J'ai cliqué sur un lien de phishing : que faire

↑ Ce conseil fait partie du guide : Arnaques et hameçonnage

J'ai cliqué sur un lien de phishing : que faire ?

Si vous n'avez rien saisi ni téléchargé, il ne s'est en général rien passé : le simple affichage d'une page ne suffit pas à compromettre un appareil à jour. Si vous avez tapé un mot de passe, changez-le immédiatement. Si vous avez saisi une carte bancaire, faites opposition et surveillez vos relevés.

Le cas le plus fréquent : il ne s'est rien passé

Un lien d'hameçonnage n'installe presque jamais quoi que ce soit tout seul. Dans neuf situations sur dix, cliquer ouvre simplement une page web copiée sur celle de votre banque, des impôts ou d'un transporteur. Tant que vous n'avez rien tapé dessus, elle n'a rien obtenu. Vous pouvez refermer l'onglet et respirer.

Ce qui inquiète les gens, c'est l'idée qu'un simple clic « laisse entrer » quelque chose. C'est vrai sur un appareil très ancien, qui n'a pas reçu de mise à jour depuis des années, et dont le navigateur est dépassé. Sur un téléphone ou un ordinateur tenu à jour, l'ouverture d'une page seule ne suffit pas.

La question utile n'est donc pas « ai-je cliqué ? » mais « qu'ai-je fait ensuite ? ». Trois gestes changent la donne : saisir des identifiants, saisir une carte, ouvrir un fichier. Les sections qui suivent traitent chacun de ces cas, et vous pouvez sauter directement au vôtre.

Vous avez saisi quelque chose sur la page

Si vous avez tapé un identifiant et un mot de passe sur la fausse page, considérez que les deux sont entre les mains de quelqu'un d'autre dans la minute. Ces formulaires envoient les données en temps réel ; il n'y a pas de délai de grâce.

1. Changez le mot de passe du service concerné, depuis l'application officielle ou en tapant vous-même l'adresse du site — jamais depuis le lien du message.
2. Changez-le partout où vous l'utilisiez aussi. C'est l'étape que tout le monde saute, et c'est celle qui fait le plus de dégâts : un mot de passe volé est essayé automatiquement sur des dizaines d'autres sites.
3. Activez la double authentification sur le compte touché. Même volé, le mot de passe seul ne suffira plus.
4. Déconnectez les autres sessions depuis les réglages de sécurité du service : si quelqu'un s'est déjà connecté, cela le met dehors.

Si le mot de passe concerné était celui de votre boîte mail, traitez-le en priorité absolue : c'est la clé qui permet de réinitialiser tous les autres comptes. Notre fiche compte Gmail piraté détaille la reprise en main, et mot de passe volé ou fuité la marche à suivre générale.

Si c'était une carte bancaire

Numéro, date d'expiration et cryptogramme saisis sur une fausse page : le seul réflexe qui compte est l'opposition immédiate, par l'application de votre banque ou par le numéro d'urgence figurant au dos de votre carte. Faites-le avant de chercher à comprendre, c'est une question de minutes.

Ensuite, deux démarches complètent l'opposition :

• Perceval, le téléservice de signalement des fraudes à la carte bancaire, accessible depuis service-public.fr avec FranceConnect. Il alimente l'enquête et sert de pièce dans votre dossier de remboursement.
• La contestation auprès de la banque. Un paiement que vous n'avez pas autorisé se conteste par écrit ; la banque doit rembourser les opérations non autorisées, sauf à démontrer une négligence grave de votre part. D'où l'intérêt d'avoir fait opposition sans attendre.

Surveillez aussi les petits prélèvements réguliers dans les semaines qui suivent : les fraudeurs testent souvent une carte avec des montants de quelques euros avant de passer à autre chose.

Si vous avez ouvert une pièce jointe

C'est le seul cas où votre appareil lui-même est potentiellement concerné. Un fichier .exe, .scr, .js ou une archive .zip qui en contient un, un document Office qui vous demande d'« activer les macros » : ce sont les formes classiques. Si le fichier est téléchargé mais pas encore ouvert, ne le lancez pas pour voir : voici comment savoir si un fichier téléchargé est un virus, sans l'ouvrir.

Si des fichiers deviennent illisibles et qu'un message réclame de l'argent, vous n'êtes plus sur un simple hameçonnage : lisez rançongiciel, que faire dans les premières heures. Dans les autres cas, un nettoyage complet de la machine lève le doute.

Le cas du téléphone

Le clic se fait de plus en plus souvent depuis un SMS ou une messagerie, sur un petit écran où l'adresse du lien est invisible. Les conséquences sont les mêmes, mais les vérifications changent un peu.

• Sur iPhone, une page web seule n'installe rien. Le risque porte sur ce que vous saisissez, ou sur un profil de configuration que la page vous propose d'installer : refusez toujours. Le détail est dans mon iPhone peut-il être piraté.
• Sur Android, le vrai danger est le fichier .apk téléchargé puis installé hors du magasin officiel. Si vous avez accepté cette installation, passez par les vérifications de mon téléphone Android est-il infecté.
• Dans les deux cas, videz les données du navigateur et retirez les notifications de sites autorisées : c'est souvent ce qui fait revenir la page.

Un dernier réflexe utile : sur téléphone, un appui long sur un lien affiche son adresse réelle sans l'ouvrir. Deux secondes qui évitent la plupart des pièges.

Vérifier que rien ne tourne derrière

Après un fichier ouvert, ou simplement pour dormir tranquille, trois vérifications se font sans outil particulier :

• Les programmes qui démarrent avec Windows (Gestionnaire des tâches, onglet « Démarrage ») : un nom inconnu apparu le jour du clic mérite une recherche.
• Les extensions du navigateur : c'est la cachette préférée des indésirables, et elle survit à une réinstallation d'antivirus.
• Une analyse complète avec la protection déjà présente sur la machine, Windows Defender compris. Inutile d'empiler trois antivirus : ils se gênent entre eux.

Les signes qui doivent vraiment alerter sont détaillés dans appareil piraté : les signes qui comptent. Un ordinateur qui rame le lendemain n'est pas une preuve ; une fenêtre de commande qui s'ouvre seule, si.

Reprendre la main sur vos comptes

Une fois le mot de passe changé, l'intrus peut encore avoir posé des portes dérobées légitimes dans le compte lui-même. Elles survivent au changement de mot de passe, et c'est la raison pour laquelle certaines personnes se font « repirater » deux jours plus tard.

• Les règles de transfert automatique dans la messagerie : une copie de tous vos mails part discrètement ailleurs.
• L'adresse et le numéro de récupération : s'ils ont été remplacés, celui qui les contrôle reprend le compte quand il veut.
• Les applications tierces autorisées, à révoquer sans état d'âme ; vous réautoriserez celles que vous utilisez vraiment.

Le guide compte en ligne piraté reprend ces vérifications service par service.

Signaler, et à qui

Signaler ne vous rend pas votre argent, mais cela fait fermer la fausse page — et la personne suivante ne tombera pas dedans.

• Un SMS frauduleux se transfère au 33700, gratuitement.
• Un site copié se signale sur Pharos.
• Pour être guidé pas à pas, le dispositif public 17Cyber et cybermalveillance.gouv.fr donnent la marche à suivre officielle.
• En cas de préjudice financier, déposez plainte : c'est la pièce que votre banque et votre assurance vous réclameront.

Gardez des captures d'écran du message et de la page avant qu'elle ne disparaisse : elles serviront.

Ce qui ne sert à rien (et ce qui aide vraiment)

Trois réflexes répandus n'apportent rien. Répondre au message pour dire que vous n'êtes pas dupe confirme simplement que l'adresse est active. Réinstaller Windows dans la panique après un simple clic détruit vos données pour un risque qui n'existait pas. Multiplier les antivirus ralentit la machine sans rien détecter de plus.

Ce qui aide, à l'inverse : des mots de passe différents partout, la double authentification sur la messagerie et la banque, et les mises à jour installées quand elles sont proposées. C'est tout le propos de la page prévention, et c'est ce qui fait qu'un prochain clic restera sans conséquence.

Si vous avez un doute sur ce qui a été saisi, ou si votre compte se comporte bizarrement depuis, un audit après un soupçon de piratage tranche la question en une séance. Le diagnostic au téléphone dure quinze minutes et ne coûte rien ; vous pouvez aussi simplement décrire votre situation.

Lire une adresse : ce qui compte, et ce qui ne compte pas

Savoir lire une URL évite la quasi-totalité des pièges, et ça s'apprend en deux minutes. La seule partie qui compte est celle qui précède le premier « / » — et dans cette partie, les deux derniers mots avant l'extension.

Anatomie d'une adresse

https://impots.gouv.fr.remboursement-2026.com/particulier/connexion

• Le vrai domaine : les deux derniers mots avant le premier « / ». C'est le seul propriétaire de la page. Ici : remboursement-2026.com.
• Tout ce qui précède — y compris « impots.gouv.fr » — est choisi librement par celui qui a créé l'adresse.
• Tout ce qui suit le « / » est de la décoration : chemin, paramètres, mot rassurant.

• impots.gouv.fr/mon-espace → le domaine est impots.gouv.fr. Authentique.
• impots.gouv.fr.remboursement-2026.com/ → le domaine est remboursement-2026.com. Tout ce qui précède a été choisi par l'escroc.
• secure-impots.fr → domaine crédible, mais qui n'est pas celui de l'administration. Un service public français est toujours en .gouv.fr.

Ce qui ne prouve rien : le cadenas et le HTTPS — les faux sites en ont tous, le certificat est gratuit ; le logo, copié en trois secondes ; l'absence de faute d'orthographe, qui a disparu depuis que les textes sont générés ; et le fait que le message vous nomme, puisque nom et numéro de téléphone circulent par listes entières.

Sur téléphone, où l'adresse est tronquée : un appui long sur le lien affiche l'URL complète sans l'ouvrir. C'est le geste le plus utile de cette fiche.

Les jours qui suivent : ce qu'il faut surveiller

Même sans rien avoir saisi, une page ouverte signale que votre adresse est active. Ce qui arrive ensuite, et comment le prendre :

• Un appel « de votre banque » dans les jours qui suivent, qui cite le message reçu pour se rendre crédible et demande de valider une activation dans l'application. Cette validation autorise un virement. Raccrochez et rappelez le numéro figurant au dos de votre carte.
• D'autres messages, mieux ciblés : votre adresse est passée dans une liste de cibles réactives.
• Des connexions inconnues sur vos comptes : vérifiez l'historique dans votre espace de sécurité, et lancez une réinitialisation au moindre doute.
• Des débits de quelques euros si des coordonnées bancaires ont été saisies : c'est le test qui précède les gros montants.

Une analyse anti-virus ne sert à rien si vous n'avez rien téléchargé : une page web qui s'affiche n'installe rien toute seule sur un système à jour. Ce qu'il faut surveiller, ce sont les comptes, pas la machine. Et pour les prochains : vérifier un lien suspect avant de cliquer prend dix secondes et se fait sans ouvrir la page.

Questions fréquentes

Cliquer sur un lien suffit-il à se faire pirater ?

Dans la grande majorité des cas, non : le lien ouvre une page qui essaie de vous faire saisir vos identifiants. Le risque vient de ce que vous tapez ensuite, ou d'un fichier téléchargé puis ouvert. Sur un appareil à jour, l'affichage d'une page seule ne suffit pas.

Faut-il changer tous ses mots de passe ?

Non, seulement celui du service imité et ceux qui étaient identiques ou très proches. Commencez par la messagerie : c'est elle qui permet de réinitialiser tous les autres comptes.

Combien de temps faut-il surveiller ses comptes après ?

Un mois suffit pour la banque, en regardant surtout les petits montants et les prélèvements récurrents. Pour les comptes en ligne, activez plutôt les alertes de connexion : elles préviennent toutes seules.

J'ai cliqué depuis mon téléphone, est-ce plus grave ?

Non, c'est même généralement moins risqué : un téléphone à jour n'installe rien sans votre accord explicite. Le danger reste ce que vous saisissez, et sur Android l'installation d'un fichier hors du magasin officiel.

Comment reconnaître une fausse adresse de site ?

Lisez l'adresse jusqu'au premier « / », et dans cette partie les deux derniers mots avant l'extension. Dans impots.gouv.fr.remboursement-2026.com, le vrai domaine est remboursement-2026.com : tout ce qui précède a été choisi par l'escroc.

Le cadenas et le HTTPS garantissent-ils que le site est sûr ?

Non. Ils indiquent seulement que la connexion est chiffrée. Les faux sites ont tous un certificat : il est gratuit et automatique. Le cadenas ne dit rien de l'honnêteté du site.

Faut-il lancer un antivirus après avoir cliqué ?

Seulement si vous avez téléchargé ou ouvert un fichier. Une page web qui s'affiche n'installe rien sur un système à jour : ce qu'il faut surveiller, ce sont vos comptes, pas la machine.

À lire aussi : le guide des arnaques et de l'hameçonnage · mot de passe volé ou fuité.