Arnaques et phishing après une fuite : comment les repérer

C'est la conséquence la plus concrète d'une fuite de données, et rarement celle à laquelle on pense. Vos données ne servent presque jamais à « pirater » directement un compte : elles servent à rendre un message crédible. Voici comment reconnaître ces messages, et quoi faire si vous êtes allé un cran trop loin.

Pourquoi les arnaques deviennent bonnes après une fuite

L'arnaque grossière — la faute d'orthographe, le « cher client », l'héritage inattendu — appartient au passé. Avec une base de données volée, l'expéditeur dispose de votre vrai nom, de votre vraie adresse, souvent de votre opérateur, de votre banque ou de vos derniers achats. Le message qui en résulte est exact dans les détails, et c'est justement cette exactitude qui désarme.

Retenez le principe une fois pour toutes : un message qui vous connaît n'est pas un message légitime. Les informations qu'il affiche ne prouvent rien, elles se sont achetées.

Les quatre formes les plus courantes

1. Le mail d'un service que vous utilisez vraiment. Colis en attente, abonnement à renouveler, remboursement à réclamer, facture jointe. Le logo est bon, l'adresse d'expédition ressemble à la vraie à un caractère près.
2. Le SMS (« smishing »). Amende à régler, colis bloqué en douane, compte à réactiver. Le SMS est redoutable parce qu'il arrive sur le même écran que les vrais messages de votre banque, souvent dans la même conversation.
3. L'appel du faux conseiller bancaire. Le plus coûteux. La personne connaît votre nom, votre agence, parfois vos dernières opérations, et vous annonce une fraude en cours qu'il faut « bloquer tout de suite ». Elle vous demandera de valider une opération dans votre application, ou de lui lire un code reçu par SMS.
4. Le chantage à la webcam. Un mail affirme vous avoir filmé, et affiche l'un de vos anciens mots de passe pour faire pression. Il a été lu dans une fuite : il n'y a ni vidéo, ni piratage. Ne répondez pas, ne payez pas, supprimez.

Les trois signaux qui ne trompent pas

Inutile de traquer la faute d'orthographe : les meilleurs messages frauduleux n'en ont plus. Ces trois signaux, eux, restent valables :

1. C'est urgent. Un délai court, une menace de suspension, une somme à récupérer avant demain. L'urgence sert à couper la réflexion — les organismes sérieux vous laissent le temps.
2. C'est entrant. Le message ou l'appel vient à vous, sans que vous ayez rien demandé. C'est la caractéristique commune de presque toutes les arnaques.
3. On vous demande une action inhabituelle. Saisir vos identifiants après avoir cliqué, lire un code reçu par SMS, valider une notification dans votre application bancaire, « mettre votre argent à l'abri » sur un autre compte. Aucune banque, aucune administration ne demande cela.

Et un réflexe unique, qui les couvre tous : ne donnez jamais suite dans le canal où le message est arrivé. Raccrochez, fermez le SMS, ignorez le lien — puis revenez par vous-même : votre application habituelle, votre agence, le numéro au dos de votre carte, le site tapé à la main.

Si vous avez cliqué, ou pire

Cela arrive à des gens prudents un jour de fatigue. La marche à suivre dépend de ce que vous avez fait :

1. Vous avez seulement ouvert la page — fermez-la, ne saisissez rien. Le risque est faible.
2. Vous avez saisi un identifiant et un mot de passe — changez ce mot de passe immédiatement sur le vrai site, et partout où il servait aussi. Notre guide mot de passe compromis détaille l'ordre des gestes.
3. Vous avez saisi des données bancaires ou validé une opération — appelez votre banque tout de suite, faites opposition, demandez le blocage. La rapidité compte plus que l'explication.
4. De l'argent est parti — signalez-le à votre banque par écrit sans attendre, et déposez plainte. Un paiement que vous n'avez pas autorisé doit en principe vous être remboursé, sauf négligence grave de votre part ; la plainte et la date de signalement font partie du dossier.

Où signaler, en France

Le signalement ne vous rendra pas votre tranquillité dans la minute, mais il alimente les dispositifs qui font fermer les sites et bloquer les numéros :

1. SMS et appels frauduleux — transférez au 33700, le service national de signalement (gratuit).
2. E-mails — signal-spam.fr ; les sites de phishing peuvent être signalés via Phishing Initiative.
3. Conseils et assistance — cybermalveillance.gouv.fr, la plateforme publique d'aide aux victimes ; service-public.fr pour les démarches.
4. Préjudice réel — plainte au commissariat, à la gendarmerie ou en ligne selon les cas.

Ces adresses sont volontairement écrites en toutes lettres et non cliquables : après une fuite, prenez l'habitude de taper vous-même les adresses importantes plutôt que de suivre un lien reçu.

À lire ensuite

• Mon IBAN a fuité : quels risques ? Ce qu'un numéro de compte permet vraiment, et les délais de contestation
• Mon numéro de téléphone a fuité Démarchage, SMS frauduleux, détournement de ligne
• Le registre des fuites Ce qui a fuité, chez qui, et ce que ça expose