⏱ L’essentiel en 30 secondes
- Chaque technique d’hameçonnage porte un nom précis, formé sur le canal utilisé : SMS → smishing, appel vocal → vishing, QR code → quishing, cible haut placée → whaling.
- Vous cherchez le nom exact d’une technique (exercice PIX, quiz de sensibilisation) ? Le tableau de correspondance plus bas donne la réponse en une ligne.
- En entreprise, trois techniques concentrent l’essentiel des pertes : le spear phishing, le whaling et le smishing. Un diagnostic offert vous dit lesquelles vous exposent réellement.
« Hameçonnage » est un mot-valise. Derrière, une dizaine de techniques distinctes, qui se différencient par le canal employé, la cible visée et le degré de personnalisation. Savoir les nommer n’est pas un exercice de vocabulaire gratuit : c’est ce qui permet de dire précisément ce qui vous est arrivé à votre banque, à votre assureur ou à un service de police — et, en entreprise, de savoir quelle défense déployer contre quoi.
Le tableau de correspondance : comment s’appelle chaque technique
Repérez le canal ou le mode opératoire dans la colonne de gauche : le nom exact de la technique est en face.
| Le message arrive par… | Nom de la technique | Terme français | Cible typique |
|---|---|---|---|
| Un e-mail envoyé en masse | Phishing | Hameçonnage | Tout le monde |
| Un e-mail personnalisé, qui vous connaît | Spear phishing | Harponnage | Un salarié identifié |
| Un e-mail visant un dirigeant ou un DAF | Whaling | Chasse à la baleine | Direction, comptabilité |
| Un SMS | Smishing | Hameçonnage par SMS | Particuliers, salariés |
| Un appel téléphonique | Vishing | Hameçonnage vocal | Particuliers, comptabilité |
| Un QR code (affiche, facture, parcmètre) | Quishing | Hameçonnage par QR code | Tout le monde |
| Un site copié à l’identique, sans message | Pharming | Dévoiement | Clients d’une marque |
| Un vrai message légitime, renvoyé modifié | Clone phishing | Hameçonnage par clonage | Correspondants habituels |
| Un faux compte de support sur les réseaux sociaux | Angler phishing | Hameçonnage social | Clients mécontents |
| Une voix ou une visio imitée par IA | Deepfake phishing | Hameçonnage par hypertrucage | Direction, trésorerie |
💡 La règle de formation des mots : presque tous ces termes sont construits sur fishing (« pêche ») auquel on accole l’initiale du canal — SMS + ishing = smishing, voice + ishing = vishing, QR + ishing = quishing. Une fois la logique repérée, les noms se retrouvent seuls. Pour l’origine du mot lui-même, voir notre glossaire de l’hameçonnage.
Vos équipes savent-elles les reconnaître ?
Le diagnostic teste votre exposition réelle à ces techniques.
Les 10 techniques en détail
1. Le phishing de masse
La forme historique : un e-mail identique envoyé à des dizaines de milliers d’adresses, usurpant une marque connue — banque, impôts, opérateur, service de livraison. Le taux de réussite unitaire est faible, le volume compense. Signes distinctifs : formule d’appel générique, urgence artificielle, lien vers un domaine approchant. C’est la seule technique où l’orthographe reste un indice fiable.
2. Le spear phishing (harponnage)
Le message est écrit pour vous : votre prénom, votre fonction, le nom de votre supérieur, un dossier en cours. Les informations proviennent de LinkedIn, du site de l’entreprise ou d’une fuite antérieure. Aucune faute, aucun signal grossier. C’est la technique qui ouvre la majorité des intrusions en entreprise, parce qu’elle survit aux filtres et à la vigilance ordinaire.
3. Le whaling (chasse à la baleine)
Du spear phishing dont la cible est un dirigeant, un DAF ou un responsable comptable — quelqu’un qui peut ordonner un virement seul. En France, sa déclinaison la plus coûteuse est l’arnaque au président, qui se joue souvent en fin de semaine ou en période de congés, quand la double validation saute.
4. Le smishing (SMS)
Faux SMS de colis, d’amende, de compte CPF ou de banque. Le canal est redoutable : pas de survol de lien possible, notifications lues en quelques secondes, et les SMS frauduleux peuvent s’insérer dans le fil de conversation officiel de votre banque. Détail complet dans notre page hameçonnage par SMS.
5. Le vishing (voix)
Un appel, souvent depuis un numéro affiché comme celui de votre banque — l’affichage est falsifiable, c’est le spoofing téléphonique. L’interlocuteur connaît vos dernières opérations et vous demande de « sécuriser » votre compte. La pression temporelle est la signature de la technique : un conseiller réel accepte toujours que vous rappeliez.
6. Le quishing (QR code)
Un QR code frauduleux collé sur un parcmètre, une borne de recharge, une affiche, ou glissé dans un PDF de facture. Il échappe aux filtres antispam, qui n’analysent pas les images, et l’URL n’est visible qu’après le scan. En entreprise, la variante la plus efficace est le faux QR code de connexion à un service interne.
7. Le pharming (dévoiement)
Ici, aucun message : la victime tape elle-même la bonne adresse mais atterrit sur une copie, à cause d’une corruption DNS ou d’un poste compromis. Plus rare et plus technique, mais quasi indétectable pour l’utilisateur — d’où l’importance du cadenas et du nom exact du domaine dans la barre d’adresse.
8. Le clone phishing
L’attaquant reprend un vrai message que vous avez déjà reçu, remplace la pièce jointe ou le lien, et le renvoie en « rappel » ou « version corrigée ». Comme le fil de discussion est authentique, la vigilance tombe. Fréquent après une compromission de boîte mail chez un fournisseur.
9. L’angler phishing (réseaux sociaux)
Vous vous plaignez publiquement d’une marque ; un faux compte « support » vous répond en message privé et vous demande vos identifiants pour « traiter le dossier ». La technique exploite le fait qu’un client mécontent baisse sa garde dès qu’on lui propose une solution rapide.
10. Le deepfake phishing
La voix d’un dirigeant clonée à partir de quelques secondes d’enregistrement public, parfois une visioconférence entière avec des participants synthétiques. C’est aujourd’hui la variante la plus difficile à contrer par la vigilance humaine — seule une procédure de rappel sur un numéro connu résiste. Notre analyse : phishing, IA et deepfake vocal.
Quels signaux d’alerte selon le canal
Les réflexes utiles ne sont pas les mêmes d’un canal à l’autre. Ce tableau donne le contrôle qui fonctionne réellement pour chaque technique.
| Canal | Signal d’alerte le plus fiable | Le bon réflexe |
|---|---|---|
| Le domaine réel derrière le lien, et l’adresse d’expédition complète | Survoler le lien sans cliquer, déplier l’expéditeur | |
| SMS | Un lien raccourci ou un domaine qui n’est pas celui de la marque | Ne jamais cliquer, ouvrir l’application officielle |
| Appel | L’urgence et la demande de code reçu par SMS | Raccrocher et rappeler le numéro figurant au dos de la carte |
| QR code | Un autocollant apposé par-dessus le support d’origine | Lire l’URL affichée avant validation, préférer la saisie manuelle |
| Réseaux sociaux | Un compte support sans certification qui écrit en premier | Passer par le site officiel, jamais par le message privé |
| Visio / voix | Une demande de paiement sortant du circuit habituel | Rappeler sur un numéro connu, appliquer la double validation |
Reconnaissez-vous la technique ? Le test en 6 questions
Chaque situation correspond à une technique précise. Cochez celles que vous sauriez nommer sans hésiter.
En entreprise : les trois techniques qui coûtent le plus cher
Sources : ANSSI, Panorama de la cybermenace 2025 · Cybermalveillance.gouv.fr, rapport d’activité 2024.
Sur les dix techniques listées, trois concentrent l’essentiel des pertes en PME. Le spear phishing, parce qu’il sert de porte d’entrée à la quasi-totalité des intrusions et des rançongiciels. Le whaling, parce qu’un seul virement frauduleux dépasse souvent le budget sécurité annuel. Le smishing, parce que le smartphone échappe aux protections du réseau d’entreprise.
Deux mesures couvrent les trois : une procédure de double validation des paiements qui ne dépend jamais d’un seul canal, et une sensibilisation régulière des équipes qui met en scène ces techniques plutôt que d’énoncer des règles abstraites.
✅ Vous avez reçu un message frauduleux ? Signalez-le : c’est rapide et ça protège les suivants. Notre mode d’emploi : signaler un phishing. Si vous avez déjà cliqué ou saisi des données, suivez d’abord les gestes d’urgence détaillés dans notre guide phishing et hameçonnage.
Quelles techniques visent réellement votre entreprise ?
Un diagnostic offert passe en revue votre exposition : filtrage des messages, procédure de validation des paiements, sensibilisation des équipes, sécurité des mobiles. Vous repartez avec un plan d’action priorisé. Réalisé par Phosphorus Technologies, dans le Var.
Demander mon diagnostic offert
TPE & PME · Réponse sous 24 h ouvrées · Var / PACA & toute la France à distance