Vue d'ensemble
Ce qu'il faut retenir sur le hameçonnage : définition, moyens de prévention, signalement, plainte et sanctions.
Ce qu'il faut savoir
- Le hameçonnage (phishing par courriel/SMS, vishing par appel) est un délit, quelle que soit l'intention de l'auteur.
- L'objectif est de dérober vos données personnelles et/ou coordonnées bancaires pour un usage frauduleux (escroquerie, usurpation d'identité).
- Les administrations et grandes plateformes en ligne ne demandent JAMAIS de renseignements sensibles par message ou par téléphone.
- Ne cliquez jamais sur les liens des messages suspects ; survolez le lien pour vérifier l'adresse réelle avant de cliquer.
- Des services de signalement existent : Signal Spam (courriels), Phishing Initiative (sites), 33 700 (SMS et appels).
- En cas de débits frauduleux, contactez immédiatement votre banque pour faire opposition et contester les opérations.
- La victime peut déposer plainte en commissariat, en gendarmerie ou par courrier au procureur ; les sanctions vont jusqu'à 5 ans d'emprisonnement et 375 000 € d'amende (escroquerie).
Conditions essentielles
- Un individu se fait passer pour un site familier, un organisme officiel ou un contact dont le compte a été piraté.
- Il vous demande vos données personnelles ou bancaires via un courriel, un SMS, un appel ou un site frauduleux.
- Vous êtes victime ou témoin de l'acte de hameçonnage (phishing ou vishing).
- Pour la plainte : conserver les preuves (message, capture d'écran, numéro de téléphone, URL du site).
- Pour le signalement : identifier le canal utilisé (courriel, site, SMS, appel) pour choisir le bon service.
Les étapes
- Reconnaître le message ou l'appel suspect (indices : antivirus, service non client, adresse étrange, fautes d'orthographe).
- Ne pas communiquer vos informations personnelles, ne pas cliquer sur les liens.
- Si le message provient d'un poste professionnel, alerter le service informatique.
- Conserver toutes les preuves (message, capture d'écran, numéro, URL).
- Signaler l'acte : Signal Spam (courriels), Phishing Initiative (sites), 33 700 (SMS/appels).
- Si des débits ont eu lieu : contacter la banque pour opposition, contestation et remboursement.
- Déposer plainte en commissariat, en gendarmerie ou par courrier au procureur de la République.
- Se constituer partie civile pour obtenir des dommages et intérêts.
Cette synthèse reprend les éléments essentiels de la fiche. Les détails — procédés courants, services de signalement par canal, modalités de plainte et sanctions — sont traités dans les sections suivantes.
Cette synthèse ne remplace pas la fiche
Pour les règles propres au signalement selon le canal (internet, SMS, appel) et aux sanctions pénales, voir les sections « Signaler l'acte de hameçonnage aux autorités compétentes » et « Obtenir la condamnation des responsables : les sanctions pénales ».
Savoir reconnaître un acte de hameçonnage
Le hameçonnage consiste à se faire passer pour un site familier, un organisme officiel ou un contact piraté afin de dérober vos données personnelles et bancaires.
Le hameçonnage consiste, pour un ou plusieurs individus malveillants, à se faire passer pour un site familier (exemple : grand site de vente en ligne), pour un organisme officiel (exemple : banque, impôts, CAF, Ameli) ou pour l'un de vos contacts dont le compte a été piraté. Son objectif est de vous dérober certaines de vos données personnelles et/ou vos coordonnées bancaires pour en faire un usage frauduleux (exemple : escroquerie, usurpation d'identité).
Le hameçonnage est une technique de fraude par laquelle l'auteur tente d'obtenir, par la tromperie, des informations confidentielles (mots de passe, numéros de carte bancaire, données personnelles). Le phishing (hameçonnage par courriel ou SMS) est la forme la plus courante ; le vishing (hameçonnage par appel téléphonique) consiste à appeler la victime en se faisant passer pour un organisme de confiance. Quelle que soit la forme qu'il prend, le hameçonnage est considéré comme un délit.
Règle
Les données dérobées sont utilisées pour commettre des fraudes : escroquerie (achats frauduleux, virements), usurpation d'identité (ouverture de comptes, contrats au nom de la victime), collecte de données à caractère personnel par un moyen frauduleux. La protection des données personnelles est également garantie par le RGPD (règlement (UE) 2016/679).
Si vous êtes témoin ou victime de tels agissements, vous pouvez faire un signalement et, en tant que victime, déposer plainte contre l'auteur des faits.
Les procédés les plus courants du hameçonnage
Les techniques les plus courantes sont les courriels/SMS alarmistes (phishing) et les appels téléphoniques (vishing).
L'individu peut utiliser plusieurs techniques de hameçonnage telles que : des courriels, des SMS alarmistes (qui contiennent généralement un lien cliquable) ou des spams — on parle alors de phishing ; des appels téléphoniques — il s'agit donc de vishing.
Le phishing (contraction de « fishing » — pêche — et « password ») est l'envoi de messages frauduleux (courriels, SMS) contenant un lien cliquable vers un site frauduleux ou demandant directement des informations. Le vishing (contraction de « voice » et « phishing ») est l'appel téléphonique frauduleux où l'auteur se fait passer pour un organisme de confiance (banque, impôts, opérateur) pour obtenir vos données. Les spams sont des messages non sollicités, souvent publicitaires, parfois utilisés pour le hameçonnage.
Règle
Les procédés les plus courants pour obtenir vos informations personnelles et/ou bancaires sont les suivants : fausse annonce de remboursement ; demande urgente de règlement d'un impayé (dette aux impôts, paiement d'une contravention, etc.) ; renforcement de la sécurité d'un compte (par exemple, un compte bancaire ou de plateforme de paiement) ; problème d'acheminement d'un colis ; tirage au sort dans le but de gagner une somme d'argent.
Dans la plupart des cas, l'auteur du hameçonnage a l'intention de collecter et d'utiliser vos données personnelles et/ou bancaires (en débitant votre compte ou en effectuant des achats sur internet). La diversité des procédés doit vous rendre vigilant sur tous les messages urgents ou trop attractifs.
Comment reconnaître un message ou un appel malveillant ?
Plusieurs indices vous permettent de confirmer que vous êtes face à un message ou un appel malveillant.
Plusieurs indices vous permettent de confirmer que vous êtes face à un message (courriel/SMS) ou à un appel malveillant : votre antivirus (à jour) peut vous envoyer une notification en cas de réception d'un message de phishing ; vous êtes contacté par un service ou une société dont vous n'êtes pas client ; l'adresse mail ou le numéro de téléphone utilisé ne ressemble pas à ceux d'un service familier ou officiel ; l'orthographe, la grammaire et la signature utilisés par l'émetteur du message vous paraissent étranges.
Les navigateurs internet (Google Chrome, Safari, etc.) peuvent publier un message clair et lisible permettant de vous indiquer que vous allez atterrir sur un site frauduleux. Ce message renvoie vers un site officiel de l'État et apparaît pendant une durée maximale de 3 mois à compter de sa publication sur internet. Cette protection est un garde-fou supplémentaire contre les sites de phishing.
Règle
L'adresse mail de l'émetteur doit être scrutée attentivement : un domaine proche de celui de l'organisme officiel (par exemple avec une faute de frappe ou un suffixe inhabituel) est un indice majeur. De même, un appel téléphonique vous demandant vos identifiants bancaires est toujours suspect : les banques ne demandent jamais ces informations par téléphone.
L'antivirus doit être à jour pour que la notification de phishing fonctionne. Mettez à jour régulièrement votre antivirus et votre navigateur pour bénéficier des dernières protections.
Réagir face à un acte de hameçonnage : les 3 mesures
Si vous recevez un message ou un appel suspect, prenez 3 mesures : ne pas communiquer vos informations, ne pas cliquer sur les liens, alerter le service informatique (si poste pro).
Si vous recevez un message ou un appel suspect, il est conseillé de prendre 3 mesures. Premièrement, vous devez vous abstenir de communiquer vos informations personnelles par message, mail ou téléphone. En effet, les administrations et grandes plateformes en ligne ne demandent jamais de renseignements sensibles par message ou par téléphone. Deuxièmement, si le message contient un lien, vous ne devez pas cliquer dessus. Depuis votre ordinateur, vous pouvez placer le curseur de votre souris sur ce lien : dans ce cas, l'adresse vers laquelle vous risquez d'être renvoyée s'affiche entièrement. Vous pourrez comparer cette adresse internet (URL) avec celle du véritable site. Troisièmement, si vous avez reçu un message suspect sur votre ordinateur ou sur votre portable professionnel, vous devez alerter le service informatique de l'entreprise ou de l'administration pour laquelle vous travaillez.
Le survol d'un lien (sans cliquer) affiche l'URL de destination dans le coin inférieur gauche de la fenêtre du navigateur ou dans une infobulle. C'est la méthode la plus simple pour vérifier si un lien est authentique. L'URL (adresse internet) du véritable site doit correspondre exactement au domaine officiel de l'organisme (par exemple impots.gouv.fr et non impots-gouv.fr-fake.com).
Règle
Les administrations et grandes plateformes en ligne ne demandent jamais de renseignements sensibles (mot de passe, numéro de carte bancaire, code de vérification) par message ou par téléphone. Si un message vous demande ces informations, il s'agit toujours d'une tentative de hameçonnage.
En cas de doute, n'utilisez jamais les liens fournis dans le message. Accédez directement au site officiel en tapant l'adresse dans votre navigateur ou en utilisant vos favoris.
Conserver les preuves d'un acte de hameçonnage
Si vous êtes victime d'un acte de hameçonnage, vous devez conserver toutes les preuves de cet agissement (message, capture d'écran, numéro, URL).
Si vous êtes victime d'un acte de hameçonnage (phishing ou vishing), vous devez conserver toutes les preuves de cet agissement. Il peut notamment s'agir : du message (courriel ou SMS) que vous avez reçu ; d'une capture d'écran du site de phishing ; du numéro de téléphone ayant servi au vishing ; de l'adresse internet (URL) du site de phishing.
Les preuves sont essentielles si vous signalez l'acte de hameçonnage (phishing ou vishing) ou que vous déposez plainte contre son auteur. Sans preuve, le signalement et la plainte sont difficiles à instruire. La capture d'écran doit inclure l'URL du site (barre d'adresse visible) pour prouver qu'il s'agit d'un site frauduleux.
Règle
Conservez les messages dans votre boîte de réception (ne les supprimez pas), même s'ils sont dans le dossier spam. Les captures d'écran doivent être datées si possible. Le numéro de téléphone utilisé pour le vishing doit être noté avec précision.
Si vous avez cliqué sur un lien et saisi vos informations, changez immédiatement vos mots de passe (banque, email, réseaux sociaux) et contactez votre banque pour faire opposition à votre carte.
Signaler l'acte de hameçonnage aux autorités compétentes
Si vous êtes victime ou témoin d'un acte de hameçonnage, vous pouvez faire un signalement aux organismes compétents, selon le canal utilisé.
Si vous êtes victime ou témoin d'un acte de hameçonnage (phishing ou vishing), vous pouvez faire un signalement aux organismes compétents. Les services de signalement ne sont pas les mêmes en fonction du service de communication utilisé par l'auteur de ce délit.
Le signalement est une démarche volontaire qui permet d'informer les autorités ou les plateformes spécialisées d'un acte de hameçonnage, sans nécessairement déposer plainte. Il est ouvert aux majeurs comme aux mineurs. Les signalements peuvent être transmis aux autorités compétentes (procureur de la République, DGCCRF) par les opérateurs de signalement, de façon anonyme.
Règle
Les services de signalement sont : Signal Spam pour les courriels suspects (spams) ; Phishing Initiative pour les sites de phishing ; 33 700 pour les SMS et appels indésirables ; PHAROS pour certaines escroqueries spécifiques (livraison de colis, loterie). En parallèle, vous pouvez déposer plainte (voir section « Déposer plainte contre l'auteur d'un hameçonnage »).
Le signalement et la plainte ne se substituent pas : le signalement permet de bloquer rapidement les numéros et sites frauduleux, la plainte permet d'engager une procédure judiciaire et d'obtenir réparation du préjudice.
Signalement par internet : courriel suspect et site de phishing
Pour un courriel suspect (spam), utilisez Signal Spam ; pour un site de phishing, utilisez Phishing Initiative.
L'autorité compétente pour recevoir votre signalement dépend du contenu que vous souhaitez dénoncer : un courriel suspect (exemple : un spam) ou un site de phishing vers lequel vous renverrait un message frauduleux.
Signal Spam est une association qui collecte et analyse les spams (courriels non sollicités) reçus par les internautes. Pour faire votre signalement, vous devez d'abord créer un compte « Signal Spam » (en renseignant notamment une adresse mail) puis renseigner le code source du spam que vous avez reçu. Votre signalement est transmis aux experts de Signal Spam chargés de lutter contre les courriels non sollicités et la cybercriminalité. Phishing Initiative est une plateforme européenne de signalement des sites de phishing. Pour effectuer votre signalement, vous devez renseigner le lien (l'adresse internet) propre à vous conduire vers un site de phishing. Vous pouvez également expliquer la situation aux experts de cette plateforme. À la suite de votre signalement, ces experts analysent le site concerné et peuvent le bloquer des navigateurs internet (Google Chrome, Safari, Yahoo).
Règle
Vous n'êtes pas informé des suites données à votre signalement Signal Spam. Néanmoins, si vous le souhaitez, les experts de Signal Spam peuvent transmettre votre signalement aux autorités compétentes (exemple : le procureur de la République ou la DGCCRF). Dans ce cas, le signalement reste anonyme. Certains courriels de phishing peuvent être signalés sur la plateforme PHAROS — cette plateforme peut uniquement être utilisée si vous êtes victime ou témoin d'une escroquerie à la livraison de colis ou d'une escroquerie à la loterie.
Les plateformes Signal Spam et Phishing Initiative sont accessibles aux majeurs comme aux mineurs. Le signalement est gratuit.
Signalement par SMS ou appel téléphonique : le 33 700
Si vous êtes victime ou témoin d'un acte de hameçonnage par SMS ou par appel téléphonique, contactez la plateforme 33 700.
Si vous êtes victime ou témoin d'un acte de hameçonnage par SMS ou par appel téléphonique, vous pouvez contacter la plateforme de lutte contre les SMS et appels indésirables au 33 700. Vous avez également la possibilité de faire votre signalement grâce à un formulaire en ligne ou à l'aide d'une capture d'écran d'un QR code.
Le 33 700 est un numéro gratuit national dédié au signalement des SMS et appels indésirables, opéré par les opérateurs de téléphonie mobile. Lorsque vous faites un signalement au 33 700, celui-ci est transmis à l'opérateur de téléphonie mobile de l'émetteur du message/de l'appel et à votre opérateur mobile (si ce n'est pas le même).
Règle
Les opérateurs peuvent alors mener diverses actions : couper le numéro surtaxé auquel le SMS ou l'appel vous incitent à envoyer un message ; couper le numéro de téléphone surtaxé que le SMS ou l'appel vous incite à contacter ; couper le numéro émetteur du SMS ou de l'appel. Vous pouvez uniquement signaler les faits de hameçonnage commis sur un téléphone mobile (exemple : smartphone).
Le signalement au 33 700 est rapide et gratuit. Il permet une action immédiate des opérateurs pour couper les numéros frauduleux, même avant un éventuel dépôt de plainte.
Prévenir la banque de l'acte de hameçonnage
Si l'auteur détient vos informations bancaires et que des débits ont eu lieu, contactez votre banque pour faire opposition et obtenir un remboursement.
De manière générale, l'auteur du hameçonnage a pour objet de vous tromper afin que vous lui divulguiez vos données personnelles et/ou bancaires. S'il détient certaines de vos informations bancaires et que des débits ont eu lieu sur votre compte, vous devez contacter votre banque afin de faire opposition, de contester les opérations effectuées et d'obtenir un remboursement.
La faire opposition consiste à bloquer immédiatement l'utilisation de votre carte bancaire (ou de vos accès en ligne) pour empêcher de nouvelles transactions frauduleuses. La contestation des opérations est la démarche formelle auprès de votre banque pour contester les débits frauduleux ; la banque est alors tenue de procéder à un remboursement dans les conditions prévues par la réglementation (directive sur les services de paiement).
Règle
La façon de procéder dépend des informations communiquées à l'auteur des faits : s'il dispose de votre numéro de carte bancaire, faites opposition à la carte et contestez les opérations ; s'il dispose de votre numéro de compte (identifiants en ligne), changez immédiatement vos mots de passe et contestez les virements frauduleux.
Contactez votre banque en priorité (le service anti-fraude est généralement joignable 24h/24). Conservez les preuves des débits (relevés de compte, captures d'écran) pour votre contestation et votre éventuelle plainte.
Déposer plainte contre l'auteur d'un hameçonnage
Si vous êtes victime d'un acte de hameçonnage, vous pouvez déposer plainte contre l'auteur (ou contre X si son identité est inconnue).
Si vous êtes victime d'un acte de hameçonnage, vous pouvez déposer plainte contre l'auteur des faits. Si vous ne connaissez pas son identité, vous pouvez déposer plainte contre X. Pour porter plainte, vous devez vous déplacer au commissariat de police ou à la brigade de gendarmerie de votre choix. Vous avez également la possibilité d'écrire au procureur de la République.
La plainte est l'acte par lequel vous portez à la connaissance de la justice les faits dont vous êtes victime. Les services de police ou de gendarmerie sont obligés d'enregistrer votre plainte si vous êtes victime d'une infraction. Lors du dépôt de plainte, vous êtes reçu et entendu par la police ou la gendarmerie. À la fin de cet entretien, vous recevez un récépissé et une copie de votre plainte si vous la demandez. Le dépôt de plainte mène à une enquête de police qui peut aboutir à la condamnation de l'auteur du hameçonnage.
Règle
Plusieurs infractions peuvent être retenues contre l'auteur du hameçonnage, notamment l'escroquerie ou l'usurpation d'identité, ainsi que la collecte de données à caractère personnel par un moyen frauduleux. Si vous vous constituez partie civile, vous pouvez obtenir des dommages et intérêts. Si vous êtes mineur, vous pouvez porter plainte au commissariat de police ou à la brigade de gendarmerie de votre choix. Si vous souhaitez obtenir une indemnisation, vous devez obligatoirement être accompagné par vos représentants légaux (exemple : vos parents) qui se constitueront partie civile à votre place.
Pour une plainte par courrier, envoyez-la au tribunal judiciaire du lieu de l'infraction ou du domicile de l'auteur. Le courrier doit préciser : état civil et coordonnées, récit détaillé des faits (date, lieu), nom de l'auteur (ou plainte contre X), témoins, préjudice estimé, documents de preuve, volonté éventuelle de se constituer partie civile. Un modèle de courrier est disponible. La plainte peut être envoyée en lettre recommandée avec accusé de réception, par lettre simple ou par lettre suivie.
Obtenir la condamnation des responsables : les sanctions pénales
L'auteur du hameçonnage peut être condamné pour usurpation d'identité, escroquerie ou collecte frauduleuse de données ; les peines diffèrent selon l'infraction et la qualité (personne physique ou morale).
À la suite de votre plainte, l'auteur du hameçonnage (phishing ou vishing) peut être poursuivi pour plusieurs infractions, notamment l'usurpation d'identité, l'escroquerie, et la collecte de données à caractère personnel par un moyen frauduleux. Dans tous les cas, il peut être condamné à des sanctions pénales par le tribunal correctionnel, mais les peines diffèrent selon l'infraction commise.
Usurpation d'identité : personne physique — 1 an de prison et 15 000 € d'amende ; peine complémentaire de bannissement de la plateforme en ligne (réseau social, etc.) pendant une durée maximale de 6 mois (portée à 1 an en cas de récidive) ; personne morale — 75 000 € d'amende et peines complémentaires (affichage de la décision de justice dans la presse ou en ligne). Escroquerie : personne physique — 5 ans de prison et 375 000 € d'amende ; peines complémentaires possibles (interdiction d'exercer l'activité professionnelle) ; personne morale — amende égale à 1 875 000 € et peines complémentaires (affichage de la décision). Collecte frauduleuse de données personnelles : personne physique — 5 ans de prison et 300 000 € d'amende ; personne morale — amende égale à 1 500 000 € et peines complémentaires.
Règle
Si l'individu a tenté de vous tromper pour vous subtiliser vos données personnelles et/ou bancaires et les utiliser, il encourt les mêmes peines que si l'escroquerie avait eu lieu. On parle alors de tentative d'escroquerie. Le bannissement de la plateforme en ligne est une peine complémentaire spécifique à l'usurpation d'identité sur internet.
Les peines mentionnées sont les maximums prévus par le code pénal. La juridiction apprécie souverainement la peine en fonction des circonstances (montant du préjudice, antécédents, comportement de l'auteur). Le RGPD (règlement (UE) 2016/679) complète le dispositif en matière de protection des données personnelles.
Ressources et contacts utiles
Plusieurs services accompagnent les victimes et témoins de hameçonnage : Signal Spam, Phishing Initiative, 33 700, PHAROS, commissariat/gendarmerie, procureur de la République.
Les principaux services de signalement sont Signal Spam (courriels), Phishing Initiative (sites de phishing), 33 700 (SMS et appels) et PHAROS (certaines escroqueries spécifiques). La plainte se dépose en commissariat, en gendarmerie ou par courrier au procureur.
Signal Spam (signal-spam.fr) est l'opérateur national de signalement des spams. Phishing Initiative (phishing-initiative.eu) est la plateforme européenne de signalement des sites de phishing. 33 700 est le numéro gratuit national de signalement des SMS et appels indésirables. PHAROS (signalement.internet.gouv.fr) est la plateforme gouvernementale de signalement des contenus ilégaux sur internet. Les commissariats et brigades de gendarmerie reçoivent les plaintes ; le tribunal judiciaire reçoit les courriers de plainte adressés au procureur de la République. La DGCCRF (Direction générale de la concurrence, de la consommation et de la répression des fraudes) est compétente pour certaines pratiques commerciales frauduleuses.
Règle
Pour toute question ou signalement relatif au hameçonnage, vous pouvez : signaler un spam sur signal-spam.fr ; signaler un site de phishing sur phishing-initiative.eu ; appeler le 33 700 pour les SMS et appels ; signaler un contenu ilégal sur PHAROS (escroquerie colis/loterie) ; déposer plainte en commissariat ou gendarmerie ; écrire au procureur de la République (tribunal judiciaire). Tous ces services sont ouverts aux majeurs comme aux mineurs.
Les informations contenues dans cet article sont données à titre d'orientation et ne se substituent pas à un conseil juridique personnalisé. En cas d'urgence ou de danger immédiat, appelez le 17 (police/gendarmerie).
Textes applicables
- Code pénal — articles 313-1 à 313-3 (escroquerie)Texte législatif
- Code pénal — article 226-4-1 (usurpation d'identité)Texte législatif
- Code pénal — article 226-18 (collecte frauduleuse de données)Texte législatif
- RGPD — Règlement (UE) 2016/679Texte européen
- Code pénal : article 313-9Légifrance
- Code pénal : article 226-24Légifrance
- Loi n°2024-449 du 21 mai 2024 : article 16Légifrance
- Loi n°2004-575 du 21 juin 2004 : article 12Légifrance
Sources officielles
- OuvrirService-Public.fr
Hameçonnage (phishing ou vishing)
Vérifiée le 2026-10-04
Voir aussi
- Signal Spam — signaler un spam
- Phishing Initiative — signaler un site de phishing
- Porter plainte auprès du procureur de la République (simulateur)
Les infractions de hameçonnage sont punies par le code pénal (articles 226-18, 226-24, 226-4-1, 313-1 et suivants). En cas de hameçonnage, agissez vite : prévenez votre banque, conservez les preuves, signalez l'acte et déposez plainte. En cas d'urgence, appelez le 17.