatique d’emails (redirections vers une adresse inconnue) ;
• les permissions d’accès accordées à des applications tierces ;
• les questions de récupération de compte et les adresses email de secours ;
• les numéros de téléphone enregistrés pour la récupération.

Une revue systématique de ces éléments limite les tentatives futures d’usurpation, notamment les scénarios où le pirate intercepte discrètement vos échanges sans se faire remarquer.

Erreurs fréquentes après un clic de phishing et comment les éviter

Les études de comportement montrent plusieurs réflexes qui aggravent les conséquences d’un phishing. Les comprendre aide à adopter une réaction plus maîtrisée lors d’un incident.

Parmi les erreurs fréquentes, on retrouve :

• agir dans l’urgence sans vérifier la légitimité du message ;
• réutiliser les mêmes mots de passe sur plusieurs services ;
• cliquer sans vérifier l’adresse d’expéditeur ou l’URL du site ;
• ignorer les alertes de sécurité du navigateur ou de l’antivirus ;
• minimiser l’incident et ne pas prévenir les interlocuteurs concernés (banque, service IT, hiérarchie).

Comment signaler un phishing pour limiter les dégâts collectifs

Au‑delà de votre propre situation, le signalement d’une tentative de phishing contribue à protéger d’autres victimes potentielles. Une même campagne cible souvent des milliers de personnes en quelques heures, via email, SMS ou réseaux sociaux.

Les signaux utiles incluent : l’adresse d’expéditeur, l’URL de la page frauduleuse, les numéros de téléphone utilisés, les pièces jointes ou le contenu du message. Ces éléments permettent aux équipes de sécurité (FAI, éditeurs d’antivirus, CERT, services internes d’entreprise) de bloquer plus rapidement les infrastructures malveillantes.

Canaux de signalement généralement disponibles

• Fonction « Signaler comme phishing » ou « Indésirable » dans votre messagerie.
• Formulaires de signalement sur les sites des banques, opérateurs ou marques usurpées.
• Service informatique ou RSSI dans un contexte professionnel.
• Plateformes nationales de lutte contre la cybercriminalité (selon le pays).

En entreprise, un signalement rapide d’un email suspect permet parfois d’éviter une vague d’infections. Les administrateurs peuvent alors bloquer l’expéditeur, filtrer le domaine malveillant et alerter les autres collaborateurs avant qu’ils ne cliquent à leur tour.

Renforcer sa protection personnelle après un incident de phishing

Une fois l’urgence gérée, cet incident représente aussi un point de bascule vers une hygiène numérique plus robuste. Les pirates exploitent en priorité certaines habitudes, comme la réutilisation de mots de passe, l’absence de double authentification ou la validation systématique des demandes reçues par email ou SMS.

Les statistiques illustrent la marge de progression : environ 26 % des employés succombent encore à des emails de phishing, et 52 % se laissent tromper par une usurpation de dirigeants. En parallèle, 44 % des violations sur mobile proviennent directement du comportement des utilisateurs eux‑mêmes.

Mettre en place des garde‑fous simples mais efficaces

• Adopter un gestionnaire de mots de passe pour générer et stocker des identifiants uniques.
• Activer l’authentification multifacteur sur tous les comptes sensibles.
• Utiliser un antivirus reconnu et maintenir à jour l’ensemble des logiciels.
• Mettre en place des sauvegardes régulières, hors ligne ou dans un cloud sécurisé.

Ces mesures forment une base de défense cohérente, qui limite fortement l’impact de futurs incidents, même si un lien de phishing venait à être ouvert à nouveau.

Adopter de nouveaux réflexes face aux messages urgents

La majorité des campagnes d’hameçonnage misent sur la pression du temps : compte bloqué, paiement en attente, sécurité compromise, menace de pénalité. Sortir de cette urgence artificielle constitue un levier puissant de protection.

• Vérifier systématiquement l’URL dans la barre d’adresse avant de saisir le moindre identifiant.
• Pour les sujets financiers ou administratifs, passer par l’application ou le site officiel en le saisissant soi‑même.
• Ne jamais communiquer de mot de passe, de code 2FA ou de code de carte par téléphone ou par email, même en cas de demande « urgente ».
• En cas de doute, demander à un proche ou à un collègue de jeter un œil au message avant de répondre.

« Un simple changement de routine – ne jamais cliquer sur un lien reçu pour se connecter à un service sensible, mais toujours passer par l’application ou le site officiel – réduit déjà considérablement l’efficacité du phishing. »

Phishing et environnement professionnel : protéger aussi son entreprise

Lorsqu’un clic de phishing survient sur un poste professionnel, les enjeux dépassent la sphère personnelle. Les pirates cherchent alors à atteindre les systèmes de l’entreprise, à dérober des données clients, des secrets industriels ou à lancer des fraudes au virement de grande ampleur.

Les secteurs particulièrement visés incluent les services financiers, le SaaS et webmail, le e‑commerce, les services de paiement et les réseaux sociaux. Les campagnes utilisent souvent l’usurpation de la messagerie d’un dirigeant ou d’un fournisseur, avec un taux de réussite notable : 52 % des employés se laissent duper par ces scénarios d’ingénierie sociale.

Réflexes spécifiques en cas de phishing sur un poste de travail

• Prévenir immédiatement le support informatique ou le référent sécurité.
• Ne pas tenter de « nettoyer » seul la machine en supprimant des fichiers au hasard.
• Éviter de redémarrer un poste potentiellement compromis sans consigne du service IT (des traces utiles pourraient disparaître).
• Fournir toutes les informations utiles : email original, heure du clic, captures d’écran, messages d’erreur.

Une communication transparente en interne favorise une réponse coordonnée : isolement de la machine, analyse forensique, recherche de traces d’intrusion sur les serveurs, sensibilisation des collègues exposés à la même campagne.

Phishing et QR codes, domaines exotiques, sites clonés : repérer les signaux faibles

Les infrastructures utilisées pour le phishing évoluent en permanence. Au‑delà des liens classiques, les cybercriminels exploitent désormais massivement les QR codes malveillants et les domaines peu connus pour contourner la méfiance des utilisateurs.

On recense plus de 635 000 QR codes malveillants pour le seul deuxième trimestre 2025, et plus de 1,7 million entre la fin 2024 et le premier trimestre 2025. Parallèlement, plus d’un million de sites de phishing uniques ont été identifiés sur le deuxième trimestre 2025, appuyés par plus de 70 000 noms de domaines dédiés, souvent dans des extensions comme .xyz, .bond ou .vip.

Indices techniques d’un site potentiellement frauduleux

• Nom de domaine proche d’une marque connue mais légèrement altéré (lettre manquante ou doublée, inversion de caractères).
• Extension peu habituelle pour la marque ciblée (.xyz, .vip, .bond, etc.).
• Présence d’erreurs de traduction, d’orthographe ou de mise en forme approximative.
• Formulaire qui demande des informations inhabituelles pour l’action annoncée.
• Absence d’espace client classique ou de navigation cohérente avec le véritable site.

En cas d’usage de QR code (affiche, email, SMS, réseau social), prenez le temps de vérifier l’URL qui s’affiche avant de valider l’ouverture. De nombreuses applications de lecture de QR permettent d’apercevoir l’adresse avant de lancer le navigateur.

Faire de cet incident un déclic pour mieux se protéger dans la durée

Un clic sur un lien de phishing laisse toujours un goût amer, mais cet épisode peut aussi servir de point de départ vers une posture numérique plus solide. En analysant ce qui vous a conduit à cliquer – fatigue, précipitation, forme du message, contexte émotionnel – vous renforcez votre capacité à repérer plus rapidement les prochaines tentatives.

Les attaques vont continuer à se multiplier : en 2026, on dénombre en moyenne 1968 cyberattaques par semaine dans le monde, soit une hausse de 70 % en deux ans. Les cybercriminels affinent leurs scénarios, ciblent des marques précises, exploitent les smartphones et s’appuient sur des infrastructures toujours plus diversifiées.

En contrepartie, chaque utilisateur qui maîtrise les bons réflexes – réaction immédiate, changement d’identifiants, signalement, vérification des comptes, renforcement progressif de la sécurité – retire une part de terrain aux attaquants. Une erreur ponctuelle n’empêche en rien de reprendre la main sur sa sécurité numérique, dès les premières minutes qui suivent le clic.