Réponse courte : si vous avez cliqué sur un lien de phishing, coupez la connexion de l’appareil, ne saisissez plus rien, puis changez sans attendre les mots de passe concernés depuis un autre appareil. Si vous avez donné votre carte bancaire, faites opposition auprès de votre banque. Conservez le message, lancez une analyse antivirus et signalez l’arnaque sur 17Cyber.
Avoir cliqué sur un lien de phishing (hameçonnage) arrive à tout le monde : un faux colis, une fausse amende, un faux message de la banque. Le clic seul n’est pas toujours grave. Ce qui compte, c’est ce que vous avez fait ensuite : saisi un mot de passe, donné une carte bancaire ou téléchargé un fichier. Voici la marche à suivre, dans l’ordre, telle que la recommandent les autorités françaises.
Cliquer sur un lien de phishing, est-ce grave ?
Le simple clic est rarement grave à lui seul ; le danger vient surtout des informations saisies ou des fichiers téléchargés après.
Un lien de phishing mène le plus souvent vers une fausse page qui imite un site connu (banque, impôts, transporteur, messagerie). Son but est de vous faire taper vos identifiants ou vos coordonnées bancaires. Plus rarement, la page tente de vous faire installer un programme. Faites le point honnêtement sur votre situation :
| Ce que vous avez fait | Niveau de risque | Priorité |
|---|---|---|
| Cliqué, puis fermé la page sans rien saisir | Faible | Analyse antivirus et vigilance |
| Saisi un identifiant et un mot de passe | Élevé | Changer le mot de passe immédiatement |
| Donné un numéro de carte ou un code reçu par SMS | Très élevé | Opposition bancaire sans attendre |
| Téléchargé ou ouvert un fichier | Élevé | Déconnecter l’appareil et le faire analyser |
Que faire dans les premières minutes ?
Agissez vite et dans cet ordre : isoler l’appareil, sécuriser les comptes, protéger l’argent, puis garder les preuves.
- Fermez la page et ne saisissez plus rien. N’y revenez pas « pour vérifier ».
- Coupez le Wi-Fi ou le câble réseau si vous avez téléchargé ou ouvert un fichier. Cela limite les échanges avec un éventuel logiciel malveillant.
- Changez le mot de passe saisi, depuis un autre appareil sain si possible. Changez-le aussi partout où vous utilisiez le même, comme le recommande la fiche réflexe de Cybermalveillance.gouv.fr.
- Activez la double authentification sur le compte concerné et vérifiez les dates et heures des dernières connexions.
- Appelez votre banque pour faire opposition si vous avez donné une carte bancaire ou validé une opération.
- Gardez le message reçu (e-mail ou SMS) : c’est une preuve utile pour la banque et pour une plainte.
- Contactez directement l’organisme imité par son numéro habituel, jamais par celui indiqué dans le message.
J’ai donné mon mot de passe : comment reprendre la main sur mon compte ?
Changez immédiatement le mot de passe, déconnectez les sessions ouvertes et activez la double authentification.
La plupart des services (Google, Microsoft, Apple, Orange, SFR, etc.) permettent de voir les appareils connectés et de les déconnecter à distance. Faites-le. Vérifiez ensuite que les pirates n’ont rien modifié : adresse e-mail ou numéro de téléphone de secours, règles de transfert automatique dans la messagerie, messages envoyés à vos contacts.
Si c’est votre boîte mail qui est touchée, c’est le compte le plus sensible : il permet de réinitialiser tous les autres. Notre guide Compte e-mail piraté : que faire dans la première heure ? détaille la procédure. Pour ne plus jamais réutiliser un mot de passe, un gestionnaire de mots de passe est la solution la plus simple.
J’ai donné ma carte bancaire : vais-je être remboursé ?
Faites opposition tout de suite : en cas d’opération non autorisée, la loi protège le payeur, mais la banque peut contester en invoquant une « négligence grave ».
L’article L.133-19 du Code monétaire et financier prévoit que votre responsabilité n’est pas engagée lorsqu’une opération a été réalisée à votre insu, en détournant votre carte ou ses données. L’INC (Institut national de la consommation) rappelle toutefois que certaines banques refusent le remboursement au motif d’une négligence grave du client, par exemple s’il a lui-même validé l’opération. D’où l’intérêt d’agir vite et de garder toutes les preuves.
Ensuite, déposez plainte au commissariat ou à la gendarmerie. Une pré-plainte en ligne est possible sur pre-plainte-en-ligne.gouv.fr. Pour un conseil, la plateforme Info Escroqueries répond gratuitement au 0 805 805 817.
Comment savoir si mon ordinateur ou mon téléphone est infecté ?
Lancez une analyse complète avec votre antivirus et surveillez les signes anormaux pendant quelques jours.
Si vous n’avez rien téléchargé, le risque d’infection est faible. En revanche, si vous avez ouvert une pièce jointe ou installé une « mise à jour » proposée par la page, considérez l’appareil comme suspect. Signes à surveiller :
- lenteurs soudaines, ventilateur qui tourne sans raison ;
- fenêtres publicitaires, nouvelle page d’accueil ou nouveau moteur de recherche dans le navigateur ;
- programmes inconnus installés ;
- contacts qui reçoivent des messages que vous n’avez pas envoyés ;
- antivirus désactivé sans votre intervention.
Au moindre doute, ne restez pas seul : un technicien peut vérifier l’appareil via une assistance informatique à distance ou procéder à une suppression de virus complète.
Où signaler un lien de phishing ?
Signalez-le sur 17Cyber, le guichet officiel, et transmettez le message aux plateformes dédiées pour faire fermer le faux site.
- 17Cyber (17cyber.gouv.fr) : lancé en décembre 2024 par l’État, il établit un diagnostic et vous oriente vers les bonnes démarches. Un tchat avec un policier ou un gendarme est disponible 24 h/24 pour les menaces les plus préoccupantes.
- Signal Spam (signal-spam.fr) : pour signaler un e-mail frauduleux.
- Phishing Initiative (phishing-initiative.fr) : pour faire vérifier et bloquer l’adresse d’un faux site.
- 33700 : pour transférer un SMS suspect.
L’avis de l’expert
Dans les grands comptes où j’ai piloté le patch management, un clic sur un lien piégé n’est jamais traité comme une faute, mais comme un incident à contenir. La règle est simple : celui qui signale vite est celui qui limite les dégâts. Les procédures prévoient d’isoler le poste, de réinitialiser les identifiants et de vérifier les journaux de connexion dans l’heure.
Ce réflexe est transposable à une PME ou à un foyer. Trois mesures font l’essentiel du travail : des mises à jour appliquées rapidement, la double authentification sur les comptes clés (messagerie, banque, Microsoft 365) et des mots de passe tous différents. Avec ces trois protections, un clic malheureux reste un simple incident, pas une catastrophe.
Et pour les particuliers et PME du 92 ?
Dans les Hauts-de-Seine, SOSPC82 intervient 24 h/24 et 7 j/7 à domicile ou en entreprise, de La Garenne-Colombes à Nanterre, Courbevoie, Colombes ou Boulogne-Billancourt. Après un clic sur un lien de phishing, nous vérifions l’appareil, sécurisons vos comptes et vous aidons dans les démarches. Le dépannage à domicile est facturé 70 €/h, déplacement inclus dans le 92.
Pour les entreprises, un clic d’un salarié peut ouvrir la porte à toute la messagerie. Nous intervenons en réponse à incident cyber et proposons une sensibilisation au phishing pour apprendre aux équipes à repérer les faux messages, ainsi que la sécurisation de Microsoft 365 et Google Workspace.
Questions fréquentes
Le simple fait d’ouvrir un e-mail de phishing est-il dangereux ?
Ouvrir l’e-mail sans cliquer ni ouvrir de pièce jointe présente un risque très faible. Supprimez-le après l’avoir signalé sur Signal Spam. Ne répondez jamais à l’expéditeur.
Faut-il réinstaller son ordinateur après un clic sur un lien de phishing ?
Non, pas si vous n’avez rien téléchargé ni installé. Une analyse antivirus complète suffit généralement. La réinstallation n’est utile que si une infection est confirmée et ne peut pas être nettoyée.
J’ai donné un code reçu par SMS : que faire ?
Ce code sert souvent à valider un paiement ou à changer un mot de passe. Appelez immédiatement votre banque ou le service concerné. Faites opposition si c’était un code bancaire.
Faut-il porter plainte pour un phishing ?
Oui, dès qu’il y a un préjudice : argent débité, compte usurpé ou données volées. La plainte se dépose au commissariat ou à la gendarmerie, et une pré-plainte peut être faite en ligne. Conservez le récépissé pour vos démarches.
Comment reconnaître un lien de phishing avant de cliquer ?
Survolez le lien pour voir l’adresse réelle et vérifiez le nom de domaine. Méfiez-vous des messages urgents, des menaces ou des demandes de paiement. En cas de doute, passez par le site officiel tapé vous-même.
En résumé
- Après un clic, coupez la connexion si vous avez téléchargé un fichier, puis changez immédiatement les mots de passe saisis.
- Carte bancaire communiquée : opposition sans attendre, preuves conservées, plainte déposée.
- Signalez l’arnaque sur 17Cyber, Signal Spam ou au 33700 et faites vérifier votre appareil.
Un doute sur votre ordinateur ou votre compte ? SOSPC82 vérifie et sécurise votre appareil à domicile ou à distance : découvrez notre service de suppression de virus ou appelez le 07 69 36 92 60, 7 j/7.
Article rédigé par Kevin Aquino, Technical Lead patch management et fondateur de SOSPC82
Sources :