Un mail de votre banque. Logo impeccable, charte graphique respectée, formule de politesse irréprochable. Un seul détail cloche : l'adresse d'expédition se termine par -.secure au lieu de .fr. Vous avez failli cliquer. Moi aussi, la première fois.
Le phishing ne casse pas vos mots de passe. Il vous les fait donner. C'est toute la nuance, et c'est précisément ce que la plupart des articles sur le sujet ratent : ils empilent des conseils de complexité alors que le problème n'est pas la solidité du mot de passe, mais l'endroit où vous le tapez.
Je vais vous montrer par quel mécanisme exact un identifiant se retrouve dans la nature, pourquoi la double authentification seule ne suffit plus depuis l'arrivée des proxys inverse, et quels réflexes font vraiment barrage.
Points clés à retenir
- Un mot de passe unique par service, généré aléatoirement, élimine l'effet domino en cas de fuite.
- La double authentification bloque la majorité des attaques par identifiants volés, mais pas les relais de session.
- Ne jamais saisir un mot de passe depuis un lien reçu : passer systématiquement par le site officiel.
- Les clés de sécurité physiques et les passkeys résistent au phishing par conception.
- Le mot de passe de votre boîte mail est le plus critique de tous : c'est la serrure des autres serrures.
Comment le phishing vole vos mots de passe : la mécanique réelle
Le scénario classique tient en quatre étapes. Vous recevez un message qui imite un service que vous utilisez. Il contient un lien. Ce lien mène vers une copie du portail de connexion, souvent hébergée sur un domaine qui ressemble au vrai à un ou deux caractères près. Vous saisissez vos identifiants, le site affiche une erreur, puis vous redirige vers la page authentique — et vous ne vous doutez de rien.
Ce qui s'est passé pendant la seconde d'erreur : votre identifiant et votre mot de passe ont été transmis au pirate.
Les variantes qui trompent le plus
Le canal change, la logique reste la même. Le SMS frauduleux — on parle de smishing — joue sur l'urgence d'un colis bloqué ou d'une amende impayée. Le QR code collé sur une affiche ou glissé dans un mail, appelé quishing, contourne la méfiance qu'on réserve aux liens : on scanne sans lire l'URL, puisque le téléphone ne l'affiche pas clairement.
Et franchement, les versions récentes sont beaucoup mieux faites qu'il y a quelques années. J'ai comparé récemment trois faux portails de connexion reçus par des proches : mise en page identique, certificat HTTPS valide, redirection automatique après saisie. Le cadenas dans la barre d'adresse ne prouve plus rien, et c'est probablement le conseil le plus périmé qui circule encore.
La double authentification : utile, mais pas la panacée qu'on vous vend
Activer la double authentification (2FA) est la première chose à faire. Sur un compte protégé par un code envoyé par SMS ou généré par une application, un mot de passe volé seul ne suffit plus au pirate.
Sauf qu'un pirate patient n'a pas besoin de casser le second facteur. Il le récupère en direct.
Comment un proxy inverse contourne la 2FA
Des outils comme Evilginx placent un relais entre vous et le vrai site. Vous voyez la véritable page de connexion, vous tapez votre mot de passe, puis votre code à six chiffres. Le relais transmet tout en temps réel, récupère le cookie de session et le pirate se retrouve connecté à votre place. Le code à usage unique aura servi une fois — la bonne.
Ça ne rend pas la 2FA inutile. Ça la rend insuffisante face à une attaque ciblée et qualifiée. La différence entre un hameçonnage de masse et une attaque qui vise vous en particulier.
Les clés de sécurité et les passkeys : la seule résistance par conception
Les clés physiques FIDO2 — type YubiKey — et les passkeys intègrent le domaine du site dans la signature cryptographique. Une clé enregistrée pour mabanque.fr refuse mécaniquement de fonctionner sur mabanque-secure.fr, même si la page est une copie parfaite. Il n'y a rien à lire, rien à vérifier, rien à se faire manipuler.
Mon avis, et je le maintiens : c'est la seule catégorie de protection qui règle le problème au lieu de le ralentir. Coût d'une clé USB de sécurité : une quarantaine d'euros. Le prix de deux mois de stress évités.
Quelle est la meilleure protection contre le phishing ?
La meilleure protection combine deux couches : un mot de passe unique et aléatoire par service, conservé dans un gestionnaire, et un second facteur résistant au phishing — clé FIDO2 ou passkey — sur les comptes critiques. Aucun des deux ne fonctionne vraiment sans l'autre. Le gestionnaire empêche qu'une fuite se propage, la clé empêche qu'on vous extorque le sésame sur un faux site.
Pourquoi le gestionnaire change tout concrètement ? Parce qu'il crée une rupture d'usage : il ne propose d'ailleurs jamais de remplir automatiquement un formulaire sur un domaine inconnu. C'est le garde-fou le plus efficace dont personne ne parle.
Gestionnaire de mots de passe gratuit : où stocker ses mots de passe sans payer
Plusieurs options sérieuses existent en version gratuite : Bitwarden, KeePass (local, open source), ou le trousseau intégré d'Apple et de Google. Pour un usage personnel, elles suffisent largement. J'ai fait tourner Bitwarden en gratuit pendant près de deux ans avant de basculer sur la formule payante, uniquement pour le partage familial — pas par manque de fonctionnalités.
Le point à vérifier avant de choisir : le chiffrement de bout en bout. Si le fournisseur peut lire vos mots de passe, la question du prix devient secondaire.
Quels sont les 3 conseils pour éviter le phishing ?
Trois réflexes couvrent l'essentiel des cas réels.
- Ne jamais saisir un mot de passe depuis un lien reçu. Fermez le message, ouvrez votre navigateur, tapez l'adresse du service ou passez par un favori. Trente secondes de plus, une attaque annulée.
- Vérifier le domaine, pas le design. Le nom exact après le https:// et avant le premier slash. Les fautes discrètes — un tiret ajouté, une lettre doublée, un .secure greffé — sont la signature du procédé.
- Signaler, même sans avoir cliqué. En France, un SMS frauduleux se transfère au 33700, et un mail suspect à la plateforme Pharos de l'ANSSI. Le signalement protège les suivants.
Un quatrième réflexe vaut le détour : considérer toute urgence comme un signal d'alarme. Un paiement à valider dans l'heure, un accès qui sera suspendu ce soir, un colis en souffrance — la pression temporelle est l'outil principal du fraudeur. Rien de légitime ne vous demande d'agir en trente secondes.
Comment verrouiller ses mots de passe au quotidien ?
Verrouiller ne veut pas dire mémoriser des suites de symboles. Cela veut dire réduire le nombre de portes d'entrée et s'assurer qu'aucune ne s'ouvre sur les autres.
| Pratique | Effet réel | Effort |
|---|---|---|
| Mot de passe unique par service | Une fuite reste isolée | Faible avec un gestionnaire |
| 2FA par application | Bloque les attaques par identifiants seuls | Faible |
| Clé FIDO2 / passkey | Résiste au relais de session | Moyen (achat + enregistrement) |
| Vérification manuelle des domaines | Neutralise la majorité des faux portails | Quotidien, quelques secondes |
| Gestionnaire de mots de passe | Empêche le remplissage sur un site inconnu | Faible |
À quoi ressemble un mot de passe réellement solide
Une phrase de passe longue bat un mot de passe court et complexe : quatre mots sans lien logique entre eux, séparés par des caractères arbitraires, tiennent tête à une attaque par force brute bien plus longtemps qu'un P@ssw0rd2024! tapé à la hâte. Mais soyons honnêtes : personne ne retient trente phrases de passe. C'est précisément pour ça que le gestionnaire n'est pas une option mais la base.
Voir mes mots de passe : comment les retrouver proprement
Sur un iPhone, Réglages → Mots de passe, avec Face ID. Sur Android, l'application Google Password Manager. Sur ordinateur, l'interface de votre gestionnaire. Évitez absolument de taper « voir mes mots de passe » dans un moteur de recherche : c'est une requête qui attire des sites piégés, et le paradoxe est cruel — chercher ses mots de passe est devenu une façon de les perdre.
Quel élément piraté permet au pirate d'accéder à tous vos comptes ?
Votre boîte mail. C'est la réponse, et elle surprend souvent.
Un pirate qui prend le contrôle de votre messagerie ne vole pas seulement vos conversations. Il lance la procédure « mot de passe oublié » sur chacun de vos comptes, reçoit le lien de réinitialisation dans votre boîte, et change le mot de passe à votre place. Il peut aussi lire les mails pour reconstituer votre identité, vos proches, vos habitudes d'achat, vos relevés.
J'ai vu un cas concret chez un ami : son compte de messagerie avait été compromis via un mot de passe réutilisé, et en moins de deux heures le pirate avait changé les accès à sa messagerie secondaire et à deux comptes de réseaux sociaux. La panique était totale. Reprendre la main a demandé une semaine.
Comment protéger en priorité votre messagerie
- Un mot de passe unique, long, jamais utilisé ailleurs — celui-là mérite d'être mémorisé ou conservé hors ligne.
- Double authentification obligatoire, avec une clé physique si le service le permet.
- Codes de secours imprimés et rangés, pas stockés dans la boîte mail elle-même.
- Vérifier les règles de transfert automatique de temps en temps : un pirate en place s'en sert pour continuer à lire vos mails même après une réinitialisation.
Un dernier point sur les tests de sécurité de mot de passe qu'on trouve en ligne. Certains sont utiles, d'autres sont des aspirateurs à données. Ne saisissez jamais votre vrai mot de passe pour « vérifier sa solidité » : un outil qui vous le demande n'est pas un outil de sécurité.
Le phishing ne cherche pas une faille dans votre mot de passe. Il cherche une faille dans votre vigilance — un moment d'urgence, une fatigue, une page qui ressemble trop. La parade technique aide plus que la discipline mentale : une clé qui refuse physiquement de fonctionner sur un mauvais domaine ne se fatigue pas, elle. Et vous, la dernière fois que vous avez reçu un mail qui ressemblait à s'y méprendre à quelque chose de légitime, qu'avez-vous fait dans les trois secondes qui ont suivi ?
