Reconnaître le phishing crypto après une fuite de données : les signaux d’alerte du faux courriel

Le phishing crypto se reconnaît presque toujours au même endroit : à ce que le message vous demande. Une véritable plateforme crypto ne réclame jamais votre phrase de récupération, jamais votre clé privée et jamais le code de votre application d’authentification. Tout courriel, tout SMS et tout message sur les réseaux sociaux qui réclame l’un de ces trois éléments est une tentative d’escroquerie, quelle que soit l’apparence d’authenticité de l’expéditeur et de la mise en page. Tout le reste de ce texte relève du savoir-faire qui vous permet d’appliquer cette seule phrase de manière fiable au quotidien.

Ce guide part de la situation observée à la fin de l’été 2026. D’importantes fuites de données chez des prestataires financiers et des fabricants de portefeuilles ont fait que les criminels n’ont plus besoin de ratisser au hasard. Ils connaissent le nom, l’adresse, le numéro de téléphone et parfois même le solde de leurs victimes. L’envoi de masse grossier devient ainsi un message personnalisé qui convainc au premier regard. Le moniteur de cybersécurité 2026 de l’Office fédéral allemand de la sécurité des technologies de l’information chiffre l’ampleur du phénomène : onze % des internautes ont été victimes d’une infraction en ligne au cours de la seule année précédente, il s’agissait de phishing pour douze % d’entre eux, et un tiers de l’ensemble des victimes fait état de pertes financières.

Ce qui distingue le phishing crypto d’un simple courrier indésirable

Le phishing est la tentative de vous amener, au moyen d’un message falsifié, à livrer vos identifiants ou à effectuer un paiement. Le terme vient de l’anglais fishing : le message est l’appât, votre compte est la prise. Le courrier indésirable veut vous vendre quelque chose et vous coûte du temps. Le phishing veut votre accès et vous coûte de l’argent.

Dans l’univers crypto, une raison technique aggrave le problème. Un virement bancaire peut parfois être rappelé, et un prélèvement l’est de toute façon. Une transaction sur une chaîne de blocs publique est définitive dès qu’elle est confirmée. Aucune instance ne peut la reprendre, ni chez Bitcoin ni chez Ethereum. Celui qui a apposé une fois la mauvaise signature ne négocie plus, il compte les dégâts. Voilà pourquoi le phishing est si rentable pour les criminels dans le domaine des cryptomonnaies et si coûteux pour vous.

S’y ajoute une seconde particularité. Dans une banque, les escrocs ont besoin de vos identifiants. Sur un portefeuille autogéré, votre signature au bas d’une autorisation d’apparence anodine suffit souvent. Ces deux voies exigent des parades différentes, et ce texte les traite séparément.

Pourquoi une fuite de données chez un prestataire déclenche des courriels de phishing au nom de plateformes crypto tout à fait différentes

Une fuite de données est l’échappement involontaire de données clients hors du système d’un prestataire. Pour vous, utilisateur, ce qui compte est la nature des données parties. S’il s’agit de copies de pièces d’identité, d’adresses, de numéros de téléphone et d’historiques de transactions, vos cryptomonnaies sont pour l’instant à l’abri, car ces données n’ouvrent aucun portefeuille. Elles ne deviennent dangereuses qu’en tant que matière première pour l’étape suivante.

Car celui qui sait que vous êtes client d’un prestataire crypto, comment vous vous appelez et où vous habitez, peut vous aborder de façon crédible. Et il n’est pas limité au prestataire où la fuite s’est produite. Une liste de clients crypto allemands se prête à toutes les combines : à la fausse alerte de sécurité d’une plateforme tout autre, au prétendu rappel d’un fabricant de portefeuilles, à l’appel d’un service antifraude inventé. Voilà le mécanisme que beaucoup sous-estiment. La fuite chez un prestataire finance la vague de phishing menée au nom de tous les autres.

Un exemple tiré de nos propres articles : le 12 septembre 2026, nous avons décrit comment les clients peuvent vérifier s’ils sont concernés par la fuite de données chez Revolut. D’après les informations disponibles à l’époque, étaient concernés des copies de pièces d’identité, des selfies de vérification, des IBAN et des historiques de transactions complets. Aucun de ces champs n’est un mot de passe. Ce jeu de données a pourtant servi de base aux courriels personnalisés qui ont circulé dans les semaines suivantes. Nous avons observé le même enchaînement durant l’été 2026 chez plusieurs fabricants de portefeuilles matériels, dont les adresses de clients se sont échappées via un prestataire d’expédition.

Signes typiques de phishing : sept signaux d’alerte dans le message lui-même

Les signaux d’alerte suivants proviennent des cas rencontrés en 2026 par notre rédaction et par les associations de consommateurs. Aucun d’eux ne constitue à lui seul une preuve. Si deux ou plus s’appliquent, traitez le message comme une escroquerie.

1. La pression temporelle. Un délai de quelques heures, un blocage prétendument imminent, un versement qui expirerait sinon. Les prestataires sérieux accordent des semaines et envoient des rappels.
2. Une démarche qui ne fonctionne que par le lien joint. Les demandes authentiques peuvent toujours être traitées en saisissant vous-même l’adresse de la plateforme et en vous y connectant.
3. La demande d’un secret. Phrase de récupération, clé privée, mot de passe ou les six chiffres de l’application d’authentification. Nous y revenons plus bas.
4. Une adresse de retrait que vous n’avez pas enregistrée vous-même. Si le courriel indique une adresse de portefeuille vers laquelle vous devriez virer vos fonds « pour les mettre en sécurité », l’affaire est entendue.
5. Une pièce jointe. Les plateformes crypto transmettent les relevés fiscaux et les relevés de compte depuis le compte connecté, non sous forme de fichier dans votre boîte.
6. La mauvaise adresse électronique dans le champ du destinataire. Si le message arrive à une adresse sous laquelle vous n’avez aucun compte chez ce prestataire, il a été envoyé depuis un jeu de données acheté.
7. Une offre trop belle. Des indemnisations pour pertes de cours, des rendements garantis, un airdrop pour lequel il suffirait de signer une autorisation.

Ce que vous ne pouvez en revanche plus utiliser comme signal d’alerte, ce sont les fautes d’orthographe et une mise en page bancale. Les messages de l’année 2026 sont linguistiquement irréprochables et leur apparence est reproduite au pixel près. Chercher les coquilles, c’est chercher au mauvais endroit. Jusqu’où cela va, nous l’avons décrit à propos d’une fausse alerte de sécurité qui empruntait le véritable circuit d’envoi du fabricant et passait tous les contrôles techniques d’authenticité.

Comment vérifier qu’un lien relève du phishing sans cliquer dessus

Le test le plus fiable vous coûte dix secondes et consiste à ne pas utiliser le lien du tout. Ouvrez plutôt la plateforme ou l’application de portefeuille comme vous le faites toujours, par votre propre favori ou par l’application installée. Si le même message y figure, le courriel était authentique. S’il n’y figure pas, vous avez votre réponse sans avoir rien risqué.

Si vous voulez malgré tout juger le lien, observez la portion située juste avant la première barre oblique isolée. C’est là le domaine réel. Tout ce qui précède peut être librement inventé. Une adresse de la forme nomdelaplateforme.securite-connexion.example appartient à l’exploitant de securite-connexion.example et non à la plateforme. Les criminels misent en outre sur des caractères d’aspect voisin et sur des traits d’union supplémentaires. Sur téléphone, un appui long sur le lien affiche l’adresse de destination sans l’ouvrir.

Deux compléments pour la pratique quotidienne. Premièrement, un certificat et le cadenas du navigateur indiquent seulement que la connexion est chiffrée. Les sites frauduleux en disposent tout autant. Deuxièmement, si une connexion de portefeuille vous est proposée avant même que vous ayez lu quoi que ce soit, fermez la page. Les prestataires sérieux ne demandent cette connexion qu’une fois que vous avez déclenché une action précise.

Quelles données une plateforme crypto ne demande jamais par courriel

Trois éléments sont absolus. Un prestataire sérieux ne les réclame en aucune circonstance, ni par courriel, ni par téléphone, ni dans le chat du service client.

La phrase de récupération est la suite de mots qui restaure votre portefeuille, le plus souvent douze ou vingt-quatre termes dans un ordre fixe. Elle permet de recalculer chaque clé privée de votre portefeuille. Celui qui la détient détient vos cryptomonnaies, immédiatement et sans autre étape. Aucun fabricant, aucun service client et aucune autorité n’en a jamais besoin. La clé privée est la valeur cryptographique avec laquelle une adresse donnée signe ses transactions ; il en va de même pour elle. Le code à deux facteurs de votre application d’authentification est valable trente secondes et conçu précisément pour que personne d’autre que vous ne le connaisse. Celui qui vous le demande se trouve, à cet instant même, devant le formulaire de connexion de votre plateforme.

Un quatrième élément est plus délicat parce qu’il paraît anodin : la capture d’écran présentée comme une preuve. Un prétendu service client vous prie d’envoyer une capture de votre compte ou de l’interface de votre portefeuille. Les criminels y lisent les soldes, les réseaux utilisés et parfois des fragments d’adresses, puis construisent sur cette base le message suivant, encore plus crédible. N’envoyez aucune capture d’écran à quelqu’un qui vous a contacté en premier.

Faux service client et siphonneurs de portefeuille : les combines qui transforment les données fuitées en argent

Dans la pratique, un jeu de données donne naissance à quatre combines qu’il convient de distinguer, car elles appellent des parades différentes.

Le faux service client. Vous recevez un appel ou un message du prétendu service de sécurité de votre plateforme. On connaît votre nom, votre dernier dépôt, et l’on évoque un retrait suspect qui n’a jamais eu lieu. La solution proposée est toujours la même : un code que vous devriez lire à voix haute, ou un virement vers un « compte de conservation sécurisé ». Raccrochez et rappelez au numéro qui figure sur le site du prestataire.

La fausse page de connexion. Le classique des attaques de phishing. Le lien mène à une copie de la plateforme, votre saisie atterrit chez les criminels, et ceux-ci s’en servent pour se connecter en temps réel au véritable compte. La seule protection fiable est un second facteur qui ne peut être transmis : une clé d’accès ou une clé de sécurité liée au domaine authentique, qui ne fonctionne tout bonnement pas sur une copie.

Le siphonneur de portefeuille. Cette combine vise votre signature plutôt que votre mot de passe. Vous arrivez sur une page, connectez votre portefeuille et confirmez une autorisation. Les contrats intelligents peuvent être conçus de telle sorte que cette seule autorisation permette à un contrat tiers de prélever vos jetons à tout moment. Le portefeuille ne vous affiche alors aucun montant, seulement une permission technique, et c’est précisément là-dessus que comptent les criminels. À chaque signature, lisez quelle permission est accordée, et interrompez si vous ne la comprenez pas.

Le faux rappel ou échange de produit. Particulièrement prisé après les fuites chez les fabricants de matériel. On vous propose l’échange gratuit de votre appareil, et le nouvel appareil arrive avec une phrase de récupération déjà préparée. Un appareil qui vous livre une phrase toute faite a toujours été manipulé. Un véritable portefeuille génère la phrase lui-même lors de la configuration, sous vos yeux.

Les arnaques crypto au-delà du phishing : ce qu’il ne faut pas confondre avec cette combine

Qui veut reconnaître une fraude crypto doit distinguer les arnaques courantes, car elles exigent des parades différentes. Le phishing s’empare d’un accès que vous possédez déjà. Les autres combines répandues misent sur un versement volontaire d’argent frais de votre part.

Dans la fraude à l’investissement, les escrocs construisent une relation sur plusieurs semaines, généralement par messagerie ou sur des sites de rencontre, et conduisent l’investisseur vers une plateforme de négociation inventée affichant des chiffres en hausse. Le premier petit retrait fonctionne et installe la confiance ; ensuite les sommes exigées augmentent, et à la fin le prétendu prestataire réclame des frais avant même que quoi que ce soit ne soit versé. Dans le cas du retrait de tapis, l’équipe d’un jeton fraîchement lancé disparaît avec les fonds collectés. Dans le faux jeu-concours, un profil piraté promet un doublement des sommes si vous envoyez d’abord quelque chose à une adresse indiquée.

La frontière entre ces deux mondes est mouvante, car les mêmes tactiques reposent sur les mêmes jeux de données fuités. La prudence passe donc par une règle simple : dans le phishing, quelqu’un veut de vous une chose que vous détenez déjà. Dans la fraude à l’investissement, quelqu’un vous promet une chose qui n’existe pas. Les deux méthodes aboutissent sur la même chaîne de blocs, et dans les deux cas le risque de perte totale est réel.

Juste après le clic : ce qui compte dans la première heure

Supposons que ce soit arrivé. Vous avez cliqué sur le lien, saisi des données ou signé une autorisation. C’est alors l’ordre des gestes qui décide, et non la seule rapidité.

1. Coupez l’accès. Si vous avez saisi des identifiants, changez le mot de passe de la plateforme depuis un autre appareil et déconnectez toutes les sessions actives. Selon le prestataire, cette fonction s’appelle « gérer les appareils » ou « sessions actives ».
2. Déplacez les avoirs si un portefeuille est concerné. Si vous avez signé une autorisation, changer de mot de passe ne sert à rien. Transférez les avoirs restants vers un portefeuille nouvellement créé, doté d’une phrase de récupération neuve. L’ancien portefeuille est à considérer comme perdu à compter de cet instant.
3. Révoquez les permissions accordées. Sur les réseaux dotés de contrats intelligents, vous pouvez retirer les autorisations existantes. Cela ne remplace pas la deuxième étape, mais empêche de nouvelles sorties pendant que vous déménagez.
4. Conservez les preuves. Faites des captures du message avec ses en-têtes complets et notez les transactions avec l’heure et l’adresse. Sans ces pièces, une plainte n’ira pas loin.
5. Portez plainte et informez le prestataire. La plainte se dépose auprès de n’importe quel service de police ou en ligne sur le portail de signalement de votre région. Le prestataire peut signaler les adresses destinataires si les fonds atterrissent sur une plateforme régulée.

Une vérité désagréable fait partie des attentes à ajuster : la voie de récupération est étroite. Elle n’existe en pratique que si les montants dérobés arrivent sur une plateforme régulée avec vérification d’identité et y sont gelés assez vite. Plus vous attendez, moins cela est probable.

Portefeuille matériel, clés d’accès et listes de retrait : ce qui prive durablement le phishing de tout effet

Les mesures les plus efficaces sont celles qui rendent une tentative réussie sans conséquence, au lieu d’obliger à la repérer. Trois d’entre elles valent la peine pour quiconque détient plus de quelques centaines d’euros en cryptomonnaies.

Un portefeuille matériel conserve la clé privée dans un appareil qui ne communique jamais avec Internet. Chaque transaction doit être confirmée sur l’appareil lui-même par une pression sur un bouton, et l’écran affiche alors le destinataire et le montant. Une page falsifiée peut vous jouer bien des scènes, mais elle ne peut pas appuyer sur ce bouton. Ce qui distingue les différents appareils et ce à quoi veiller à l’achat, nous l’avons rassemblé dans notre comparatif des portefeuilles matériels. N’achetez un tel appareil qu’auprès du fabricant directement.

Une clé d’accès ou une clé de sécurité remplace le code de l’application d’authentification par un procédé lié au domaine authentique. Sur une page de connexion reconstituée, aucune réponse valable n’est tout simplement produite. La combine la plus fréquente contre les comptes de plateforme disparaît ainsi. Vérifiez dans les réglages de sécurité de votre plateforme si cette option est proposée, et activez-la avant d’en avoir besoin.

Une liste d’adresses de retrait autorisées est le réglage le plus sous-estimé qui soit. De nombreuses plateformes crypto vous permettent de n’autoriser les retraits que vers des adresses enregistrées au préalable, avec un délai d’attente d’un ou deux jours pour chaque nouvelle adresse. Même celui qui prend le contrôle de votre compte n’accède alors plus immédiatement à votre argent, et vous avez le temps de réagir.

Pour la pratique quotidienne, quelques compléments s’imposent : une adresse électronique réservée aux comptes crypto, un gestionnaire de mots de passe avec un mot de passe distinct par prestataire, et aucun montant en cryptomonnaies affiché dans des profils publics sur les réseaux sociaux. Qui n’est pas identifiable comme détenteur figure sur moins de listes.

À quoi reconnaître un prestataire agréé, et pourquoi cela protège du phishing

Depuis le règlement européen MiCA sur les crypto-actifs, les prestataires qui s’adressent à des particuliers dans l’Union européenne doivent disposer d’un agrément, délivré et supervisé en Allemagne par la BaFin. Pour vous, cela constitue une protection contre le phishing à deux titres. Premièrement, l’autorité publie la liste des entreprises agréées ; qui n’y figure pas n’est pas candidat à recevoir votre argent. Deuxièmement, les prestataires agréés obéissent à des règles fixes pour leur communication client, ce qui réduit le nombre de canaux autorisés et les rend donc vérifiables. Les obligations qui s’appliquent en la matière, nous les replaçons en permanence dans notre panorama de la licence MiCA.

La combine qui s’y greffe nous est déjà connue depuis 2025 : des escrocs se font passer pour un prestataire non agréé qui devrait prétendument inviter ses clients européens à retirer leurs avoirs. Comment vérifier une telle injonction, nous l’avons décrit dans un guide consacré aux demandes de retrait après l’échéance MiCA. La démarche de vérification est la même que dans ce texte : jamais par le lien du message, toujours par l’accès que vous avez ouvert vous-même.

Signaler un phishing : associations de consommateurs, prestataire et autorités judiciaires

Un signalement vous sert peu à vous et beaucoup à tous les autres, car les vagues identifiées sont bloquées plus vite. Trois adresses en valent la peine.

Les associations allemandes de consommateurs exploitent une boîte collective destinée aux messages suspects et publient en continu les combines identifiées dans leur radar du phishing. Un coup d’œil y est utile à titre préventif également, dès qu’un message vous paraît étrange. Le prestataire au nom duquel le courriel a été envoyé dispose presque toujours d’une adresse de signalement des abus ; elle figure dans sa rubrique d’aide. Et la police reçoit les plaintes en ligne via les portails de signalement régionaux, y compris lorsque aucun dommage n’est encore survenu.

Phishing crypto : ce qu’il faut en retenir

1. Vérifiez vos réglages de sécurité aujourd’hui, et non après la prochaine fuite. Passer le second facteur à une clé d’accès, activer la liste de retrait, déconnecter les anciennes sessions. Savoir si votre prestataire propose seulement ces options se voit dans notre comparatif des plateformes crypto réglementées.
2. Sortez la clé du navigateur. Qui conserve des avoirs sur la durée les garde sur un appareil à confirmation physique. Les différences et les prix figurent dans le comparatif des portefeuilles matériels.
3. Séparez l’usage courant et le stockage. Un petit portefeuille logiciel pour les achats et les autorisations, une adresse distincte, sans la moindre autorisation de contrat, pour vos avoirs. Les portefeuilles logiciels qui s’y prêtent sont présentés dans le comparatif des portefeuilles logiciels.

(Au 20 septembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)