Cybermalveillance : comment ne pas tomber dans le piège ?

L'essentiel

• Avec l'IA, les arnaques sont plus réalistes : voix clonées, messages sans fautes, faux conseillers. Adoptez les bons réflexes pour vous en protéger.
• Un message inattendu, une demande inhabituelle de données sensibles ou une invitation à cliquer sur un lien doit éveiller votre vigilance.
• Ne transmettez jamais codes, mots de passe ou coordonnées bancaires via un lien reçu par SMS ou e-mail : connectez-vous directement à votre espace client.
• Si vous êtes victime : contactez votre banque immédiatement, changez vos mots de passe et conservez les preuves.
• Tout incident peut être signalé sur 17cyber.gouv.fr, même sans préjudice financier.

Qu'est-ce que la cybermalveillance ?

La cybermalveillance représente l'ensemble des actes malveillants perpétrés sur internet, visant à nuire à un individu, une entreprise ou même un État.Cybermalveillance.gouv.fr en recense aujourd'hui 51 formes prises en charge par 17Cyber, le service national d'assistance aux victimes⁽¹⁾. Cet outil permet d'établir un diagnostic précis de la situation rencontrée et de bénéficier de conseils personnalisés pour y faire face. L'analyse des demandes d'assistance adressées à 17Cyber offre ainsi un aperçu des tendances majeures des attaques à l'échelle nationale, selon les différents publics. Ces attaques constituent des menaces cyber qui prennent de nombreuses formes, mais les plus courantes demeurent le phishing ou encore le rançongiciel.

Hameçonnage (phishing) : comment ça marche ?

Le phishing, également appelé hameçonnage, est une technique d'attaque informatique utilisée par des cybercriminels pour tromper les utilisateurs. Ils se font passer pour un organisme de confiance (banque, assurance, administration, service en ligne...) via de faux e-mails, SMS, appels ou sites internet afin de récupérer des informations confidentielles : identifiants, mots de passe, données bancaires ou personnelles.

Les fraudeurs utilisent souvent des prétextes destinés à provoquer une réaction rapide : remboursement annoncé, problème urgent sur un compte, confirmation d'informations ou offre exceptionnelle. Un message inattendu, une demande inhabituelle de données sensibles ou une invitation à cliquer sur un lien doivent donc éveiller votre vigilance.

En 2025, l'hameçonnage reste la première menace pour les particuliers, représentant près de 32,9%⁽¹⁾ des demandes d'assistance adressées à Cybermalveillance.gouv.fr. Ce type d'attaque est en forte progression, tous publics confondus avec une augmentation de 70%⁽¹⁾.

Comment fonctionnent les rançongiciels ?

Le rançongiciel, également connu sous le nom de ransomware, est un type de logiciel malveillant conçu pour chiffrer les fichiers sur un système informatique, rendant ainsi leur accès impossible sans la clé de déchiffrement détenue par les criminels. Une fois que les fichiers sont chiffrés, les auteurs du rançongiciel exigent généralement le paiement d'une rançon en échange de la clé de déchiffrement, permettant ainsi à la victime de retrouver l'accès à ses données. Contrairement au piratage classique dont l'objectif est de voler des données, le rançongiciel vise à bloquer l'accès pour monnayer leur restitution.

Si ce type d'attaque cyber concerne historiquement davantage les entreprises et les collectivités, la progression globale des programmes malveillants, incluant les virus et ransomwares, est notable chez les particuliers avec une augmentation de 16% des demandes d'assistance en 2025⁽¹⁾.

Piratage : les pièges les plus courants et les réflexes pour les éviter

Les arnaques en ligne partagent toutes le même mécanisme : créer un sentiment d'urgence pour vous pousser à agir sans réfléchir. Connaître les scénarios les plus répandus vous donne quelques secondes d'avance.

Voici les mises en scène les plus fréquentes :

• La promotion exceptionnelle : "Plus que quelques minutes pour profiter de -80% !" Le compte à rebours crée une pression artificielle qui court-circuite le jugement.
• Le SMS de livraison : "Votre colis n'a pas pu être livré. Cliquez ici pour replanifier votre livraison." Ce piège peut aussi prendre la forme d'un message audio, une voix générée par IA imitant un livreur ou l'usurpation de votre numéro de téléphone pour faire apparaître un expéditeur connu sur votre écran.
• Le message de votre banque ou assurance : "Vos informations doivent être vérifiées de toute urgence." L'expéditeur semble légitime. Le ton est professionnel. Le lien ressemble à s'y méprendre à celui de votre espace client.

Face à ces situations, voici les réflexes à adopter :

• Prenez votre temps : une vraie bonne affaire sera toujours là quelques minutes plus tard.
• Vérifiez sur d'autres sites : méfiez-vous des promotions "trop" exceptionnelles.
• Ne cliquez pas sur les liens contenus dans ces SMS ou mails, même s'ils ne vous paraissent pas suspects : bien écrits, cohérents avec la bonne charte graphique.
• Ne communiquez JAMAIS vos données par mail ou par téléphone : connectez-vous directement à votre espace client sécurisé pour transmettre un document ou répondre à une demande.
• Parlez-en autour de vous avant d'agir. Si vous souhaitez accompagner un proche âgé dans ses usages d'internet, des guides pratiques existent pour les aider à identifier ces pièges.

IA et cybersécurité : ne vous fiez plus aux apparences

Avec l'intelligence artificielle, les fraudeurs disposent d'outils puissants que la cybersécurité traditionnelle n'avait pas anticipés. En matière de cybersécurité, les repères habituels ne tiennent plus : chercher les fautes d'orthographe ou vérifier la charte graphique ne suffit plus.

Reconnaître une arnaque assistée par IA

L'IA permet aujourd'hui de générer des messages sans fautes, dans le bon registre avec la bonne mise en forme. Elle peut aussi cloner une voix à partir de quelques secondes d'enregistrement, voire produire des vidéos falsifiées convaincantes. Parmi les scénarios observés, voici quelques exemples :

• un faux conseiller bancaire vous appelle avec un timbre familier ;
• un SMS cite votre prénom et le nom de votre banque ;
• une vidéo d'un proche en détresse vous demande un virement urgent.

Les mécanismes de manipulation restent identiques : urgence, peur, pression émotionnelle et demande inhabituelle.

Face à une arnaque assistée par IA, adoptez les bons réflexes :

• Demandez à faire une pause pour vérification face à une demande urgente, inhabituelle ou émotionnelle.
• Ne cliquez pas directement sur un lien reçu par SMS, e-mail ou messagerie. Ouvrez vous-même votre espace client ou l'application officielle.
• Ne transmettez jamais de codes, de mots de passe, de coordonnées bancaires, de RIB ou de pièces justificatives à partir d'un lien reçu.
• En cas de message, appel ou audio suspects, recontactez votre conseiller ou votre interlocuteur habituel par un canal que vous connaissez.
• Limitez la publication d’informations personnelles en ligne : elles aident un fraudeur à personnaliser son scénario.

Ce qu'il ne faut jamais confier à une IA générative

Utiliser une IA générative pour rédiger ou résumer est devenu courant. Pourtant, les données que vous y saisissez ne sont pas toujours protégées comme vous le supposez.

Évitez d'y déposer :

• des documents contenant des données personnelles ;
• des relevés bancaires ou documents d'assurance ;
• des informations confidentielles ou sensibles ;
• des copies de pièces d'identité ou tout autre document officiel.

Selon les conditions d'utilisation, une information saisie dans un outil d'IA gratuit peut être conservée ou utilisée pour améliorer le service. Lisez les engagements de l'éditeur sur la protection et l'utilisation des données avant tout usage.

Privilégiez les solutions d'IA disposant de garanties claires en matière de protection des données. Les offres professionnelles ou payantes proposent généralement davantage d'engagements contractuels sur la confidentialité et la non-réutilisation des données. Avant de partager un document, posez-vous la question : "Suis-je prêt à ce que cette information soit connue au-delà de son destinataire initial ?"

Traitez une IA comme un interlocuteur externe et ne lui communiquez que les informations strictement nécessaires.

Quels sont les risques liés à la cybermalveillance ?

La cybermalveillance prend de nombreuses formes. Ces menaces exploitent souvent les mêmes failles de sécurité : mots de passe faibles, absence d'authentification à deux facteurs ou négligence sur les mises à jour. Voici les principales.

• Le cyberharcèlement : toute forme de harcèlement commis en ligne, incluant messages injurieux, menaces, diffamation ou chantage. Il peut prolonger une situation de harcèlement scolaire. Prendre connaissance de ce que dit la loi et comment porter plainte permet de vous orienter dans vos démarches.
• L'usurpation d'identité : se faire passer pour quelqu'un d'autre pour tromper, nuire à la réputation d'une personne ou accéder à des informations confidentielles.
• L'atteinte à l'e-réputation : diffusion d'informations préjudiciables en ligne, aux conséquences potentiellement graves sur les plans professionnel et personnel.
• Le piratage informatique : accès illégal à des systèmes pour voler des données, compromettre la sécurité ou perturber des services en ligne.
• Le vol de données personnelles : coordonnées bancaires, mots de passe et données médicales exploités à des fins frauduleuses. La gestion des données personnelles est encadrée par le RGPD.

Vous êtes victime d'une cyberattaque : les réflexes des premières heures

Si vous suspectez avoir été piégé, les premières heures sont déterminantes. En cas de cyberattaque, voici les quatre gestes à adopter dans l'ordre.

1. Contactez votre banque ou votre assurance via votre espace client sécurisé ou en vous rendant en agence. Évitez de rappeler le numéro indiqué dans un message suspect.
2. Changez vos mots de passe, en commençant par les comptes les plus sensibles (messagerie, banque). Un bon mot de passe comporte au moins 12 caractères mêlants majuscules, minuscules, chiffres et caractères spéciaux⁽¹⁾.
3. Conservez les preuves : SMS, e-mails, captures d'écran, justificatifs. Ces éléments sont utiles pour signaler les faits ou porter plainte.
4. Parlez-en. La honte est un frein réel au signalement. Vous n'êtes pas responsable et signaler une arnaque à votre entourage peut éviter qu'un proche soit piégé à son tour.

Diagnostic et mise en relation avec un professionnel de la sécurité informatique

Contactez des experts qualifiés de la cybersécurité qui pourront évaluer la situation, identifier les failles de sécurité et vous conseiller sur les mesures à prendre.

Signaler la cyber escroquerie

Rendez-vous sur le site cybermalveillance.gouv.fr mis en place par le gouvernement poursignaler toute escroquerie en ligne. Cette plateforme permet aux autorités de prendre connaissance des actes malveillants.

17cyber.gouv.fr est le service national d'assistance aux victimes de cybermalveillance. Il vous accompagne dans le diagnostic de votre situation et vous met en relation avec des professionnels certifiés selon votre cas. Signaler un incident sur cette plateforme ne vaut pas dépôt de plainte : c'est une démarche de signalement qui alerte les autorités et vous oriente vers les bons interlocuteurs, sans déplacement nécessaire.

Porter plainte

En cas de préjudice lors d’une cyber attaque, il est recommandé de porter plainte auprès des autorités compétentes. Fournissez toutes les preuves nécessaires pour faciliter l'enquête.

FAQ – Vos questions sur la cybermalveillance

Peut-on récupérer l'argent perdu dans une arnaque en ligne ?

Parfois, oui. Si un virement a été effectué depuis votre compte à la suite d'une fraude, signalez-le à votre banque le plus tôt possible. Vous disposez de 13 mois pour contester une opération non autorisée (article L133-24 du Code monétaire et financier)⁽²⁾. Si la banque reconnaît l'opération frauduleuse, elle est en principe tenue de vous rembourser. Une assurance protection juridique peut aussi prendre en charge les frais liés à la procédure.

Faut-il porter plainte pour une tentative de cyber arnaque sans préjudice ?

Oui. Même sans perte financière, signaler une attaque informatique ou une tentative alimente les bases de données des autorités et contribue à démanteler les réseaux criminels. En cas de violation de données avérée, la CNIL peut également être saisie. Vous pouvez signaler sur 17cyber.gouv.fr ou cybermalveillance.gouv.fr, sans vous déplacer. Une pré-plainte en ligne est aussi possible sur pre-plainte-en-ligne.gouv.fr avant de vous rendre au commissariat.

Comment savoir si mes données personnelles ont fuité ?

Consultez le service Have I Been Pwned (haveibeenpwned.com), qui référence les fuites de données connues et indique si votre adresse e-mail y figure. Si vous êtes victime d'un piratage ou si vous recevez des messages suspects citant vos données personnelles avec précision (prénom, ville, service utilisé), c'est souvent le signe qu'une fuite a eu lieu. Certaines attaques de type ransomware commencent d'ailleurs par une collecte préalable de vos identifiants. La CNIL peut également notifier les victimes en cas de violation de données signalée par un organisme.

Un mot de passe de 12 caractères est-il encore suffisant ?

Oui, à condition qu'il soit complexe et unique pour chaque service. L'ANSSI recommande au minimum 12 caractères pour les usages personnels, combinant majuscules, minuscules, chiffres et caractères spéciaux. Pour les comptes les plus sensibles (messagerie, banque), 16 caractères ou plus est préférable⁽¹⁾. L'activation de l'authentification à deux facteurs (A2F) reste la protection complémentaire la plus efficace.