Deux Françaises visées, un demi-million de demandes d'aide en 2025: ce que révèlent vraiment les chiffres de la cybermalveillance.
Un message, un doute, un clic qui n'a jamais eu lieu: c'est parfois tout ce qui sépare une victime d'une statistique.
Marguerite, ou la précision qui a failli tromper
Marguerite vient de lancer sa petite entreprise de cosmétiques. Une activité individuelle, une communauté de plus de deux mille abonnés sur Facebook et Instagram, patiemment construite autour de ses seuls produits - jamais un mot en dehors de la marque. Trois jours avant de nous parler, elle avait démarré sa toute première campagne publicitaire payante sur Facebook pour faire connaître ses créations.
C'est précisément à ce moment qu'arrive le message. Une facture impayée, disait-il en substance, liée à sa campagne en cours - il suffisait de cliquer sur un lien pour régulariser le paiement. L'apparence était parfaite: logo, mise en page, ton professionnel. Il aurait fallu regarder de très près l'adresse de l'expéditeur pour remarquer une suite de caractères interminable et incompréhensible, le genre de détail qu'une recherche approfondie ne permettrait pas de retracer facilement.
Marguerite raconte avoir été à deux doigts de cliquer. Ce qui l'a arrêtée n'est pas un réflexe de méfiance générale, mais une coïncidence: elle savait, avec certitude, qu'elle venait tout juste de lancer cette campagne, et le message reproduisait cette réalité avec une précision troublante. "J'ai eu de la chance de ne pas être tombée dans le piège", confie-t-elle, encore marquée par la scène. Elle a depuis pris l'habitude d'hésiter avant chaque paiement en ligne, même lorsqu'elle en est certaine, par peur de regretter toute sa vie une décision prise trop vite.
Houria, ou l'art de rendre crédible l'invraisemblable
Le message reçu par Houria jouait sur un tout autre ressort: une prétendue contravention pour stationnement gênant, d'environ 30 euros, arrivée sur sa messagerie personnelle avec l'apparence d'un courrier officiel de l'État. Le comique de la situation, se souvient-elle en riant, tient à ce grand écart entre deux émotions contradictoires: la joie fugace de croire, un instant, posséder une voiture - et la déception immédiate d'apprendre qu'elle en devait déjà une amende.
Sans voiture à son nom, Houria a pourtant construit un scénario plausible en une fraction de seconde: une amie lui avait un jour parlé de vouloir vendre son véhicule, peut-être le lui avait-elle finalement cédé sans qu'elle en soit informée, peut-être avait-elle été mal garée près de chez elle. C'est cette histoire, entièrement inventée par Houria elle-même pour combler l'incohérence du message, qui l'a poussée à décrocher son téléphone et à appeler son amie - laquelle a éclaté de rire, révélant la supercherie.
"Je me suis sentie bête d'avoir pu me faire avoir aussi facilement, alors que je savais que tout cela était faux", résume Houria. Ce n'est qu'après coup qu'elle identifie le ressort exact de l'arnaque: ce n'est pas le message qui l'a convaincue, c'est elle-même qui a comblé les trous du scénario pour le rendre crédible.
« Ce n'est pas le message qui l'a convaincue, c'est elle-même qui a comblé les trous du scénario pour le rendre crédible. »
Ce que la France a demandé de l'aide 504 810 fois
Ces deux histoires, en apparence anecdotiques, s'inscrivent en réalité dans une tendance nationale précisément documentée. Selon le rapport d'activité 2025 de Cybermalveillance.gouv.fr, la plateforme officielle de l'État en la matière, plus de 504 810 demandes d'assistance ont été enregistrées l'an dernier, en hausse de 20 % - associées à 51 types de menaces distincts. L'hameçonnage, sous toutes ses formes, y reste de très loin la première menace pour les particuliers, avec près d'un tiers des demandes (32,9 %) et une progression de 71 % en un an.
Mais le chiffre le plus révélateur du rapport n'est pas celui-là: c'est la dilution progressive de la menace elle-même. Les dix principales cybermalveillances, qui représentaient encore 92 % de l'ensemble des demandes d'assistance en 2023, n'en couvrent plus que 81 % en 2025. Autrement dit, la fraude en ligne ne se contente plus de répéter ses grands classiques: elle se fragmente, se spécialise, réactive d'anciens modes opératoires délaissés et en invente de nouvelles variantes - exactement ce que racontent, chacune à leur façon, l'histoire de Marguerite et celle de Houria: deux vecteurs d'attaque radicalement différents, une fausse facture publicitaire d'un côté, une fausse amende de stationnement de l'autre, ciblant deux profils tout aussi différents.
Pourquoi le clic n'est presque jamais le vol lui-même
Un détail du rapport éclaire directement ce que Marguerite a évité de justesse. Pour la catégorie d'hameçonnage la plus répandue - celle qui collecte des informations personnelles et des données de carte bancaire sur un faux site - le document précise que la transaction de paiement n'est, sauf exception, jamais réellement effectuée au moment du clic. Les données collectées ne sont généralement pas exploitables directement, en raison de l'authentification forte désormais obligatoire pour les paiements en ligne.
Le vol véritable se joue ailleurs, et plus tard: le rapport indique que, pour la grande majorité de ce type d'hameçonnage de masse, les informations dérobées servent ensuite à alimenter des fraudes au faux conseiller bancaire - une menace qui a bondi de 159 % en 2025 et concerne déjà 15 000 demandes d'assistance par an. Le scénario est limpide: un premier message récolte silencieusement les données, un second contact, quelques jours ou quelques semaines plus tard, un appel téléphonique cette fois, orchestre le véritable détournement de fonds en se faisant passer pour la banque elle-même. Le clic que Marguerite a évité n'était donc probablement que la première étape d'un mécanisme en deux temps - ce qui rend sa vigilance d'autant plus précieuse.
Le rapport documente d'ailleurs une inversion troublante de ce mécanisme, apparue en 2025: l'hameçonnage au faux numéro d'opposition bancaire, où ce n'est plus l'escroc qui appelle la victime, mais bien la victime elle-même, alarmée par un message, qui compose le numéro frauduleux affiché - pensant joindre sa banque en urgence.
Derrière l'écran, une entreprise criminelle: l'affaire Crédit Agricole Ce que Marguerite et Houria ont vécu comme un message isolé, presque artisanal, cache en réalité une industrie structurée. L'exemple le plus documenté de cette professionnalisation reste la campagne de phishing ayant visé les clients du Crédit Agricole, révélée après la découverte d'un serveur mal sécurisé le 19 juin 2026 par le média spécialisé Cybernews, qui a ensuite alerté la banque et le CERT-FR.
L'infrastructure mise au jour donne la mesure du professionnalisme désormais atteint par ces réseaux: 149 clés d'accès dérobées au service d'envoi de messages SendGrid, trois comptes Amazon Web Services compromis pour héberger l'opération, et une capacité de diffusion évaluée à environ 7 000 messages frauduleux par jour. Le bilan recensé faisait état de 912 personnes ayant saisi leurs identifiants sur les sites frauduleux, et de 83 paiements effectivement réalisés au profit des escrocs. Le réseau comptait sept comptes d'opérateurs distincts, auxquels une récompense de 3 000 euros était promise pour leur participation.
Cette architecture correspond, presque point par point, à ce que Cybermalveillance.gouv.fr décrit comme la nouvelle norme du secteur: des plateformes de vente de données volées, des kits d'hameçonnage prêts à l'emploi disponibles à la location, et des réseaux d'opérateurs rémunérés à la tâche plutôt qu'un pirate isolé agissant seul. Le Crédit Agricole confirme d'ailleurs sur sa page dédiée à la cybersécurité que ses clients demeurent une cible constante de campagnes usurpant son identité, et rappelle ne jamais demander par ces canaux la moindre donnée de connexion ou code secret.
Quand les fuites de données nourrissent le piège
Le rapport documente précisément comment cette précision devient possible à grande échelle. Au printemps 2025, une campagne d'hameçonnage aux couleurs du service Amazon Prime Family contenait, dans chaque message, le nom, le prénom, l'adresse postale et l'IBAN exact du destinataire - des informations que Cybermalveillance.gouv.fr relie directement aux violations massives de données bancaires survenues chez plusieurs opérateurs et organismes en 2024 et 2025. Les demandes d'assistance liées aux violations de données ont ainsi doublé en un an (+107 %) chez les particuliers, un phénomène qui, selon le rapport, ne se limite plus à l'espace numérique: dans les cas les plus graves, des détenteurs de cryptomonnaies identifiés grâce à des données fuitées ont subi des menaces physiques, voire des séquestrations, pour être contraints de céder leurs avoirs.
Rien n'indique que le message reçu par Marguerite provenait d'une fuite de données précise - sa précision tenait avant tout au minutage, coïncidant avec le lancement réel de sa campagne publicitaire. Mais le mécanisme général reste le même: plus les cybercriminels disposent de données récentes et contextualisées, moins un message a besoin d'être générique pour paraître crédible.
Une industrie qui vise aussi les entreprises
Marguerite, en tant que cheffe de sa propre petite entreprise, appartient déjà à une catégorie que le rapport identifie comme la plus durement touchée par la progression de la menace en 2025: les demandes d'assistance des entreprises et associations ont bondi de 73 % sur un an, contre 47 % pour les particuliers. Le piratage de compte y devient la première menace (21 % des demandes, +52 %), suivi de l'hameçonnage puis, fait nouveau, de la fraude au virement, qui fait son entrée dans le trio de tête avec une progression de 93 %.
Cette fraude au virement suit un scénario qui aurait pu, à peu de choses près, être celui de Marguerite si elle avait cliqué: un compte de messagerie professionnel piraté, une facture en attente identifiée par l'escroc, puis un changement de coordonnées bancaires réclamé en se faisant passer pour le créancier légitime. Le rapport rappelle qu'une simple vérification téléphonique directe auprès du créancier - et non via les coordonnées figurant sur le message suspect - suffit, dans l'immense majorité des cas, à déjouer ce type de fraude.
Une menace qui se dilue pour mieux durer
Reste une question que le rapport officiel pose sans détour, dans un encadré consacré à l'intelligence artificielle: les cybercriminels l'utilisent déjà, mais surtout pour traduire automatiquement leurs messages en plusieurs dizaines de langues ou générer des textes et visuels plus crédibles - Cybermalveillance.gouv.fr précise explicitement qu'aucune campagne malveillante de masse entièrement pilotée par l'IA n'est, à ce stade, attestée. La précision qui a presque piégé Marguerite ne relève donc pas, pour l'instant, d'une automatisation totale, mais d'un travail bien plus classique: l'exploitation méthodique des données personnelles accumulées au fil des innombrables violations de données qui ont marqué 2024 et 2025, permettant aux escrocs de personnaliser leurs messages avec des informations réelles et récentes plutôt que génériques.
C'est cette même logique qui explique pourquoi les dix menaces principales ne représentent plus que 81 % des demandes d'assistance: un marché criminel mature ne mise plus sur un seul procédé rodé, mais diversifie constamment ses angles d'attaque pour rester un pas devant la vigilance du public. Entre la facture publicitaire de Marguerite, l'amende de stationnement de Houria et l'infrastructure industrielle démantelée chez le Crédit Agricole, c'est la même mécanique qui se répète à trois échelles différentes: des données volées, une mise en scène crédible, et un besoin permanent de trouver, chaque fois, un angle légèrement différent du précédent.
Ce qui a vraiment protégé Marguerite et Houria
Ni l'une ni l'autre n'a été sauvée par un outil technique. Marguerite s'en est sortie grâce à une coïncidence de calendrier qu'elle seule pouvait vérifier; Houria, grâce à un simple appel téléphonique passé avant de payer. Le rapport de Cybermalveillance.gouv.fr converge vers la même conclusion pratique, martelée à travers chacune de ses sections: aucun agent bancaire, aucun service antifraude, aucune administration n'appelle ni n'écrit jamais pour réclamer un mot de passe, un code de vérification ou la remise d'une carte de paiement à un tiers - et une vérification directe auprès de l'organisme concerné, par un canal connu à l'avance et non par les coordonnées données dans le message suspect, désamorce la quasi-totalité de ces pièges avant qu'ils ne se referment.
