Site miroir, faux support ou phishing
Reconnaître une adresse ou un message suspect, préserver les éléments utiles et sécuriser ses accès sans retourner sur la page risquée.
Mis à jour le 12 août 2026
Un faux site peut copier une vraie marque
Le statut d’un opérateur ne protège pas contre l’imitation de son nom, de ses couleurs ou de son service client. La question n’est donc pas « cette marque existe-t-elle ? », mais « suis-je sur le domaine exact que la source officielle relie à cette marque ? ».
Les signaux utiles comprennent un suffixe différent, un caractère ajouté, une pression pour agir, une demande de code, un changement soudain de coordonnées ou un contact initié depuis un compte social. Aucun signal isolé n’attribue une fraude ; plusieurs signaux justifient néanmoins d’arrêter la saisie et de sécuriser les accès.
Les réflexes immédiats
- Ne cliquez plus et ne répondez pas au message.
- Depuis un appareil sûr, changez le mot de passe du compte concerné et de la messagerie s’ils sont réutilisés ou compromis.
- Contactez l’opérateur depuis le domaine ANJ, pas avec les coordonnées du message.
- Si des données bancaires ont été données, appelez la banque par son numéro officiel.
- Conservez l’URL, l’expéditeur, l’heure et, pour un courriel, les en-têtes.
Ce qu’il faut conserver
| Élément | Pourquoi | Précaution |
|---|---|---|
| URL complète | Identifier le domaine et le chemin | Copier sans rouvrir le lien |
| Message original | Préserver expéditeur, date et contenu | Ne pas transférer de pièce active |
| En-têtes du courriel | Documenter le routage technique | Les conserver en fichier |
| Capture | Montrer l’apparence et la barre d’adresse | Masquer les données personnelles |
| Actions déjà faites | Guider banque et support | Être exact, sans minimiser |
Choisir le signalement
La CNIL explique comment détecter et traiter un message de phishing. Pour un contenu internet potentiellement illicite, la route officielle est PHAROS. Pour un problème de consommation, SignalConso répond à une autre mission. Un débit non autorisé exige d’abord la banque puis, si les conditions sont réunies, Perceval.
Ne diffusez pas publiquement le lien pour « prévenir » sans précaution : cela peut exposer d’autres personnes. Transmettez-le au service compétent et à l’opérateur imité, dans un format qui n’oblige pas le destinataire à cliquer.
Faux support : la demande impossible
Un conseiller légitime n’a pas besoin de votre mot de passe ou d’un code à usage unique. Il ne doit pas demander le numéro complet de la carte par message. Une demande de prise de contrôle à distance, un portefeuille de crypto-actifs ou un paiement destiné à « débloquer » un retrait doit provoquer une pause et une nouvelle vérification indépendante.
Raccrochez ou quittez la conversation, puis contactez le support à partir de l’annuaire ANJ ou du domaine vérifié. Mentionnez le canal, le pseudonyme, l’heure et la demande reçue, sans renvoyer des secrets déjà compromis.
Questions fréquentes
Le cadenas signifie-t-il que le site est officiel ?
Non. Il chiffre la connexion au domaine affiché. Il faut encore vérifier que ce domaine correspond à la source ANJ.
Dois-je retourner sur la page pour faire une capture ?
Pas si cela vous expose. L’historique, le message et l’URL copiée peuvent suffire. Un service compétent décidera des vérifications techniques.
J’ai donné un code, que faire ?
Changez les accès depuis un appareil sûr, contactez immédiatement la banque si un paiement est possible et avertissez le service officiel concerné.
Puis-je accuser le domaine publiquement ?
Préservez et signalez d’abord les faits. Une attribution publique demande une vérification plus large et peut exposer vos données ou celles de tiers.