Phishing 2026 : quand l'arnaque connaît vos plans mieux que vous

En 2023, on écrivait sur une tentative de phishing sur l’un de nos clients. Vous savez, ces emails douteux imitant votre banque ou un service postal pour vous soutirer de l’argent. Depuis, les escrocs ont sérieusement fait leurs devoirs et il est encore plus urgent de renforcer notre vigilance aux sollicitations.

Des données d’une réservation qui fuitent 3 jours après

Il y a peu, je réservais et je payais un hôtel en France directement sur leur site. La transaction aboutit, je reçois dans la foulée l’email de confirmation, tout est normal. 3 jours plus tard, en fin de soirée, je reçois un message Whatsapp d’un numéro inconnu des Etats-Unis. Je m’interroge un instant car le logo de l’hôtel, le nom de l’établissement, la date de réservation, mon prénom… tout y est. Le message explique que la réservation n’est pas finalisée et qu’il faut cliquer sur un lien puis simplement laisser la page ouverte.

Mon premier réflexe est de bloquer et signaler ce numéro et de faire des captures d’écran pour contacter l’hôtel et faire remonter une potentielle fuite de données.
La réponse se fait en deux temps. Dans un premier temps, on me répond rapidement pour me dire en toute décontraction « Oui, il y a une arnaque qui usurpe l’identité de l’hôtel, nous sommes au courant. » et comme pour me rassurer « sachez que les informations que ces personnes connaissent sont les dates de votre séjour + nom + prénom en aucun cas informations bancaires. ».
Sans plus d’explications. Sans excuses. Sans préciser ce qui avait été volé ni ce qu’il fallait faire.

Connaissant mon sujet et étant sensible à la protection des données, j’insiste pour savoir l’ampleur des données compromises, de quand date la faille.

La nouvelle réponse est… cocasse : « […], certaines données de réservation (nom, adresse e-mail, numéro de téléphone et dates de séjour) ont pu être consultées de manière limitée par des tiers non autorisés, sans qu’il soit possible de confirmer avec certitude si votre dossier a été spécifiquement concerné.«
En recevant un message Whatsapp frauduleux 3 jours après ma réservation, on peut aisément en conclure que mon dossier est concerné.

Ce qui aurait dû suivre à cette fuite de données

Dans l’une de leurs réponses, l’hôtel m’indiquait que ces fraudes visaient à dépouiller les victimes de leur argent. L’aspect financier est évidemment un aspect préoccupant. Mais toutes les autres données personnelles le sont tout autant (votre nom, votre genre, téléphone, pays de résidence,…) Tout ceci est aussi précieux et peut-être tout aussi dévastateur dans les mains de personnes sans scrupules.

De plus, la réponse désinvolte de l’hôtel dans cette histoire n’est pas seulement décevante/lunaire sur le plan humain. Elle est potentiellement illégale.

En Europe, le Règlement Général sur la Protection des Données (RGPD) impose des obligations très claires aux entreprises en cas de fuite de données personnelles.

Les obligations de l’entreprise :

Une entreprise qui subit une violation de données a 72 heures pour la notifier à l’autorité de protection des données compétente.
En Belgique, il s’agit de l’Autorité de Protection des Données (APD). Si la violation présente un risque élevé pour les droits et libertés des personnes concernées, l’entreprise doit également notifier directement les personnes affectées, de manière claire et dans un délai raisonnable. Cette notification doit préciser la nature de la violation, les données compromises, les conséquences probables et les mesures prises ou envisagées.
Un message lapidaire affirmant qu’il y a eu un vol de données mais que vous n’êtes pas concerné ne constitue pas une notification conforme, surtout lorsque vous venez de recevoir un message frauduleux contenant vos propres données.
Vos droits en tant que victime :

Si vous pensez qu’une entreprise n’a pas respecté ses obligations en cas de fuite de données vous concernant, vous avez le droit de déposer une plainte auprès de l’autorité compétente. En Belgique, rendez-vous sur le site de l’APD. Puisque mon hôtel était en France, j’aurais pu faire une réclamation sur celui de la CNIL. Vous pouvez également demander à l’entreprise, par écrit, un accès aux informations concernant la violation et aux mesures prises pour y remédier. Cette demande s’inscrit dans le cadre de votre droit d’accès garanti par le RGPD.

2026, les arnaques par tous les canaux

Ce type de mésaventure illustre parfaitement l’évolution du phishing en 2026. Les techniques ont changé, se sont affinées et sont devenues bien plus difficiles à détecter. En voici quelques-unes nécessitant votre extrême vigilance :

Le phishing par WhatsApp et SMS

Fini les emails suspects qui finissent en spam. Les arnaqueurs ont migré vers des canaux plus immédiats et plus personnels. Un SMS ou un message WhatsApp génère un sentiment d’urgence bien plus fort qu’un email, et notre vigilance y est naturellement moins aiguisée.

La technique est rodée : une fuite de données chez un prestataire de confiance (hôtel, boutique en ligne, compagnie aérienne) fournit aux escrocs votre nom, votre numéro de téléphone et le contexte de votre achat. Ils n’ont plus qu’à construire un message sur mesure, avec le logo officiel et les bonnes informations. Le seul détail qui trahit l’arnaque est souvent infime, comme un nom de compte WhatsApp légèrement incorrect ou une URL qui ressemble à l’originale sans l’être tout à fait.

Si vous recevez un message de ce type après un achat, contactez systématiquement l’établissement via son site officiel avant de cliquer sur quoi que ce soit.

Le quishing : les QR codes malveillants

Depuis la démocratisation des QR codes pendant le Covid, une nouvelle forme d’arnaque s’est installée discrètement : le quishing. Le principe est simple. Un QR code frauduleux remplace ou recouvre un QR code légitime, dans un restaurant, sur une affiche, dans un email ou même dans un document officiel. Vous le scannez sans méfiance et vous êtes redirigé vers un site qui imite parfaitement une page de paiement, de connexion ou de vérification d’identité.

La difficulté avec les QR codes, c’est que l’URL de destination n’est pas visible avant de scanner. Quelques réflexes s’imposent donc : vérifiez que le QR code n’est pas un autocollant collé par-dessus un autre, observez l’URL affichée après le scan avant de faire quoi que ce soit sur la page et méfiez-vous de tout QR code reçu par email ou message qui crée une urgence.

Le vishing et les deepfakes vocaux

C’est probablement la forme de phishing la plus déstabilisante de 2026. Grâce à l’intelligence artificielle, il est désormais possible de cloner une voix à partir de quelques secondes d’enregistrement audio. Des enregistrements que l’on trouve facilement sur les réseaux sociaux, dans des vidéos YouTube ou des podcasts.

Le scénario le plus fréquent dans un contexte professionnel : vous recevez un appel de ce qui semble être votre directeur financier ou votre patron, qui vous demande d’effectuer un virement urgent et confidentiel. La voix est la bonne. L’intonation est la bonne. L’urgence est réelle.

Dans un contexte personnel, ce peut être la voix d’un proche qui prétend être en difficulté et a besoin d’argent rapidement.

La parade : établissez avec vos collègues et vos proches un mot de passe ou un canal de vérification alternatif pour toute demande financière urgente, quelle que soit la voix au bout du fil.

Les faux outils et sites liés à l’IA

L’engouement pour les outils d’intelligence artificielle a créé un terrain fertile pour les arnaqueurs. Des dizaines de faux sites imitant ChatGPT, Claude, Gemini ou d’autres outils populaires sont créés chaque semaine, avec pour objectif de récupérer vos identifiants, vos informations de paiement ou d’installer un logiciel malveillant sur votre machine.

Le réflexe de base : accédez toujours à ces outils via leur URL officielle, sauvegardée dans vos favoris, et non via un lien reçu par email ou via un résultat sponsorisé dans un moteur de recherche. Les résultats sponsorisés peuvent en effet pointer vers des sites frauduleux qui ont payé pour apparaître en tête des résultats.

L’IA au service des escrocs : la fin des fautes d’orthographe

Pendant longtemps, les fautes d’orthographe et la grammaire approximative étaient les signaux d’alarme les plus fiables pour identifier un message frauduleux. Ce n’est plus le cas. Les outils d’intelligence artificielle permettent aujourd’hui de générer des messages parfaitement rédigés, dans n’importe quelle langue, avec le bon niveau de formalité et même en imitant le style de communication d’une marque spécifique.

Cela ne veut pas dire qu’il faut paniquer, mais cela signifie que vous ne pouvez plus vous fier uniquement à la qualité rédactionnelle d’un message pour juger de sa légitimité. Les autres signaux d’alerte décrits dans cet article et dans notre post de 2023 restent plus pertinents que jamais.

La checklist 2026
Voici les réflexes essentiels à adopter face aux nouvelles formes d’arnaque :

Avant de cliquer

L’expéditeur est-il vraiment celui qu’il prétend être ? Vérifiez le numéro, l’adresse email ou le nom du compte, pas uniquement le logo affiché.
Le message crée-t-il une urgence artificielle ? C’est l’une des techniques les plus utilisées pour court-circuiter votre vigilance.
Avez-vous reçu ce message sur un canal inhabituel pour ce type de communication ? Une banque ne vous contactera jamais via WhatsApp.
Le lien affiché correspond-il vraiment à l’URL de destination ? Survolez-le sans cliquer pour vérifier.
S’agit-il d’un QR code reçu par email ou message ? Méfiez-vous et vérifiez l’URL avant toute action.

Avant d’entrer vos informations

Êtes-vous sur le site officiel de l’organisation ? Vérifiez l’URL complète dans la barre d’adresse.
Le site utilise-t-il bien le protocole HTTPS ? Un cadenas dans la barre d’adresse est un minimum, mais pas une garantie suffisante à elle seule.
Une voix vous demande-t-elle un virement urgent ? Raccrochez et rappelez via le numéro officiel ou via votre mot de code convenu.

Après un achat ou une réservation en ligne

Avez-vous reçu un message inattendu avec des informations vous concernant ? Contactez directement le prestataire via son site officiel.
L’entreprise vous a-t-elle informé d’une fuite de données de manière vague ou insuffisante ? Vous avez le droit de demander des précisions et de déposer une plainte auprès de l’APD ou de la CNIL.

Vous avez cliqué ?

Les mêmes réflexes fondamentaux s’appliquent, mais la rapidité est essentielle.
N’entrez aucune information supplémentaire et fermez la page immédiatement. Si vous avez déjà communiqué des données bancaires, appelez votre banque sans attendre. Signalez la tentative de fraude à votre établissement : cela leur permet de prévenir d’autres clients.
Pour toute compromission de compte, changez votre mot de passe immédiatement depuis un autre appareil si possible et activez l’authentification à deux facteurs si ce n’est pas encore fait. Si des données personnelles ont été soustraites, vous pouvez également déposer une plainte auprès de l’APD (Belgique).
Enfin, signalez l’arnaque à SafeOnWeb via suspicious@safeonweb.be. Chaque signalement contribue à alimenter leur base de données et à protéger d’autres personnes.

Crédit photo de couverture : Photo de Brett Jordansur Unsplash