Le phishing classique ressemble à de la pêche au chalut : des millions de messages identiques, en espérant qu’une poignée de destinataires mordent à l’hameçon. Le phishing ciblé, ou spear-phishing, ressemble plutôt à de la pêche au harpon. L’escroc choisit sa victime, se renseigne sur elle et lui écrit un message sur mesure. Il en envoie beaucoup moins, mais chacun a bien plus de chances de réussir.

Ce qui rend un message crédible
Un message de phishing ordinaire commence par « Cher client ». Un message ciblé contient votre nom, votre adresse, le nom de votre banque ou de votre conseiller, une commande que vous avez réellement passée, votre numéro fiscal ou votre numéro de contrat. Ce niveau de détail désarme la méfiance : comment un inconnu pourrait-il savoir tout cela ?
En 2013, nous décrivions le cas d’un pirate qui s’introduisait dans une boîte e-mail, lisait les vrais courriers de la banque ou d’EDF, puis écrivait à sa victime en reprenant ses numéros de compte. Cette méthode existe toujours (voir le piratage de boîte e-mail), mais il y a aujourd’hui beaucoup plus simple.
D’où viennent les informations
- **Les fuites de données.** Opérateurs, enseignes, mutuelles, plateformes de santé, administrations : les fuites de fichiers clients se succèdent, et ces données sont revendues ou publiées. La fuite qui a touché la DGFiP en est un exemple, avec des informations fiscales très précises (voir notre article sur le phishing ultra-ciblé après cette fuite).
- **Les réseaux sociaux.** Votre employeur, vos proches, vos vacances, votre date de naissance, le nom de votre animal : tout ce qui est public peut servir à construire un prétexte.
- **Un premier message réussi.** Un faux SMS de colis à 1,99 € donne à l’escroc votre carte et votre nom. Il sait ensuite quelle est votre banque, et le faux conseiller peut vous appeler.
Les formes les plus courantes
**Le faux conseiller bancaire.** Il vous appelle, connaît votre nom, votre banque et vos dernières opérations, et vous demande de valider une opération « pour la bloquer ». C’est la forme de phishing ciblé qui coûte le plus cher aux particuliers.
**Le faux message administratif personnalisé.** Impôts, Assurance maladie, CAF, ANTS : le message cite votre situation réelle et vous demande de régulariser un paiement.
**La fraude au président et au faux fournisseur.** En entreprise, un comptable reçoit un e-mail du « dirigeant » ou d’un fournisseur habituel, annonçant un changement de coordonnées bancaires ou demandant un virement urgent et confidentiel. Les montants se comptent en dizaines de milliers d’euros.
**Le QR code piégé.** Coller un faux QR code sur un horodateur ou en envoyer un par courrier permet de contourner les filtres anti-phishing des messageries, qui n’analysent pas les images.
Se défendre quand le message sait tout de vous
La règle de base doit changer : **la connaissance de vos informations ne prouve pas l’identité de l’expéditeur.** Considérez votre nom, votre adresse et même votre numéro de client comme des données potentiellement publiques.
- Ne passez jamais par le lien, le numéro ou le QR code fourni dans le message. Rendez-vous vous-même sur le site ou l’application officiels, ou rappelez le numéro que vous connaissez.
- Méfiez-vous de l’urgence et du secret : « avant ce soir », « ne parlez de rien à votre agence ».
- Activez la double authentification sur votre messagerie : c’est elle qui protège tout le reste, puisque c’est par la messagerie qu’on réinitialise vos autres mots de passe.
- En entreprise, faites confirmer tout changement de RIB par un appel, au numéro habituel du fournisseur.
Pour signaler un message, utilisez Signal Spam pour les e-mails, le 33700 pour les SMS, et Phishing Initiative pour les adresses de faux sites. D’autres exemples sont réunis sur notre page Phishing.


