Le phishing : comment fonctionne cette arnaque et pourquoi elle fait encore tant de victimes

Recevoir un mail qui ressemble parfaitement à celui de votre banque ou d’un service comme Google, vous invitant à “sécuriser votre compte” ? Il y a de fortes chances que ce soit une tentative de phishing, ou hameçonnage en français.

Le phishing est aujourd’hui l’une des techniques de cyberattaque les plus répandues, et aussi l’une des plus efficaces. Pourquoi ? Parce qu’elle ne cible pas une faille technique, mais une faille humaine : la confiance.

Dans cet article, on vous explique concrètement comment ces attaques fonctionnent, quelles méthodes sont utilisées par les cybercriminels, et comment vous en protéger efficacement. Et en bonus, on vous explique comment GottaPhish s’attaque à ce problème de manière concrète.

Qu’est-ce que le phishing, exactement ?

Le phishing est une forme d’escroquerie en ligne qui consiste à usurper l’identité d’un tiers de confiance (banque, administration, entreprise, plateforme web...) dans le but de soutirer des informations personnelles ou professionnelles sensibles.

Ces données peuvent ensuite servir à :

• pirater vos comptes,

• voler de l’argent,

• accéder à des informations confidentielles,

• ou propager d'autres attaques dans votre organisation.

Les méthodes les plus utilisées par les cybercriminels

1. La page de connexion factice

La méthode la plus classique : un lien vous mène vers une copie d’un site officiel (comme Dropbox, Google ou Outlook). Vous y entrez vos identifiants sans vous méfier… mais ils sont directement envoyés à l’attaquant.

Cette méthode fonctionne d’autant mieux lorsqu’elle est personnalisée ou ciblée : on parle alors de phishing ciblé ou spear phishing.

2. L’interception en temps réel (attaque "Man-in-the-Middle")

C’est une version bien plus avancée. Ici, l’attaquant place un proxy malveillant entre vous et le site légitime, ce qui lui permet d’intercepter tout ce que vous tapez — y compris les codes temporaires envoyés pour la double authentification (2FA).

Cela permet d’accéder à vos comptes, même s’ils sont bien protégés.

3. Le phishing par SMS (smishing)

Le même principe que le mail piégé… mais par SMS. Le message imite souvent une livraison, un message bancaire, ou un service client. Les gens ont tendance à faire davantage confiance à leur téléphone, ce qui rend cette méthode très efficace.

Les outils utilisés pour mener ces attaques

Il existe aujourd’hui des outils en open source (donc accessibles à tous) qui permettent d’automatiser et de rendre ces attaques plus crédibles que jamais.

Parmi les plus connus :

• Gophish: pour créer et gérer des campagnes de phishing de test.

• Evilginx: pour intercepter les sessions et contourner la 2FA.

• EvilGophish: un combo qui permet des attaques réalistes avec statistiques intégrées.

Un exemple concret : l’attaque d’un compte Dropbox

Dans une démonstration technique, l’entreprise Vaadata a montré comment un compte Dropbox pouvait être compromis de trois façons différentes :

1. Avec une fausse page de connexion créée via Gophish

2. Avec une interception MitM via Evilginx, capturant même le code de 2FA

3. Avec un SMS piégé, combiné à une page clonée et une attaque MitM

À chaque fois, l’accès au compte est total… sans que la victime ne s’en aperçoive.

Comment s’en protéger ?

Il existe heureusement plusieurs façons de se défendre :

Pour les particuliers :

• Toujours vérifier l’adresse web avant de saisir des identifiants

• Ne jamais cliquer sur un lien douteux reçu par mail ou SMS

• Activer la double authentification (2FA), même si elle n’est pas infaillible

• Se méfier des messages trop urgents ou alarmants

Pour les entreprises :

• Sensibiliser régulièrement les équipes

• Simuler des campagnes de phishing en interne

• Mettre en place des protections techniques (SPF, DKIM, DMARC)

• Surveiller les comportements inhabituels

Et GottaPhish dans tout ça ?

Chez GottaPhish, on s’attaque au problème à la source : la sensibilisation.

Nous développons des outils pédagogiques et interactifs pour aider les entreprises à détecter les signaux d’un phishing, tester la vigilance des collaborateurs, et renforcer leur cyber-réflexe face à ces attaques de plus en plus crédibles.

Notre approche est simple : l’utilisateur est la première ligne de défense. Et plus il est entraîné, moins il se fait piéger.

Que ce soit pour tester votre propre sécurité ou former vos équipes à réagir face à des attaques réalistes, GottaPhish vous accompagne avec des solutions sur mesure, adaptées à vos enjeux.

Conclusion

Le phishing n’est pas une menace lointaine : c’est un risque quotidien, aussi bien pour les individus que pour les entreprises. Comprendre comment il fonctionne est déjà un premier pas pour s’en protéger.

Et si vous voulez aller plus loin, former vos équipes et tester votre posture face à ces attaques, GottaPhish est là pour vous aider à passer à l’action.