Le mail est arrivé un mardi matin. Objet : « Confirmation de votre abonnement mensuel — 49,90 € ». Et là, le détail qui fait froid dans le dos : les quatre derniers chiffres de l’IBAN étaient les bons. Les vrais. Pas une suite au hasard. C’est exactement le type de piège qui circule en ce moment, et honnêtement, même les gens habitués à repérer les arnaques se font avoir.
Parce que c’est ça, la nouveauté. Le phishing en 2026, c’est plus le mail bourré de fautes d’orthographe signé par un prince nigérian. C’est propre, ciblé, personnalisé. Et ça marche.
Ce nouveau mail avec votre IBAN dedans
La technique fait pas mal de bruit ces dernières semaines. On reçoit un message qui prétend confirmer un abonnement qu’on n’a jamais pris, et pour donner du poids à l’arnaque, l’expéditeur glisse une partie de votre IBAN réel. Souvent les derniers chiffres. Parfois plus.
D’où sortent ces données ? Des fuites, tout simplement. Les bases piratées circulent depuis des années sur les recoins peu recommandables d’internet, et les escrocs les recoupent. Un mail par-ci, un IBAN par-là, un nom complet ailleurs. On assemble le puzzle, on envoie le message, et statistiquement, y’a toujours quelqu’un qui panique et clique sur « contester l’abonnement ».
Le lien mène évidemment vers une fausse page bancaire. Et là, adieu les identifiants.
Le faux remboursement d’impôts, encore et toujours
Celui-là, c’est un classique qui revient chaque année comme les allergies au pollen. Cybermalveillance.gouv.fr en a encore parlé récemment : les fausses notifications de remboursement d’impôts explosent dès qu’on approche des périodes de régularisation fiscale.
Le message est toujours à peu près le même. « Vous êtes éligible à un remboursement de 312,47 €. Cliquez ici pour renseigner votre RIB. » Sauf que le fisc ne fonctionne pas comme ça. Jamais. Un vrai remboursement arrive directement sur le compte déjà connu de l’administration, sans qu’on ait à ressaisir quoi que ce soit. Le truc c’est que la promesse d’un billet gratuit, ça fait toujours baisser la garde — un peu comme un calendrier de 24 Grands Prix qui fait rêver avant qu’on réalise ce que ça implique vraiment.
Les SMS, terrain de jeu préféré
Le smishing (le phishing par SMS pour ceux qui aiment le vocabulaire) a pris une place démente. Colis en attente, amende impayée, compte bloqué… on a tous reçu ce genre de messages. Le bon réflexe, c’est de transférer au 33700, le numéro dédié au signalement des SMS frauduleux en France. Ça prend dix secondes et ça alimente les listes de blocage des opérateurs.
Franchement, y’a pas beaucoup de gens qui le font. C’est dommage, parce que c’est probablement le geste le plus utile qu’on puisse poser côté citoyen lambda.
Les outils qui font le boulot à votre place
Bonne nouvelle quand même : les éditeurs de sécurité s’y mettent sérieusement. Malwarebytes vient par exemple de lâcher toute une série d’outils gratuits pour smartphone, avec de la détection de scam en temps réel et du filtrage d’appels suspects. C’est le genre d’initiative qui manquait, parce que les protections gratuites côté mobile, c’était longtemps le désert.
Perso, je trouve que combiner un filtre antispam correct avec un gestionnaire de mots de passe, c’est déjà 80 % du boulot. Le reste, c’est de la vigilance à l’ancienne.
Le cas crypto, ou comment perdre un million en un clic
L’histoire a fait le tour du web finance il y a peu : un utilisateur crypto s’est fait siphonner 999 999 dollars en USDT après avoir cliqué sur un lien de phishing. Un seul clic. Une seule signature de transaction validée à la va-vite. Envolé.
Le problème avec la crypto, c’est qu’il n’y a pas de service client à appeler pour annuler. Pas de banque qui rembourse en cas d’usurpation. Une fois que la transaction est validée sur la blockchain, elle est validée. Point.
Ça vaut aussi pour tous les univers en ligne où on gère de l’argent réel. Les plateformes de jeu sérieuses comme Alexander Casino ou d’autres opérateurs licenciés investissent d’ailleurs pas mal dans la double authentification et les alertes en temps réel, un peu comme on peut le voir sur https://concours-eurovision.fr qui met l’accent sur la vérification à chaque étape sensible. C’est devenu un standard, et heureusement.
Les bons réflexes qui font vraiment la différence
Ce qui marche, c’est pas compliqué mais ça demande de la discipline. D’abord, ne jamais cliquer sur un lien reçu par mail ou SMS pour se connecter à un service. On tape l’adresse à la main dans le navigateur, ou on passe par l’appli officielle. C’est chiant, mais ça bloque 95 % des tentatives.
Ensuite, la double authentification partout où c’est possible. Sur la boîte mail principale surtout, parce que c’est la clé de voûte : si quelqu’un prend le contrôle de votre mail, il peut réinitialiser à peu près tous vos autres comptes.
Autre chose : quand un message vous met la pression (« votre compte sera clôturé dans 24h », « action immédiate requise »), c’est presque toujours louche. L’urgence, c’est l’arme préférée des escrocs. Ils veulent pas vous laisser le temps de réfléchir.
Et puis un dernier truc, un peu bête mais efficace : quand un doute vous vient, appelez directement l’organisme concerné avec le numéro que vous avez déjà (relevé bancaire, facture, site officiel). Pas le numéro fourni dans le mail. Neuf fois sur dix, la personne au bout du fil vous confirmera que non, ils ne vous ont rien envoyé.
Le phishing va pas disparaître. Il va juste continuer à se sophistiquer, à recouper toujours plus de données, à imiter toujours mieux les vraies notifications. Reste à s’adapter au même rythme.