Anatomie d’une campagne de phishing en 5 étapes

Le phishing n’a rien d’improvisé. C’est un processus structuré que les cybercriminels répètent à grande échelle. Voici son déroulé complet, de la préparation au vol effectif.

1. 1. La collecte de ciblesL’attaquant constitue une liste d’adresses e-mail ou de numéros. En 2025, ces listes proviennent massivement des fuites de données (violations chez des grands opérateurs), ce qui rend les messages plus crédibles car personnalisés.
2. 2. La préparation de l’appâtLe pirate choisit une identité de confiance à usurper (banque, transporteur, Microsoft, administration) et rédige un message jouant sur l’urgence ou la peur. Les campagnes générées par IA sont désormais quasi indiscernables des vrais e-mails.
3. 3. Le lancement de l’hameçonLe message est envoyé en masse ou de façon ciblée (spear phishing). Il contient un lien piégé ou une pièce jointe malveillante. Le domaine d’envoi imite la marque (typosquatting).
4. 4. La capture des donnéesLa victime clique et atterrit sur une fausse page de connexion, copie conforme du site officiel. Chaque identifiant saisi est instantanément transmis à l’attaquant. C’est le moment décisif du vol.
5. 5. L’exploitationLes identifiants volés servent à vider un compte, envoyer d’autres phishings depuis la messagerie compromise, déclencher un virement frauduleux ou installer un rançongiciel. Les données sont parfois revendues sur des marchés clandestins.

Ce que voit la victime vs ce qui se passe côté attaquant

Le phishing : comment ça marche et comment s’en protéger

Le phishing est aujourd’hui l’une des principales portes d’entrée des cyberattaques contre les entreprises françaises. Derrière ce mot anglais se cache une mécanique redoutablement efficace : l’attaquant n’a pas besoin de « pirater » votre système informatique au sens technique du terme. Il lui suffit de vous tromper. Comprendre comment fonctionne concrètement une attaque de phishing, étape par étape, c’est déjà se donner les moyens de la déjouer. C’est précisément l’objet de cet article — pour aller plus loin sur les variantes et les tendances, consultez notre guide complet phishing et hameçonnage.

Qu’est-ce que le phishing, au fond ?

Le terme « phishing » est une déformation du mot anglais fishing (pêcher) : l’attaquant jette un appât et attend que la victime morde. En français, l’Académie recommande le terme hameçonnage, mais les deux désignent la même réalité. L’objectif est toujours identique : amener une personne à divulguer volontairement des informations confidentielles — identifiants, mots de passe, coordonnées bancaires, données clients — en lui faisant croire qu’elle interagit avec une entité légitime (sa banque, un opérateur, un partenaire commercial, un collègue).

Ce qui rend le phishing particulièrement dangereux, c’est qu’il exploite la psychologie humaine, pas une faille logicielle. Aucun antivirus ne peut bloquer une erreur de jugement — d’où l’importance de former les collaborateurs et de comprendre le mécanisme de l’intérieur.

Étape 1 — La préparation de l’appât

Toute attaque de phishing commence par une phase de reconnaissance et de préparation. L’attaquant choisit d’abord sa cible : une entreprise, un secteur, parfois une personne précise (on parle alors de spear phishing). Il collecte des informations publiques — site web de l’entreprise, noms des dirigeants sur LinkedIn, adresses e-mail professionnelles, logos et chartes graphiques.

Il rédige ensuite le message d’appât. Ce message imite le ton et le style d’un organisme de confiance : la Direction Générale des Finances Publiques, un grand opérateur de téléphonie, votre banque, ou même le PDG de votre propre société. Le contenu joue sur des leviers psychologiques précis :

Étape 2 — L’usurpation d’identité visuelle et technique

L’appât ne vaut rien sans une usurpation crédible. À ce stade, l’attaquant construit l’illusion de légitimité sur deux plans.

Sur le plan visuel : le logo, les couleurs, la police, le pied de page de l’e-mail sont copiés à l’identique depuis les vraies communications de l’organisme imité. Un e-mail imitant votre banque sera quasi indiscernable de l’original pour un œil non averti.

Sur le plan technique : l’adresse d’expédition est manipulée. Techniques courantes : le spoofing (falsification de l’en-tête « From »), l’utilisation d’un domaine typosquatté très proche du vrai (ameli-sante.fr au lieu de ameli.fr, creditagricol.com au lieu de credit-agricole.fr), ou la création d’un sous-domaine trompeur (client.banque-securite-verification.com). Ces domaines sont enregistrés quelques jours avant l’envoi, spécifiquement pour l’attaque.

Étape 3 — La page piège (fausse page de connexion)

Le message contient un lien cliquable — ou un bouton d’action — qui redirige la victime vers une page Web frauduleuse. Cette page est l’élément central du dispositif : elle reproduit à l’identique l’interface de connexion de la banque, du service administratif ou de l’outil professionnel imité.

L’adresse URL de cette page est conçue pour paraître rassurante au premier coup d’œil : elle peut contenir le nom de la marque usurpée, et dispose parfois d’un certificat SSL valide (le fameux cadenas et le « https »). Ce détail surprend souvent : oui, une page de phishing peut afficher « https ». Le certificat SSL garantit uniquement que la connexion est chiffrée en transit — pas que le site est honnête ni légitime.

Étape 4 — La collecte et l’exploitation des données volées

La victime, convaincue d’être sur le vrai site, saisit ses identifiants, son mot de passe, son numéro de carte bancaire ou tout autre donnée demandée. Ces informations sont transmises en temps réel vers un serveur contrôlé par l’attaquant, souvent hébergé dans un pays où la coopération judiciaire est difficile.

Deux scénarios d’exploitation s’enchaînent alors. Le premier est l’exploitation immédiate : l’attaquant se connecte instantanément au vrai compte de la victime avec les identifiants volés, réalise un virement, passe une commande frauduleuse, ou exfiltre des données clients. Dans les attaques contre des entreprises, ce délai peut être inférieur à quelques minutes après la saisie.

Le second scénario est la revente sur des marchés clandestins : les données collectées sont agrégées et revendues à d’autres cybercriminels. Un lot d’identifiants d’entreprise — adresse e-mail professionnelle, mot de passe d’un ERP ou d’un accès VPN — peut atteindre des prix élevés, car il ouvre la porte à des attaques de plus grande ampleur comme un ransomware ou une fraude au virement bancaire international.

Comment reconnaître un e-mail de phishing ?

Maintenant que vous connaissez le mécanisme, voici les signaux d’alerte concrets à repérer avant tout clic :

Comment casser la chaîne du phishing

La bonne nouvelle : il suffit de briser une seule étape pour faire échouer toute la campagne. Les mesures les plus efficaces :

• Ne jamais cliquer dans l’urgence : survolez les liens et vérifiez l’adresse réelle de l’expéditeur.
• Activer la double authentification (MFA) : même volé, un mot de passe seul ne suffit plus.
• Vérifier tout changement de RIB par un second canal (appel sur un numéro connu).
• Filtrer les e-mails et authentifier votre domaine (SPF, DKIM, DMARC).
• Sensibiliser les équipes régulièrement — voir notre page sensibilisation cybersécurité.

FAQ — Vos questions sur le fonctionnement du phishing

Pour aller plus loin : le guide complet du phishing, la définition et les types, ou votre diagnostic cybersécurité offert.