Phishing ou fishing : Comment distinguer les deux et éviter les pièges en ligne ?

Relu par Fitia, Rédactrice en chef

Fishing ou phishing ? Une seule lettre sépare la partie de pêche du dimanche de l’arnaque qui vide un compte bancaire.

Le phishing, ou hameçonnage, est la ruse d’escrocs qui imitent une banque ou un proche pour voler vos mots de passe, vos données personnelles et vos coordonnées bancaires. Le fishing, lui, ne pêche que des poissons. Et la confusion fishing ou phishing n’a rien d’anodin en 2026, année où l’hameçonnage se dope à l’IA, aux QR codes et aux faux CAPTCHA.

En bref

• Fishing ou phishing ? Le phishing vole vos données, le fishing attrape des poissons.
• Le quishing, le device code phishing et ClickFix contournent le MFA classique.
• Seules les clés FIDO2 et les passkeys résistent aux fausses pages de connexion.
• Après un clic piégé, isolez l’appareil et demandez de l’aide sur Cybermalveillance.gouv.fr.

Phishing ou fishing : le phishing pêche vos données

Le phishing est une escroquerie fondée sur l’ingénierie sociale. L’attaquant imite un interlocuteur de confiance (banque, Ameli, impôts, livreur ou collègue) par e-mail, SMS, appel ou messagerie instantanée.

Son but ne change jamais. Il veut obtenir des informations personnelles : identifiants, numéro de carte bancaire, code de validation. En France, l’hameçonnage occupe d’ailleurs le premier rang des menaces dans le rapport d’activité 2025 de Cybermalveillance.gouv.fr, avec +70 % de demandes d’assistance. Dans le couple fishing ou phishing, c’est bien le second qui coûte cher.

Fishing ou phishing : le fishing, c’est la pêche et rien d’autre

Le fishing veut simplement dire « pêche » en anglais. Ce loisir, ou cette activité commerciale, n’a aucun lien avec la cybercriminalité. Vous hésitez encore entre fishing ou phishing ? Le premier se pratique avec une canne, le second avec un faux e-mail.

D’où vient alors ce « ph » ? Au milieu des années 1990, des pirates du réseau AOL ont baptisé leur pêche aux mots de passe en empruntant la graphie du phreaking. Ce mot désignait le piratage des lignes téléphoniques. Le jeu de mots a traversé trois décennies. En français, l’image de l’appât survit dans le terme hameçonnage.

Écrire fishing ou phishing n’est donc pas une affaire de goût. Dans une alerte destinée à des non-initiés, la mauvaise orthographe brouille le message et affaiblit la prévention.

Phishing ou fishing en 2026 : un Français sur deux déjà dans la nasse

Le 3e baromètre Cybermalveillance.gouv.fr et Ipsos Digital, publié le 15 septembre 2026 pour le Cybermois, dresse un constat sans détour. Le mail ou SMS frauduleux est la première malveillance rencontrée, citée par 53 % des Français.

Et le terrain devient plus fertile. Les fuites de données nourrissent un hameçonnage sur mesure, qui cite votre IBAN, votre numéro client ou votre plaque d’immatriculation. Les chiffres clés de cette édition :

• 45 % des Français ont été notifiés d’une fuite de leurs données, contre 30 % en 2025.
• 59 % se disent plus vigilants face aux e-mails, SMS et appels inconnus après cette notification.
• 53 % ont changé leurs mots de passe.
• Seuls 55 % s’estiment suffisamment informés, contre 63 % en 2024.

Ces fuites n’ont rien d’abstrait. L’exposition récente de 905 000 plaques d’immatriculation françaises fournit le carburant idéal pour rendre une fausse amende crédible.

La leçon ? Trancher entre fishing ou phishing ne suffit plus. Méfiez-vous surtout des messages qui en savent trop sur vous.

Fishing ou phishing : les visages de l’hameçonnage en 2026

Une fois le duel fishing ou phishing tranché, place aux déguisements. Les fausses contraventions ANTAI, les faux remboursements d’impôts de l’été 2026 et les faux colis circulent toujours en masse.

Mais les campagnes les plus dangereuses s’attaquent aux comptes professionnels. Et surtout aux protections censées les verrouiller.

Device code phishing : le vrai portail Microsoft retourné contre vous

Le device code phishing détourne un flux d’authentification légitime de Microsoft, prévu pour les appareils sans clavier comme les téléviseurs connectés. L’attaquant génère un code sur le vrai portail, puis convainc la victime de le saisir sur la page de connexion officielle.

La victime valide tout, MFA compris. L’attaquant récupère alors les jetons d’accès et entre dans le compte sans jamais connaître le mot de passe. Là, le dilemme fishing ou phishing ne se pose même plus, puisque la page de connexion est authentique.

Les chiffres donnent le vertige. Huntress a mesuré une hausse de 1 380 % entre le second semestre 2025 et les quatre premiers mois de 2026, et Push Security suit plus de 25 kits dédiés. CrowdStrike, de son côté, a vu ces attaques multipliées par 15 au premier semestre 2026.

Les environnements Microsoft 365 concentrent les dégâts. Ils sont déjà fragilisés par la multiplication des accès accordés aux agents IA.

Le phishing invisible qui ne laisse aucune URL derrière lui

Certains kits ne pointent même plus vers un site hébergé. Barracuda documente l’usage d’URL Blob, une adresse temporaire qui assemble la fausse page directement dans le navigateur de la victime, depuis la mémoire locale.

L’onglet fermé, aucune URL permanente ne subsiste. Les filtres et les scanners automatiques n’ont plus rien à analyser. Pour l’internaute, rien ne permet de trancher entre fishing ou phishing.

Les attaquants détournent aussi des services Microsoft légitimes, comme les redirections OAuth ou Teams, pour guider leurs cibles. La meilleure parade ? Les clés FIDO2 et les passkeys, liées au vrai domaine, qu’une page fantôme ne peut pas berner.

Dark Sourcery : quand ChatGPT recommande un faux numéro

Les chercheurs de Vigilance Security ont mis au jour une campagne baptisée Dark Sourcery. Les escrocs inondent le web de faux contenus (PDF, avis clients, descriptions YouTube, pages compromises) qui associent une marque connue à un numéro frauduleux.

Un internaute demande à ChatGPT, Gemini ou aux AI Overviews de Google le service client d’une banque ou d’une compagnie aérienne. L’assistant peut alors recracher ces coordonnées piégées, et l’utilisateur livre ses données bancaires en toute confiance.

Fishing ou phishing, l’appât arbore ici le logo de votre banque. Le bon réflexe est simple. Vérifiez chaque contact sur le site officiel de l’entreprise, jamais dans une réponse générée par une IA.

Faux CAPTCHA et ConsentFix : le piège posé sur des sites légitimes

Le 7 août 2026, l’Office fédéral suisse de la cybersécurité (OFCS) a recensé plus de 100 000 sites compromis dans le monde qui affichent de faux CAPTCHA imitant Cloudflare. La plupart tournent sous WordPress, souvent via deux failles surnommées WP2Shell.

La variante ConsentFix pousse la victime à glisser une URL de connexion Microsoft dans la page piégée. L’attaquant récupère ainsi les jetons OAuth d’un compte Microsoft 365, sans le moindre malware.

En parallèle, une campagne ClickFix contre les Mac a transité en juillet 2026 par une publicité sponsorisée sur X, publiée depuis un compte vérifié. Même les badges de confiance servent d’appât.

Le quishing, l’hameçonnage caché dans un QR code

Le quishing glisse un QR code malveillant dans un e-mail ou un PDF. Le scan se fait sur smartphone, donc hors du périmètre protégé du poste de travail. Pas de lien à survoler, pas d’adresse à inspecter. Le doute fishing ou phishing se joue sur un simple carré noir et blanc.

Selon Microsoft Threat Intelligence, ces attaques sont passées de 7,6 millions en janvier à 18,7 millions en mars 2026, soit +146 % en un trimestre. Les pièces jointes PDF en transportaient 70 % en mars.

Barracuda confirme la tendance. Dans son rapport 2026, 70 % des PDF malveillants contiennent un QR code qui mène à une page de phishing.

Precision-validating phishing : l’arnaque qui trie ses victimes

Cette technique abandonne l’envoi à l’aveugle. Le kit vérifie en temps réel, via une API ou un script JavaScript, si l’adresse saisie figure dans une liste de comptes valides constituée à l’avance.

Adresse reconnue ? Un faux écran de connexion s’affiche pour capturer les identifiants. Sinon, la victime atterrit sur une page anodine comme Wikipédia, et les robots d’analyse ne voient rien.

Malin, certes ; mais surtout redoutable. Les escrocs ne récoltent que des identifiants de haute qualité, exploités ou revendus aussitôt sur le dark web. Dans le débat fishing ou phishing, on est ici très loin d’une paisible partie de pêche.

IA et Phishing-as-a-Service : l’hameçonnage passe à l’échelle industrielle

L’IA générative a gommé les fautes d’orthographe qui trahissaient autrefois les faux e-mails. Hoxhunt a observé une hausse de 14 fois des courriels de phishing générés par IA en décembre 2025. Ils représentaient alors 56 % des menaces signalées. Distinguer fishing ou phishing à l’œil nu devient donc bien plus ardu.

L’IA fabrique aussi les sites. Zscaler ThreatLabz a recensé 413 524 sites générés par IA, dont 9 % malveillants, montés en quelques minutes avec des outils comme Lovable AI ou Manus AI.

Derrière, une économie bien rodée fournit les munitions. En 2025, 90 % des campagnes de phishing à grand volume reposaient sur des kits de Phishing-as-a-Service (PhaaS), dont le nombre a doublé dans l’année, selon Barracuda.

Des plateformes comme EvilTokens louent même des campagnes de device code phishing clés en main. Résultat, des fraudeurs sans compétence technique lancent des attaques dignes de groupes aguerris.

ClickFix : l’arnaque qui vous fait pirater votre propre PC

Si vous pensiez avoir tout vu avec les e-mails frauduleux, détrompez-vous. Ici, le débat fishing ou phishing prend un tour absurde, car la victime manie elle-même la canne. Le Microsoft Digital Defense Report 2026, publié le 1er octobre, décrit une croissance d’environ 23 fois des attaques ClickFix entre décembre 2025 et mai 2026.

Entre février et début mai, Microsoft Defender a vu des commandes ClickFix exécutées sur plus de 1,1 million d’appareils. ESET confirme la tendance avec +108 % de détections au premier semestre 2026.

Le piège du copier-coller

Le phishing classique réclame un clic sur un lien. ClickFix, lui, joue sur l’urgence technique. Vous naviguez sur un site légitime compromis ou ouvrez un document, puis une fausse fenêtre (Chrome, Word, OneDrive ou vérification Cloudflare) signale une erreur.

Pour « réparer » le problème, aucun téléchargement n’est proposé, car l’antivirus s’en méfierait. La fenêtre vous demande de copier un script PowerShell et de le coller dans la fenêtre Exécuter de Windows ou dans le Terminal. C’est là que le piège se referme.

La charge varie selon les campagnes. En juin 2026, Cofense a par exemple documenté une fausse alerte de sécurité Amazon qui installait HarborWatch Agent, un cheval de Troie d’accès à distance.

ClickFix échappe aux filtres parce que vous faites le travail

En copiant-collant le script, c’est l’utilisateur lui-même qui ouvre la porte. Aucune pièce jointe piégée ne transite, si bien que les filtres de messagerie et les EDR peinent à repérer la menace.

Le script installe ensuite le plus souvent un infostealer, comme Lumma Stealer, que Microsoft et Europol ont tenté de démanteler en mai 2025. D’après Microsoft, 96,3 % des intrusions ClickFix débouchent sur un malware.

Pour les DSI, la parade passe d’abord par la formation. Aucun support légitime ne vous demandera de coller une commande copiée depuis une fenêtre de navigateur.

Script exécuté : la riposte des équipes de sécurité

Un collaborateur avoue avoir collé un script suspect ? Chaque seconde compte. Isolez d’abord la machine du réseau local et d’Internet, car l’infostealer s’installe en quelques instants.

Il cible en priorité les mots de passe enregistrés et les portefeuilles de cryptomonnaies. Fermer le navigateur ou redémarrer ne change rien, le malware persiste dans les processus du système.

Les responsables informatiques doivent ensuite révoquer tous les jetons de session et changer les mots de passe de l’utilisateur. Portez une attention particulière aux accès Microsoft 365 et Google Workspace.

Une analyse des journaux EDR permet enfin de repérer d’éventuels mouvements latéraux vers d’autres serveurs. C’est précisément le terrain de l’expert en réponse à incident.

Côté prévention, bloquez PowerShell pour les profils non techniques. Cette mesure simple neutralise la majorité des tentatives ClickFix actuelles.

Fishing ou phishing sur WhatsApp : le piège des faux votes d’octobre 2026

Le 27 octobre 2026, Cybermalveillance.gouv.fr a publié un bulletin de vigilance sur une campagne virale. Fishing ou phishing ? Ici, l’hameçon arrive par un ami. Cette campagne prouve qu’un hameçonnage efficace n’a besoin ni d’e-mail ni de faux site bancaire.

Le scénario se déroule en quatre temps :

1. Un contact de confiance vous demande de voter pour un concours, souvent de ballerines, ou pour une bourse d’études.
2. Le lien ouvre une fausse page de vote qui réclame votre numéro de téléphone.
3. Ce numéro génère en coulisse un code d’ajout d’appareil WhatsApp au profit de l’escroc.
4. La page vous guide pour saisir ce code dans vos paramètres, et l’escroc prend le contrôle du compte.

Chaque compte piraté relaie ensuite l’arnaque vers de nouveaux contacts, d’où l’effet boule de neige. Les conséquences vont de la demande d’argent aux proches jusqu’au chantage sur des photos ou des échanges privés.

Victime ? Supprimez sans délai tout appareil inconnu dans la liste des appareils connectés, puis prévenez vos contacts par un autre canal. Retenez surtout une règle. Aucun code personnel ne se partage, même avec un proche.

Ce n’est pas la première alerte sur la messagerie. Notre article sur l’arnaque « zéro clic » qui peut dérober vos données via WhatsApp décrit une autre fraude du même genre. Sur WhatsApp comme ailleurs, la règle du duel fishing ou phishing ne change pas. Vérifiez avant de cliquer.

Phishing ou fishing : les défenses qui font vraiment la différence

Savoir répondre à la question fishing ou phishing est un premier pas. La vraie protection repose sur des réflexes quotidiens et des défenses techniques bien choisies.

Formez et sensibilisez les équipes pour qu’elles repèrent les e-mails frauduleux, même soignés. Cette vigilance humaine forme la première barrière contre les attaques.

Ajoutez une solution de filtrage d’e-mails avancée, qui bloque une large part des tentatives avant la boîte de réception. Pensez aussi au chiffrement. Selon Zscaler, 95,2 % du phishing bloqué transitait par des canaux chiffrés, d’où l’intérêt d’une inspection TLS.

Méfiez-vous autant des appels et SMS non sollicités, terrain du vishing (phishing vocal) et du smishing (phishing par SMS). CrowdStrike a vu le vishing doubler entre le second semestre 2025 et le premier semestre 2026.

Enfin, ne cliquez jamais sur un lien douteux et vérifiez l’adresse du site web avant toute saisie sensible. Un antivirus à jour doté d’une protection web bloque aussi de nombreuses pages déjà repérées.

Ne vous contentez plus du MFA classique : passez au FIDO2

Il n’y a pas si longtemps, activer la double authentification suffisait. Plus en 2026. Les kits AiTM (Adversary-in-the-Middle) interceptent en temps réel les codes reçus par SMS ou générés par une application mobile.

La menace glisse vers le Post-MFA Session Hijacking. L’attaquant ne cherche plus votre code secret. Il dérobe le jeton de session validé par votre navigateur, puis entre dans le compte sans déclencher de nouvelle authentification.

Les accès critiques, comptes administrateurs et financiers en tête, méritent une authentification résistante au phishing. Privilégiez :

• Les clés de sécurité physiques (FIDO2) : comme les YubiKeys, qui nécessitent une présence physique pour valider la connexion.
• Les Passkeys : cette technologie biométrique (empreinte digitale ou reconnaissance faciale) lie l’accès à votre appareil.

Contrairement au SMS, ces protocoles cryptographiques lient la clé au vrai domaine. Un attaquant ne peut donc pas s’emparer de vos accès, même s’il vous attire sur une fausse page de connexion. C’est l’investissement prioritaire pour toute PME ou grand groupe qui veut sécuriser Microsoft 365 ou Google Workspace.

Budget anti-phishing : ce que coûtent les principales parades

Protéger une structure impose des arbitrages entre matériel, logiciels et formation humaine. Une architecture Zero Trust limite fortement le coût d’une éventuelle brèche de données.

Le tableau suivant compare les tarifs moyens constatés des dispositifs les plus courants. Les taux d’interception sont indicatifs et varient selon la configuration de chaque organisation.

Phishing ou fishing : prévention et bonnes pratiques pour les PME

Pour une PME, se protéger efficacement contre le phishing passe par une défense en profondeur et une culture cyber partagée à tous les étages. Les salariés doivent savoir distinguer fishing ou phishing, puis connaître les arnaques du moment, à commencer par l’arnaque au président dopée au deepfake.

Le diagnostic croisé d’Orange Business et d’ANOZR WAY sur la fraude par IA montre à quel point ces imitations deviennent difficiles à détecter. Pour former les équipes, Cybermalveillance.gouv.fr a lancé en juin 2026 la MalletteCyber Pro, un kit pensé pour les TPE-PME.

Des outils et méthodes pour contrecarrer l’arnaque au Phishing

Les programmes anti-phishing sont indispensables, mais ils ne valent rien sans formation continue. Apprenez aux équipes à scruter l’adresse de l’expéditeur, à se méfier des demandes urgentes de virement et à vérifier toute information sensible par un second canal.

Un doute sur l’origine d’une connexion ? Ces 5 outils gratuits pour analyser une adresse IP suspecte aident à trancher en quelques minutes.

Lutte contre le Phishing : un combat continu

Le phishing mute plus vite que les politiques de sécurité. Les entreprises doivent suivre les dernières techniques des cybercriminels et investir dans des outils adaptés.

Des règles claires, une vigilance constante et des simulations régulières réduisent nettement le risque. Savoir écrire fishing ou phishing ne suffit pas, il faut savoir réagir. Le maillon faible n’est pas l’humain ; c’est l’humain qu’on n’a jamais entraîné.

Check-list d’urgence si vous avez cliqué sur un lien de phishing

Même en sachant distinguer fishing ou phishing, personne n’est à l’abri d’une erreur. Vous réalisez après coup avoir mordu à l’hameçon ? Agissez vite, avec ces quatre actions immédiates.

Couper la connexion et isoler l’appareil

Un fichier téléchargé ou une fenêtre suspecte ? Déconnectez immédiatement votre appareil du réseau. Coupez le Wi-Fi ou débranchez le câble Ethernet.

Un éventuel infostealer ne pourra plus communiquer avec les serveurs des cybercriminels. Et il ne se propagera pas aux autres ordinateurs de votre entreprise. Pour la suite, voici comment détecter et supprimer un spyware sur un réseau d’entreprise.

Changer immédiatement ses mots de passe

Vous avez saisi vos identifiants sur une fausse page de connexion ? Prenez trois dispositions. D’abord, connectez-vous depuis un autre appareil sain à la plateforme légitime.

Ensuite, modifiez instantanément votre mot de passe et révoquez les sessions actives. Enfin, changez-le partout où vous l’aviez réutilisé, idéalement avec un gestionnaire de mots de passe d’entreprise.

Alerter sa banque en cas de données financières compromises

Vous avez renseigné un numéro de carte bancaire ou un IBAN ? Contactez immédiatement votre banque pour faire opposition, puis surveillez vos comptes de près. En France, la plateforme gouvernementale Perceval permet de signaler une fraude à la carte bancaire.

Signaler l’attaque aux autorités

Signaler protège les autres internautes et ouvre droit à une assistance personnalisée. Cybermalveillance.gouv.fr et son assistant en ligne 17Cyber établissent un diagnostic, puis orientent vers des professionnels.

Transférez les e-mails douteux à Signal-Spam et les SMS au 33700. Quant aux faux sites, soumettez-les à Phishing Initiative pour les faire bloquer.

Phishing ou fishing en chiffres : moins d’e-mails piégés, des pièges plus fins

Contrairement à une idée reçue, le volume global de phishing recule. Le rapport Zscaler ThreatLabz 2026 mesure une baisse d’environ 20 % par an, en 2024 comme en 2025.

Ce repli traduit un changement de stratégie, pas une trêve. Selon le SpyCloud 2026 Phishing Pulse, 78 % des grandes organisations ont vu le phishing augmenter en douze mois. Pour 84 % d’entre elles, les attaques générées par IA deviennent plus fréquentes ou plus difficiles à contrer. Dans la bataille fishing ou phishing, la quantité recule mais la précision progresse.

L’IA accélère ce virage vers la qualité. Pour mesurer son poids dans les campagnes signalées, n’hésitez pas à consulter directement le rapport de Hoxhunt.

Les escrocs combinent aussi deepfake vocal, quishing et attaques multicanales qui mêlent e-mails, SMS et appels. Les guides de prévention consacrés au phishing détaillent ces scénarios hautement personnalisés.

Face à cette menace, les responsables sécurité doivent adopter des stratégies proactives. Formations personnalisées, détection comportementale et outils capables de repérer les signaux faibles forment le trio gagnant.

Phishing ou fishing devant la loi : ce que risquent escrocs et entreprises

Sur le terrain judiciaire, la frontière fishing ou phishing est nette. La loi punit sévèrement l’hameçonnage. En France, l’escroquerie est passible de 5 ans de prison et 375 000 € d’amende, et l’usurpation d’identité numérique d’un an et 15 000 €.

Pour les victimes, l’addition est lourde, entre pertes financières, violations de données et réputation abîmée.

Côté entreprises, le cadre européen se durcit avec la directive NIS2. Elle étend les obligations de cybersécurité à près de 15 000 entités en France, contre quelques centaines d’opérateurs sous l’ancienne directive.

Les manquements peuvent coûter jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles. Pour les entités importantes, le plafond atteint 7 millions d’euros ou 1,4 %.

Problème : la France n’a toujours pas transposé le texte, attendu depuis le 17 octobre 2024. Adopté par le Sénat en mars 2025, le projet de loi Résilience a été retiré de l’ordre du jour de l’Assemblée le 6 octobre 2026. Entre-temps, la Commission européenne a saisi la Cour de justice de l’UE le 8 juillet 2026.

Sachez toutefois que ce flou juridique ne protège personne. Les grands comptes et les assureurs intègrent déjà ces exigences dans leurs contrats. Et l’ANSSI a publié dès mars 2026 son référentiel ReCyF pour préparer les futurs contrôles.

FAQ : phishing ou fishing, les réponses essentielles