Phishing en 2026 : 7 signaux pour reconnaître et éviter les arnaques

Le phishing reste, et de loin, la première porte d'entrée des cyberattaques. La différence en 2026 : l'IA générative permet de produire des mails et des sites factices indistinguables des vrais. Apprendre à repérer les signaux faibles n'a jamais été aussi crucial.

1. Vérifiez toujours le domaine, pas le nom affiché

Un mail signé « Service client UBS » peut venir de service-client@ubs-securite-fr.com. Le nom affiché est libre, seul le domaine compte. Survolez l'adresse de l'expéditeur sans cliquer.

2. Les vraies banques ne demandent jamais votre mot de passe par mail ou SMS

Aucune banque, aucune administration, aucun service légitime ne vous demande de saisir votre mot de passe ou code SMS dans un lien reçu par message. Si c'est urgent et confidentiel, ils utilisent leur app officielle ou un courrier.

3. Méfiez-vous de l'urgence et de la peur

« Votre compte sera suspendu dans 24 h », « colis bloqué », « amende impayée » : ces formulations existent pour court-circuiter votre réflexion. Prenez 30 secondes, ouvrez l'app officielle de la marque, vérifiez.

4. Survolez les liens avant de cliquer (ordinateur) ou faites un appui long (mobile)

• Sur ordinateur : passez le curseur sur le lien, l'URL réelle apparaît en bas du navigateur
• Sur iPhone/Android : appuyez longuement sur le lien pour voir l'URL avant de l'ouvrir
• Une URL avec des sous-domaines à rallonge (login.update.security-paypal.io) est suspecte

5. Activez l'auto-remplissage anti-phishing de votre coffre

Un gestionnaire de mots de passe comme Tashlight ne remplit le mot de passe que si l'URL correspond exactement au site enregistré. Si vous êtes sur un faux site de banque, le mot de passe ne se remplit pas — c'est un signal fort que quelque chose cloche.

6. Activez la 2FA partout, idéalement via une app TOTP

Même si un fraudeur récupère votre mot de passe, la double authentification l'arrête. Privilégiez Aegis, Ente Auth ou Google Authenticator au SMS, plus vulnérable au SIM-swap.

7. En cas de doute, signalez et ne cliquez pas

En Suisse : signalez à reports@antiphishing.ch. En France : Signal Spam ou cybermalveillance.gouv.fr. Supprimez le message ensuite, ne répondez pas, ne cliquez sur aucun lien — même « se désinscrire ».

Le meilleur antivirus en 2026 reste votre vigilance — et un coffre de mots de passe qui refuse de s'auto-remplir sur un faux site.