La semaine dernière, j’ai failli me faire avoir. Encore. Un mail de Doctolib pour confirmer un rdv que j’avais vraiment pris. Sauf que l’adresse finissait par @doctolib-rdv.fr au lieu de @doctolib.fr. Subtil.
Le phishing en 2026, c’est plus la même chose qu’avant. Les escrocs utilisent l’IA pour créer des messages quasi parfaits. Plus de fautes d’orthographe, plus de « cher client » générique. Ils savent que tu es abonné chez Basic-Fit, que tu commandes sur Vinted, que tu as un compte chez ta banque. Même les casinos en ligne comme Aphrodite Casino renforcent leur sécurité (j’ai testé le nouveau casino que tout le monde teste et franchement, leur double authentification est bien fichue).
Les nouvelles techniques qui m’ont surpris
L’IA a changé la donne. Vraiment.
Les hackers créent maintenant des faux sites identiques à 99% aux vrais. Même URL presque pareille, même design, même tout. La seule différence ? Un tiret en trop ou une lettre changée. Genre amazon-fr.com au lieu d’amazon.fr.
Et le pire dans tout ça ? Les messages sont personnalisés. Un pote s’est fait avoir avec un faux mail de sa salle de sport après la fuite de données chez Basic-Fit. Le mail contenait son vrai nom, sa vraie adresse, le nom de sa salle. C’est le même principe que ces plateformes de jeux en ligne qui collectent vos données personnelles pour vous cibler. Flippant.
Mon système en 3 étapes (qui marche)
Alors j’ai développé ma méthode perso. Simple mais efficace.
Étape 1 : Je vérifie TOUJOURS l’expéditeur
Pas juste le nom affiché. L’adresse mail complète. Sur mobile, faut cliquer sur le nom pour voir la vraie adresse. Cette simple vérification permet d’éviter la majorité des arnaques, qui tombent à 90% rien qu’avec ça.
Astuce : les vraies entreprises utilisent toujours leur nom de domaine officiel. Doctolib n’enverra jamais depuis @doctolib-service.com ou @notification-doctolib.fr.
Étape 2 : Je ne clique jamais directement
Même si le mail a l’air légitime. Je vais directement sur le site en tapant l’adresse moi-même. Si c’est vraiment urgent, l’info sera sur mon compte.
Pour les SMS c’est pareil. Un message de ma banque ? J’ouvre l’app bancaire directement.
Étape 3 : Je joue la carte du doute
En cas de doute, j’appelle. Direct. Les entreprises préfèrent qu’on vérifie plutôt que de se faire arnaquer. J’ai appelé ma banque 3 fois cette année pour vérifier des mails. Aucun n’était légitime.
Les signaux d’alerte que je repère maintenant
Avec le temps, j’ai développé un radar.
L’urgence artificielle d’abord. « Votre compte sera fermé dans 24h », « Action requise immédiatement ». Les vraies entreprises donnent toujours plusieurs jours.
Les demandes bizarres ensuite. Un IBAN pour « vérifier votre identité » ? Une photo de carte bancaire ? Red flag direct.
| Type d’arnaque | Signal d’alerte | Ma réaction |
|---|---|---|
| Faux mail bancaire | Demande de codes ou identifiants | J’appelle ma banque |
| Arnaque livraison | Frais surprise à payer | Je vérifie sur le site du transporteur |
| Phishing réseaux sociaux | Lien raccourci bizarre | Je me connecte directement sur l’app |
| Faux support technique | Appel non sollicité | Je raccroche et rappelle le vrai numéro |
Les liens raccourcis d’ailleurs. Grosse méfiance. Un bit.ly ou un tinyurl dans un mail « officiel » ? Nope.
Les arnaques spécifiques à surveiller
Sur Vinted, c’est le festival. Les acheteurs qui proposent de payer en dehors de la plateforme. Les vendeurs qui demandent des acomptes. Les faux liens de paiement.
Perso je ne sors jamais de l’app. Jamais.
Les arnaques aux faux conseillers bancaires aussi. Ils appellent, connaissent ton nom, ta banque, et te demandent de « sécuriser » ton compte. Sauf qu’une vraie banque ne demande jamais tes codes par téléphone.
Ce qui a changé avec l’IA
Les deepfakes vocaux. C’est nouveau et c’est flippant.
Des arnaqueurs utilisent l’IA pour imiter la voix de proches. « Salut c’est maman, j’ai perdu mon téléphone, tu peux m’envoyer 200€ ? ». Sauf que c’est pas maman.
La parade ? Poser une question que seule la vraie personne peut connaître. Genre « comment s’appelait notre premier chat ? ». Ça peut paraître parano mais ça marche.
Mes outils de protection
J’utilise un gestionnaire de mots de passe. Comme ça, si le site ne propose pas l’auto-complétion, c’est suspect. Le gestionnaire reconnaît seulement les vrais sites.
Double authentification partout où c’est possible. Oui c’est relou. Mais moins que de se faire vider son compte.
Et je vérifie régulièrement si mes données ont fuité. Le site haveibeenpwned.com est top pour ça.
Que faire si on s’est fait avoir ?
Ça m’est arrivé. Deux fois. La honte ? Non. Ça peut arriver à tout le monde.
Premier réflexe : changer tous les mots de passe. En commençant par la boîte mail et la banque.
Ensuite, contacter sa banque si des infos bancaires ont été données. Ils peuvent bloquer la carte immédiatement.
Porter plainte aussi. Même si on récupère rarement l’argent, ça aide les autorités à traquer les réseaux.
La vraie protection contre le phishing, c’est pas un antivirus ou un filtre spam. C’est notre vigilance. Prendre 10 secondes pour vérifier. Se méfier de l’urgence. Ne jamais donner d’infos sensibles par mail ou téléphone.
Le phishing évolue, nos réflexes doivent suivre.