J’ai cliqué sur un lien de phishing : que faire ?

Vous venez de cliquer sur un lien de phishing reçu par SMS ou par mail, et vous vous demandez ce qui va se passer maintenant. C’est la bonne réaction : dans les minutes qui suivent, quelques gestes simples suffisent le plus souvent à limiter les dégâts, voire à les éviter complètement. À la fin de cet article, vous saurez exactement quoi faire, dans l’ordre, selon ce que vous avez (ou non) tapé sur la page qui s’est ouverte.

Avoir cliqué sur un lien de phishing n’est jamais une faute : ces faux messages sont fabriqués pour ressembler au vrai en quelques secondes, et des millions de personnes cliquent chaque année sans que cela ne tourne mal. Ce qui compte, c’est ce que vous faites dans les minutes qui suivent.

Sommaire

• Que se passe-t-il quand on clique sur un lien de phishing ?
• À quoi ressemble un message de phishing ?
• Quels signes confirment que c’était bien une arnaque ?
• J’ai cliqué sur un lien de phishing : que faire maintenant ?
• De l’argent a déjà été débité : les démarches à suivre
• En résumé
• FAQ
• Sources officielles

Que se passe-t-il quand on clique sur un lien de phishing ?

Un lien de phishing mène presque toujours vers une page qui copie l’apparence d’un site que vous connaissez : votre banque, les impôts, un service de livraison, une caisse de retraite. Le seul fait de cliquer et d’arriver sur cette page n’installe en général rien sur votre appareil : le vrai danger commence au moment où vous tapez quelque chose dans un champ de cette fausse page.

Si vous avez saisi un identifiant et un mot de passe, les escrocs peuvent se connecter à votre place sur le vrai site. Si vous avez saisi un numéro de carte bancaire et son cryptogramme, ils peuvent tenter de l’utiliser pour payer en ligne. Si vous avez en plus donné un code reçu par SMS, ils peuvent parfois valider une opération à votre place, car ce code sert justement à confirmer que c’est bien vous qui autorisez un paiement.

⚠️ Le piège : certaines pages de phishing proposent aussi de télécharger un document ou une application « pour continuer ». C’est ce téléchargement, et lui seul, qui peut installer un logiciel malveillant sur votre téléphone ou votre ordinateur — pas le simple clic sur le lien de départ.

À quoi ressemble un message de phishing ?

Les formes changent selon l’organisme imité, mais la structure reste la même. Voici un exemple représentatif, reconstitué à partir des signalements les plus fréquents :

« Alerte sécurité : une connexion inhabituelle a été détectée sur votre compte depuis un nouvel appareil. Si vous n’êtes pas à l’origine de cette connexion, confirmez votre identité sous 24h pour éviter la suspension : confirmation-identite-securite.net/verif »

Le domaine indiqué ci-dessus est un exemple générique de ce que fabriquent les escrocs : il ne mène nulle part et ne doit jamais être recherché ni saisi dans un navigateur. Un vrai organisme ne communique jamais par un nom de domaine inconnu qui ne se termine pas par son adresse officielle habituelle.

✅ Le bon réflexe : le ton pressant (« sous 24h », « compte suspendu ») et la demande de cliquer sur un lien plutôt que de vous connecter vous-même sur le site habituel sont les deux signatures les plus fiables d’un message de phishing, quel que soit l’organisme affiché en expéditeur.

Quels signes confirment que c’était bien une arnaque ?

• La page qui s’est ouverte ressemble à votre banque ou à un service connu, mais l’adresse affichée dans le navigateur ne correspond pas à l’adresse officielle habituelle.
• On vous a demandé votre mot de passe, votre numéro de carte bancaire, son cryptogramme ou un code reçu par SMS, alors que vous n’étiez pas en train de faire un achat ou une connexion volontaire.
• La page insistait sur un délai très court (« 24h », « immédiatement ») pour vous pousser à agir sans réfléchir.
• Après avoir tapé vos informations, vous avez été redirigé vers une page d’erreur, ou vers le vrai site sans explication.
• Le message d’origine (SMS ou mail) contenait des fautes, une mise en forme inhabituelle, ou provenait d’un numéro ou d’une adresse que vous ne reconnaissez pas.

J’ai cliqué sur un lien de phishing : que faire maintenant ?

La marche à suivre dépend de ce que vous avez tapé sur la fausse page. Dans tous les cas, vous gardez la main : ces gestes, faits rapidement, désamorcent la grande majorité des cas.

Signal d’alerte	Ce que ça cache	Le bon réflexe
Vous avez juste cliqué, sans rien taper	Aucune information n’a pu être volée pour l’instant	Fermez la page, ne téléchargez rien qu’elle propose, passez au signalement
Vous avez tapé un mot de passe	Les escrocs peuvent se connecter à votre place sur le vrai site	Connectez-vous vous-même sur le vrai site (en tapant l’adresse) et changez ce mot de passe tout de suite
Vous avez tapé un numéro de carte bancaire	Tentative de paiement en ligne avec vos coordonnées	Appelez votre banque immédiatement pour faire opposition
Vous avez téléchargé un fichier ou une application proposée par la page	Possible logiciel malveillant installé sur l’appareil	Ne l’ouvrez pas ; faites vérifier l’appareil par un professionnel ou un proche de confiance

Si vous n’avez rien tapé : fermez simplement la page. Il n’y a rien d’autre à faire, sinon signaler le message d’origine (voir plus bas).

Si vous avez tapé un mot de passe : rendez-vous sur le vrai site, en tapant vous-même l’adresse habituelle dans votre navigateur (jamais via le lien reçu), et changez ce mot de passe sans attendre. Si vous utilisez le même mot de passe ailleurs, changez-le aussi sur ces autres comptes.

Si vous avez tapé des informations bancaires : contactez votre banque par téléphone, au numéro inscrit au dos de votre carte, pour faire opposition. C’est le seul geste qui bloque réellement une utilisation frauduleuse de votre carte.

Pour les démarches complètes en cas d’utilisation frauduleuse de votre carte, consultez notre guide sur la fraude à la carte bancaire. Pour apprendre à repérer ces messages avant même de cliquer, notre article sur comment reconnaître un mail de phishing détaille les signaux à connaître.

De l’argent a déjà été débité : les démarches à suivre

Si un paiement a déjà eu lieu sans votre accord, voici la marche à suivre, dans l’ordre :

1. Faites opposition auprès de votre banque si ce n’est pas déjà fait, par téléphone, au numéro inscrit au dos de votre carte.
2. Demandez le remboursement des sommes débitées sans votre autorisation : dès que vous signalez l’opération non autorisée, la loi oblige votre banque à vous rembourser immédiatement (au plus tard le jour ouvrable suivant), même si elle pense pouvoir vous reprocher une négligence grave. Elle ne peut discuter de cette négligence — et devra la prouver elle-même — qu’après vous avoir remboursé.
3. Conservez les preuves : le SMS ou le mail reçu, une capture d’écran de la fausse page si possible, et le relevé bancaire montrant l’opération litigieuse.
4. Déposez plainte au commissariat, à la gendarmerie, ou en ligne via la plate-forme THESEE lorsque la situation s’y prête.
5. Signalez le message d’origine : au 33 700 s’il s’agit d’un SMS, à Signal Spam s’il s’agit d’un mail, et le site frauduleux lui-même sur Cybermalveillance.gouv.fr ou via Phishing Initiative.

Pour déposer une plainte en ligne pas à pas, suivez notre guide sur la plainte en ligne pour escroquerie sur internet. Dans les jours qui suivent, restez vigilant : un appel se présentant comme votre banque, demandant de confirmer un code reçu par SMS, peut faire suite à ce type d’arnaque. Aucun vrai conseiller ne vous demandera jamais ce code au téléphone.

En résumé

• Cliquer sur un lien de phishing ouvre une fausse page qui imite un site connu ; le simple clic n’installe en général rien, le danger commence seulement si vous tapez un mot de passe ou des coordonnées bancaires sur cette page.
• Le signal n°1 d’un lien de phishing déjà cliqué est d’avoir saisi un mot de passe, un numéro de carte bancaire ou un code reçu par SMS sur la page ouverte par ce lien.
• Le réflexe qui protège après un clic sur un lien de phishing est de fermer la page sans rien taper de plus, puis de se connecter soi-même au vrai site pour changer son mot de passe si besoin.
• Si des informations bancaires ont été saisies après un clic sur un lien de phishing, il faut appeler sa banque pour faire opposition et demander le remboursement de toute opération non autorisée.
• Un lien de phishing se signale gratuitement au 33 700 pour un SMS, à Signal Spam pour un mail, et sur Cybermalveillance.gouv.fr ou 17Cyber.gouv.fr pour être orienté dans ses démarches.

FAQ

J’ai cliqué sur un lien de phishing mais je n’ai rien tapé, suis-je en danger ?

Non, dans la grande majorité des cas. Le simple clic n’installe en général rien sur votre appareil. Fermez la page, ne téléchargez aucun fichier qu’elle propose, et signalez le message d’origine par précaution.

Faut-il changer tous mes mots de passe après avoir cliqué sur un lien de phishing ?

Seulement si vous avez effectivement tapé un mot de passe sur la fausse page. Changez alors ce mot de passe en priorité, et celui de tout autre compte où vous utilisez le même mot de passe.

Ma banque va-t-elle me rembourser si j’ai donné mes coordonnées bancaires ?

Oui : dès que vous signalez l’opération non autorisée, votre banque doit vous rembourser immédiatement, même si elle pense pouvoir vous reprocher une négligence grave. Elle ne peut discuter de cette négligence — et devra la prouver elle-même — qu’après vous avoir remboursé. Faites opposition sans attendre et signalez l’opération par écrit si besoin.

Dois-je porter plainte si je n’ai perdu aucun argent ?

Ce n’est pas obligatoire si aucune somme n’a été débitée, mais le signalement reste utile : il aide à faire fermer le site frauduleux et à protéger d’autres personnes. Si une somme a été débitée, la plainte devient nécessaire pour le remboursement et le suivi.

Comment vérifier qu’un site est bien le vrai site officiel avant de taper mes informations ?

Tapez vous-même l’adresse habituelle dans votre navigateur plutôt que de cliquer sur un lien reçu par SMS ou par mail. En cas de doute sur une adresse, notre article sur comment reconnaître un mail de phishing détaille les vérifications à faire.

Où signaler un lien de phishing reçu par SMS ou par mail ?

Transférez le SMS gratuitement au 33 700. Pour un mail, transférez-le à Signal Spam. Dans les deux cas, la plate-forme 17Cyber.gouv.fr vous oriente gratuitement dans vos démarches si vous avez un doute sur la gravité de la situation.

Sources officielles

Cet article s’appuie sur les recommandations de la plate-forme nationale 17Cyber.gouv.fr, qui oriente gratuitement les victimes de cybermalveillance. Pour signaler un SMS frauduleux : 33 700. Pour signaler un mail frauduleux : Signal Spam. En cas de doute sur une arnaque en cours, Info Escroqueries répond au 0 805 805 817. Les plaintes en ligne se déposent sur la plate-forme THESEE, accessible depuis service-public.fr.

Recevez chaque semaine les nouvelles arnaques qui visent les seniors — et les bons réflexes pour les déjouer, directement par email.