Ce mail est vrai ou pas ? 14 réflexes contre les arnaques de 2026

Lundi matin, 9h43. Une cliente me transfère un mail avec un seul commentaire : « Important non ?? »

Le mail en question : une alerte de sécurité signée Google, tout en anglais, avec un « Severity: HIGH » bien anxiogène au milieu. Le genre de message qui te laisse hésiter entre tout débrancher et faire comme si de rien n’était.

Elle a fait exactement ce qu’il fallait : rien. Pas de clic, pas de réponse. Elle a demandé à quelqu’un de confiance.

Le twist ? Ce mail-là était authentique. Google la prévenait, en tant que responsable de son nom de domaine, que quelqu’un de son équipe avait signalé un mail frauduleux. Le système avait fonctionné. Mais elle n’avait aucun moyen de le savoir.

Et c’est ça, le vrai problème de 2026 : les vrais messages de sécurité ressemblent à des arnaques, et les arnaques ressemblent à des messages de sécurité. Ton instinct ne suffit plus. Voilà pourquoi, et surtout, voilà quoi faire.

Pourquoi ton instinct ne suffit plus

Tu as peut-être vu passer les gros titres cet été. L’ANTS, l’agence qui gère les cartes grises, les permis et les passeports : 11,7 millions de comptes exposés en avril. Les impôts : 678 000 contribuables touchés, reconnu par la DGFiP le 14 août. Quatre jours plus tard, de faux mails « alerte DGFiP » circulaient déjà, calqués sur la vraie annonce. Même Bloctel, l’ancienne liste anti-démarchage, a fui. La presse spécialisée a résumé la période en un titre : « l’infernal été des fuites » des services de l’État.

Ajoute les fuites privées de ces derniers mois : Free, sanctionné de 42 millions d’euros par la CNIL en janvier pour une fuite de 24 millions de comptes, IBAN compris, puis Bouygues Telecom, SFR cet été, une mutuelle de plus d’un million d’assurés fin août. Résultat, d’après une étude publiée en juillet : 43 millions de comptes français compromis sur le seul premier semestre 2026. Record d’Europe.

Concrètement, qu’est-ce que ça change pour toi ? Tout.

Ces données se revendent, puis servent à fabriquer des messages sur mesure. En juin, des milliers de Français ont reçu la relance d’un abonnement fantôme à 69 euros. Dans le mail : leur vrai nom, leur vraie adresse, leur vrai IBAN. Difficile de ne pas y croire.

Pendant ce temps, l’IA a réglé le dernier détail qui trahissait les escrocs : les fautes d’orthographe ont pratiquement disparu des messages frauduleux.

Autrement dit, tes deux vieux réflexes sont morts :

« Il y a des fautes, c’est louche. » Les arnaques sont désormais mieux écrites que certains vrais courriers.
« Il connaît mon IBAN, c’est forcément vrai. » Ton IBAN est peut-être déjà dans la nature.

Les chiffres officiels racontent la même histoire. En 2025, Cybermalveillance.gouv.fr a traité 504 000 demandes d’aide, en hausse de 20 % sur un an. Le phishing a bondi de 70 %, l’arnaque au faux conseiller bancaire de 159 %. Et la Banque de France a compté 245 millions d’euros détournés « par manipulation » sur le seul premier semestre 2025. Pas par piratage de haut vol : par persuasion. On ne force plus ta serrure, on te convainc d’ouvrir la porte.

Les arnaques qui tournent en ce moment

Avant les réflexes, un tour rapide du paysage. Si tu reçois un de ces messages, tu sauras le nommer :

Le faux conseiller bancaire. Un appel du « service anti-fraude » de ta banque, souvent précédé d’un SMS d’alerte, avec le vrai numéro de ta banque affiché à l’écran. On te fait « annuler » des opérations suspectes qui, en réalité, valident de vrais virements.
Le faux colis. « Votre colis n’a pas pu être livré », 1 à 5 euros de frais à régler. Le vrai but : ta carte bancaire, parfois suivie d’un appel du faux service anti-fraude quelques jours plus tard. Arnaque en deux temps.
La fausse amende. Mail ou SMS de l’« ANTAI » avec menace de majoration. L’agence n’envoie jamais de SMS de paiement, et ses liens finissent toujours en .gouv.fr.
Le faux compte CPF. « Vos droits formation expirent. » La Caisse des Dépôts ne démarche jamais par téléphone : tout appel entrant à ce sujet est une arnaque, par définition.
Le faux support technique. Une page qui bloque ton navigateur, une alarme, un numéro à appeler. Microsoft n’appelle jamais et n’affiche jamais de numéro dans une alerte.
Le faux RIB. Un « fournisseur » annonce par mail un changement de coordonnées bancaires ; les règlements suivants partent chez l’escroc. Version RH : un faux salarié demande à changer son RIB en paie.
La sextorsion. Un mail prétend avoir piraté ta webcam et exige une rançon, parfois envoyé en apparence depuis ta propre adresse. C’est du bluff envoyé en masse : on ne paie pas, on ne répond pas.

Les 14 réflexes de la rentrée 2026

Avant de cliquer

1. Un message qui te presse est un message qui te piège. Payer avant ce soir, colis renvoyé demain, compte suspendu sous 24 heures : l’urgence est l’outil numéro un des escrocs, parce qu’elle court-circuite ta réflexion. Aucune démarche légitime ne meurt en cinq minutes. Prends le temps d’un café avant d’agir.

2. Lis l’adresse, pas le nom. Le nom affiché (« Google », « La Poste », « Service des impôts ») se falsifie en deux clics. Ce qui compte, c’est l’adresse complète de l’expéditeur et son domaine exact : les impôts n’écrivent que depuis dgfip.finances.gouv.fr, les amendes depuis antai.gouv.fr. Un domaine à rallonge, exotique ou à une lettre près : poubelle.

3. Un mail parfait qui te connaît peut être faux. Ton nom, ton adresse, ton IBAN, ta plaque d’immatriculation : tout cela circule après les fuites. Un message impeccable qui cite tes vraies informations ne prouve plus rien. Juge la demande, pas la politesse du message.

4. Ne te connecte jamais via un lien reçu. Banque, impôts, Ameli, suivi de colis : toujours l’application officielle, ou l’adresse tapée à la main dans le navigateur. Un QR code est un lien comme un autre, même règle : on en colle des faux sur les bornes de recharge, les parcmètres et les pare-brise.

Au téléphone

5. Raccroche, et rappelle toi-même. Le numéro qui s’affiche peut être falsifié ; cette usurpation a explosé de 517 % en 2025. « Ta banque » t’appelle pour une opération suspecte ? Tu raccroches, tu rappelles le numéro au dos de ta carte. Ce réflexe neutralise à lui seul l’arnaque au faux conseiller bancaire, la plus coûteuse du moment. Attention aussi aux numéros « d’opposition » trouvés en tête de Google : passe toujours par le site officiel de ta banque.

6. Un code reçu par SMS ne se donne jamais. Et on ne valide jamais une opération dans son appli parce qu’une voix au téléphone le demande, même rassurante, même qui connaît ton nom. Aucune banque ne procède comme ça. Celui qui insiste vient de se démasquer.

7. Depuis le 11 août, raccrocher est ton droit absolu. Le démarchage téléphonique sans ton consentement est désormais interdit, tous secteurs confondus. Un appel commercial que tu n’as pas sollicité (CPF, énergie, placements, « Google ») est donc illégal ou frauduleux. Dans les deux cas, la réponse est la même : tu raccroches, sans remords.

8. L’écran qui hurle au virus ment. Une page qui bloque ton navigateur avec une alarme et un numéro à appeler, c’est du théâtre. Ferme le navigateur (par le gestionnaire de tâches s’il le faut) et ne laisse jamais personne prendre la main sur ton ordinateur à distance.

Ton argent, ta boîte mail : le volet pro

9. Changement de RIB = coup de fil obligatoire. Un fournisseur qui annonce de nouvelles coordonnées bancaires par mail, un salarié qui demande à changer son RIB : tu vérifies de vive voix, au numéro que tu connaissais déjà, jamais à celui écrit dans le mail. Et depuis octobre 2025, ta banque vérifie que le nom du bénéficiaire correspond à l’IBAN avant un virement : si elle affiche une alerte, écoute-la.

10. Ta boîte mail est la clé de toutes les autres. Qui contrôle ta boîte mail peut réinitialiser tes mots de passe, lire tes factures et écrire à tes clients en ton nom. C’est d’ailleurs la première menace visant les professionnels. Active la double authentification dessus en priorité, puis partout ailleurs. Et adopte un gestionnaire de mots de passe : un mot de passe unique par compte, sans effort de mémoire.

11. Mets à jour, sauvegarde à part. Les mises à jour bouchent les trous connus ; une sauvegarde déconnectée est le filet quand tout le reste a raté. Ça paraît basique ? Près d’une victime de rançongiciel sur deux accompagnée par l’ANSSI est une TPE ou une PME.

Dans le doute, et si c’est trop tard

12. Le doute suffit. Tu n’as pas à prouver qu’un message est une arnaque pour l’ignorer. Pas sûr ? Tu ne cliques pas, tu ne réponds pas, tu vérifies par le canal officiel. Ou tu demandes à quelqu’un dont c’est le métier.

13. Si tu as cliqué ou payé, tout n’est pas perdu. Opposition immédiate auprès de ta banque, changement des mots de passe concernés, captures d’écran pour garder les preuves. Et retiens ceci : le remboursement d’une opération que tu n’as pas autorisée est un droit (article L.133-18 du Code monétaire et financier), et la jurisprudence récente protège de mieux en mieux les victimes de ces manipulations. Ne laisse personne te faire porter le chapeau.

14. Signale : ça protège tout le monde. Chaque signalement alimente les filtres et les enquêtes. Le bouton « Signaler comme hameçonnage » de ta messagerie sert vraiment : c’est ce signalement, fait par l’équipe de ma cliente, qui avait déclenché l’alerte de lundi matin. La boucle est bouclée.

Les bons contacts à garder sous la main

17cyber.gouv.fr : le guichet unique. Diagnostic en ligne 24h/24, conseils personnalisés et mise en relation avec un policier ou un gendarme, pour les particuliers comme pour les entreprises.
33700 : transfère-lui tout SMS frauduleux, il est transmis aux opérateurs.
Signal Spam : pour signaler les mails frauduleux.
THESEE (sur service-public.fr) : plainte en ligne pour les escroqueries sur internet.
Perceval (sur service-public.fr) : fraude à la carte bancaire quand tu as toujours ta carte, après opposition.
0 805 805 817 : le numéro vert de la DGFiP en cas de doute sur un message des impôts.

Questions fréquentes

Comment vérifier si un mail est vrai ? Regarde l’adresse complète de l’expéditeur (pas le nom affiché), survole les liens sans cliquer, et surtout ne réponds jamais dans l’urgence. En cas de doute, passe par le canal officiel : l’application ou le site tapé à la main, jamais le lien du mail. Et si le doute persiste, demande à quelqu’un de confiance avant d’agir.

J’ai cliqué sur un lien frauduleux, c’est grave ? Si tu n’as rien saisi ensuite, le risque est limité : ne télécharge rien, ferme la page, lance une analyse antivirus et reste vigilant. Si tu as saisi un mot de passe, change-le immédiatement (et partout où tu l’utilisais). Si tu as saisi des données bancaires, fais opposition sans attendre.

Ma banque doit-elle me rembourser en cas de fraude ? Pour une opération que tu n’as pas autorisée, le remboursement est un droit prévu par le Code monétaire et financier, à condition de la signaler sans tarder (au plus tard 13 mois). Les banques opposent parfois la « négligence grave », mais la jurisprudence récente est de plus en plus favorable aux victimes d’appels usurpant le numéro de la banque.

Un mail qui contient mon IBAN est-il forcément légitime ? Non, plus maintenant. Des millions d’IBAN français circulent à la suite des fuites de données de ces deux dernières années, et des campagnes de phishing les affichent pour crédibiliser de fausses factures ou de faux abonnements. L’IBAN ne prouve rien : seule la vérification par le canal officiel compte.

Le 15e réflexe

Si tu es client de l’agence, tu le connais déjà : au moindre doute sur un mail, un SMS ou un appel, tu me le transfères, et je te dis si c’est du vrai ou du toc. Je préfère mille fois répondre « fausse alerte » que t’aider à ramasser les morceaux après.

Et si on ne travaille pas encore ensemble, le réflexe existe aussi en version publique : 17cyber.gouv.fr, ou écris-moi pour mettre de l’ordre dans la sécurité de ta boîte mail et de tes outils.

Sources : rapport d’activité 2025 de Cybermalveillance.gouv.fr (mars 2026), note de l’Observatoire de la sécurité des moyens de paiement, Banque de France (janvier 2026), sanction CNIL Free et sanction CNIL France Travail (janvier 2026), panorama de la cybermenace 2025 de l’ANSSI (mars 2026), communiqués du ministère de l’Intérieur et de la DGFiP relayés par franceinfo (avril et août 2026).