« Bonjour, je suis votre banque. Confirmez ce virement par SMS. » La voix au téléphone est parfaite. Le numéro affiché est celui de votre agence. Sauf que personne n'appelle de votre agence. C'est ce qui m'est arrivé l'hiver dernier, et je suis censé savoir reconnaître une arnaque.
J'ai raccroché au bout de quarante secondes, mais j'ai passé la soirée à me demander ce qui m'avait mis la puce à l'oreille : le type ne m'a jamais demandé mon mot de passe, jamais un code. Il voulait juste que je valide une opération. C'est là que j'ai compris à quel point les règles qu'on rabâche depuis dix ans ne couvrent plus le terrain de 2026. Naviguer sur internet en toute sécurité ne consiste plus à éviter les liens bizarres : ça consiste à accepter que tout ce qui vous arrive peut être faux.
Voici ce que j'applique réellement, ce que j'ai testé, et ce qui ne marche pas.
Points clés à retenir
- Le maillon faible reste le navigateur mal mis à jour : c'est par là que passe la grande majorité des infections silencieuses.
- Un gestionnaire de mots de passe fait plus pour vous qu'un antivirus payant, pour un coût proche de zéro.
- La double authentification par SMS est en net recul face au vol de numéro ; préférez une application ou une clé physique.
- Les arnaques de 2026 ne cassent plus rien : elles vous font valider un paiement vous-même.
- En cas d'incident, les premières heures comptent plus que la déclaration faite trois jours plus tard.
Sécurité de la navigation en 2026 : ce qui a vraiment changé
Le décor n'a pas bougé d'un pouce. Vous avez toujours un navigateur, des onglets, des formulaires. Ce qui a bougé, c'est le coût de la supercherie. Faire un faux site de banque crédible demandait avant une journée de travail à un développeur ; aujourd'hui, un texte bien formulé et une capture d'écran suffisent à produire une page qui trompe neuf personnes sur dix.
L'arnaque n'est plus technique, elle est psychologique
J'ai longtemps cru que le danger venait d'un fichier téléchargé par erreur. Sur mon propre poste, j'ai passé trois mois à surveiller les téléchargements avant de comprendre que mes deux incidents réels n'avaient rien à voir avec ça. Le premier : un faux message d'un transporteur me demandant de payer « les frais de douane » d'un colis de 4,90 €. Le second : un faux espace client qui m'a fait saisir mes identifiants. Zéro malware dans les deux cas. Juste moi qui ai cliqué et qui ai validé.
Le problème ? Ces attaques ne laissent aucune trace technique. Votre antivirus est silencieux, votre système est propre, et pourtant vos accès sont déjà revendus.
L'IA générative a nivelé la crédibilité par le bas
Une faute d'orthographe dans un mail suspect, c'était le signal d'alarme. Ce signal a disparu. Les faux sites générés en série tiennent la route visuellement, les messages sont bien écrits, et les voix clonées sont reconnaissables seulement si vous connaissez bien la personne.
Concrètement, voici les vérifications que je fais systématiquement maintenant, et que je ne faisais pas il y a deux ans :
- Je regarde l'adresse du site, jamais le design. Un site peut être magnifique et hébergé sur banque-secure-client.info.
- Je ne valide jamais une opération à la suite d'un appel entrant. Jamais. Je raccroche et je rappelle le numéro que je connais.
- Un message qui crée l'urgence (« sous 24 h », « dernier rappel ») passe automatiquement en quarantaine mentale.
- Je vérifie l'expéditeur réel d'un mail en affichant l'en-tête, pas seulement le nom affiché.
Les règles de base qui rapportent le plus, dans l'ordre
Si vous ne devez retenir qu'un classement de priorités, c'est celui-ci. Il est établi par le rapport effort/bénéfice, pas par la mode.
| Pratique | Effort | Ce que ça bloque réellement |
|---|---|---|
| Navigateur à jour, mises à jour automatiques | 5 minutes, une fois | La majorité des infections silencieuses |
| Gestionnaire de mots de passe | 1 heure de configuration | Le bourrage d'identifiants sur tous vos comptes |
| Double authentification par application | 10 minutes par compte | Le vol d'identifiants déjà sur le marché |
| Bloqueur de publicités et de traqueurs | 2 minutes | Les faux boutons « télécharger » et les redirections |
| VPN sur réseau public | Variable | L'interception sur Wi-Fi ouvert |
Mettre à jour son navigateur, sans y penser
C'est la corvée que tout le monde saute et c'est pourtant le meilleur retour sur investissement. Un navigateur en retard d'une version majeure, c'est une porte laissée ouverte sur des failles déjà publiques. Activez la mise à jour automatique, redémarrez quand on vous le propose, et vérifiez une fois par mois que rien n'a été désactivé en douce.
Le gestionnaire de mots de passe n'est pas un luxe
J'ai tenu des années avec une méthode de mémorisation maison et une feuille de calcul chiffrée. Mauvaise idée, confirmée par l'expérience : un mot de passe unique réutilisé sur six sites, c'est six fuites potentielles pour un seul vol. Depuis que j'utilise un gestionnaire, je ne connais plus aucun de mes mots de passe, sauf celui du coffre. C'est inconfortable deux jours, puis on ne revient pas en arrière.
La double authentification : préférez l'application au SMS
Le SMS reste mieux que rien. Mais l'interception de code par usurpation de numéro est devenue courante, et le code envoyé par message est le premier maillon visé. Une application d'authentification, ou mieux, une clé physique pour vos comptes critiques (boîte mail principale, banque), change complètement la donne.
Les questions qu'on me pose le plus souvent
Que faire quand le navigateur affiche « avertissement de menace potentielle » ?
Ne forcez pas le passage. Cet écran apparaît quand le navigateur a identifié le site comme hébergeant du contenu malveillant ou du hameçonnage, souvent parce que le site légitime a été compromis sans que son propriétaire le sache. Revenez en arrière, fermez l'onglet, et si vous teniez absolument à ce site, cherchez-le à nouveau depuis un moteur de recherche plutôt que de cliquer sur « ignorer et continuer ». Forcer l'accès est exactement le geste que l'attaquant espère.
La navigation sécurisée de Google est-elle gratuite ?
Oui, la protection contre les sites dangereux intégrée aux navigateurs grand public ne coûte rien et s'active par défaut. Elle compare les adresses visitées à une liste de sites signalés et vous alerte avant le chargement. Ce n'est pas une protection complète — elle ne détecte pas une arnaque par téléphone, ni un faux site créé il y a trois heures — mais c'est un filet gratuit qu'il serait absurde de désactiver.
Et en entreprise, ces bonnes pratiques suffisent-elles ?
Non, et c'est un piège classique. À titre individuel, les règles ci-dessus couvrent l'essentiel de vos risques personnels. En entreprise, la surface d'attaque change : partage de fichiers, comptes partagés, appareils non maîtrisés. Les principes restent (moindre privilège, double authentification, mises à jour), mais ils doivent être appliqués par la structure, pas laissés à la discipline de chacun. J'ai vu une PME perdre l'accès à son serveur de fichiers parce qu'un stagiaire utilisait le même mot de passe pour sa boîte perso et son compte pro.
Que faire dans les premières heures après une compromission
Le réflexe de la plupart des gens : changer le mot de passe et espérer. C'est insuffisant, et c'est souvent trop tard. L'ordre des opérations compte.
- Déconnectez le compte touché de tous les appareils, y compris ceux que vous ne reconnaissez pas.
- Changez le mot de passe depuis un appareil sain, jamais depuis la session suspecte.
- Vérifiez les règles de transfert et les adresses de récupération de votre boîte mail — c'est là que les attaquants se cachent le plus longtemps.
- Prévenez votre banque immédiatement si un moyen de paiement a été saisi. Un gel posé dans l'heure évite souvent le pire, un gel posé le lendemain beaucoup moins.
- Signalez l'incident sur la plateforme publique d'assistance aux victimes de cybermalveillance, et déposez plainte si le préjudice est réel.
J'ai fait cette séquence une fois, en urgence, un dimanche soir. Quarante minutes. Le plus long n'a pas été technique : c'était de retrouver la liste des services où j'avais utilisé ce mail. Depuis, j'ai une liste écrite. Elle m'a servi deux fois.
Ce qui ne sert à rien (et qu'on vous vend quand même)
Avouons-le, j'ai acheté une suite de sécurité « tout-en-un » pendant deux ans. Coût : environ 80 € par an. Bénéfice mesurable : aucun que je puisse identifier. Les infections que j'ai réellement subies sont passées à côté sans un mot. Ce n'est pas que ces outils soient inutiles en soi, c'est qu'ils protègent contre une catégorie d'attaques de moins en moins utilisée, alors que le vrai danger est un formulaire bien imité.
Trois choses que je ne ferai plus :
- Payer pour un VPN « militaire » dont je ne peux pas vérifier les journaux.
- Me fier à une extension de navigateur qui demande l'accès à toutes mes données de navigation, sans exception.
- Considérer le mode privé comme une protection. Il efface l'historique local, il ne vous cache de personne.
La sécurité en ligne en 2026 tient à un renversement désagréable : on ne protège plus un système contre des intrus, on protège une décision contre une mise en scène. Le logiciel est à jour, le certificat est valide, la page est propre. C'est vous qu'on manipule.
Alors la vraie question n'est peut-être pas « quelles règles appliquer », mais : quel geste accepteriez-vous de faire deux fois plus lentement, chaque jour, pour ne plus jamais valider un paiement que vous n'avez pas décidé ?
