J'ai cliqué sur un lien de phishing sur mon téléphone : que faire tout de suite ?

Réponse rapide : si vous avez seulement ouvert la page, fermez-la et ne saisissez rien ; le risque est faible, mais pas nul. Si vous avez saisi un mot de passe, changez-le depuis un autre appareil et activez la double authentification. Si vous avez donné vos données bancaires, appelez votre banque tout de suite. Si vous avez installé quelque chose ou accepté un profil, supprimez-le et vérifiez vos comptes.

Pas de panique, et inutile de tout régler d’un coup. La plupart des personnes qui touchent un lien frauduleux n’arrivent que sur une fausse page. Ce qui compte, c’est ce qui s’est passé après le clic. Ce guide vous range dans l’une des cinq situations ci-dessous et donne les étapes dans l’ordre, pour iPhone et pour Android.

Trouvez votre situation en 30 secondes

Ce qui s’est passé après le clic	Urgence (notre estimation approximative)	À faire en premier	Ensuite
J’ai seulement ouvert la page, sans rien saisir	Faible	Fermer la page, ne pas répondre	Signaler le message, se méfier des suivants
J’ai saisi un mot de passe ou un code	Élevée	Changer ce mot de passe depuis un autre appareil	Activer la double authentification, vérifier les connexions
J’ai saisi des données de carte ou de banque	Urgente	Appeler ma banque ou l’émetteur de la carte	Demander une nouvelle carte, surveiller les relevés
J’ai téléchargé un fichier ou installé une application	Élevée	Ne pas l’ouvrir ; la désinstaller	Chercher les applications inconnues, mettre à jour, changer les mots de passe
J’ai accepté une autorisation, un profil ou un réglage	Élevée	Supprimer le profil ou l’autorisation	Vérifier les comptes et les appareils

La colonne « urgence » est un classement approximatif qui nous est propre, pas une note officielle. Si vous hésitez entre deux lignes, suivez la plus urgente. Faites les étapes dans l’ordre et arrêtez-vous quand vous avez terminé celles de votre ligne.

D’abord, dans tous les cas

1. Fermez la page. Fermez l’onglet ou l’application qui l’a ouverte. Ne touchez ni les boutons, ni les fenêtres, ni les demandes de « vérification ».
2. Ne répondez pas au message, même pour écrire « STOP ». Cybermalveillance.gouv.fr demande de ne pas répondre aux messages suspects.
3. Gardez le message pour l’instant. Notez le numéro de l’expéditeur : il vous servira à signaler l’arnaque. Supprimez-le une fois le signalement fait.
4. Ne touchez pas à vos comptes tant que vous ne savez pas dans quelle situation vous êtes. Suivez ensuite votre ligne du tableau.

Si vous avez seulement ouvert la page

Charger une page ne cause généralement pas de dégâts, mais ne le tenez pas pour acquis. Cybermalveillance.gouv.fr conseille, si vous avez cliqué, de vérifier l’adresse du site affichée dans le navigateur (un seul caractère peut changer) et de fermer immédiatement la page au moindre doute. Le NCSC (l’agence britannique de cybersécurité) ajoute que les navigateurs bloquent de nombreux sites de phishing connus, mais que ce n’est pas toujours le cas sur mobile.

Voici quoi faire :

1. Vérifiez vos téléchargements et votre écran d’accueil ou la liste de vos applications. Quelque chose a-t-il été téléchargé ou installé ? Si oui, passez à la section sur les fichiers téléchargés ou installés.
2. Vérifiez que votre téléphone est à jour. Sur iPhone : Réglages > Général > Mise à jour logicielle. Sur Android : Paramètres > Système > Mises à jour logicielles ; sur les versions récentes, les mises à jour de sécurité se trouvent dans Paramètres > Sécurité et confidentialité > Système et mises à jour. Le nom des menus varie selon le fabricant.
3. Signalez le SMS (voir la section sur le signalement), puis supprimez-le.
4. Attendez-vous à d’autres messages frauduleux. S’ils vous pressent d’agir, de payer ou de « confirmer » quelque chose, c’est la même arnaque.

Notre guide pour repérer un lien suspect avant de cliquer (en anglais) montre comment lire la vraie adresse d’un lien, et comment bloquer les appels indésirables sur iPhone (en anglais) traite des appels qui suivent souvent un SMS frauduleux.

Si vous avez saisi un mot de passe ou un code

Considérez ce mot de passe comme public. Plus vite vous le changez, moins l’escroc a de temps pour s’en servir.

1. Changez le mot de passe sur le vrai site ou la vraie application. Tapez vous-même l’adresse ou utilisez l’application officielle, jamais le lien du message. Si possible, commencez depuis un autre appareil. C’est un conseil de notre part : si quelque chose a été installé sur votre téléphone, un autre appareil est plus sûr.
2. Changez-le partout où vous l’utilisiez. Cybermalveillance.gouv.fr demande de changer aussi le mot de passe de tous les autres sites où vous utilisiez le même. Si le service le propose, vous pouvez utiliser une clé d’accès (passkey).
3. Activez la double authentification (ou identification à deux facteurs). Avec elle, un mot de passe volé ne suffit pas à entrer.
4. Vérifiez les dernières connexions du compte avec les étapes ci-dessous.
5. Ne communiquez jamais un code de vérification. Si un message ou un appelant vous demande le code que vous venez de recevoir, c’est une arnaque.

Compte Apple sur iPhone

Apple indique que si vous avez peut-être saisi votre mot de passe sur un faux site, vous devez modifier immédiatement le mot de passe de votre compte Apple et vous assurer que l’identification à deux facteurs est activée.

1. Ouvrez Réglages, touchez votre nom, puis Connexion et sécurité, puis Modifier le mot de passe.
2. Si d’autres appareils sont connectés, touchez Remove Other Devices (Supprimer les autres appareils) pour qu’ils doivent se reconnecter.
3. Dans Réglages, touchez de nouveau votre nom et faites défiler jusqu’à la liste des appareils. Touchez celui que vous ne reconnaissez pas, puis Supprimer du compte.

Compte Google sur Android

1. Accédez à votre compte Google, appuyez sur Sécurité et connexion, puis, dans le panneau « Activité récente liée à la sécurité de votre compte », sur Examiner l’activité liée à la sécurité. Pour toute activité inconnue, sélectionnez Non, sécuriser mon compte.
2. Appuyez sur Vos appareils, puis sur Gérer tous les appareils. Si vous en trouvez un que vous ne reconnaissez pas, sélectionnez Vous ne reconnaissez pas un appareil ? et suivez les instructions.
3. Changez votre mot de passe et activez la validation en deux étapes.
4. Si vous ne parvenez plus à vous connecter, utilisez la page de récupération de compte de Google.

Pour les autres comptes (messagerie, réseaux sociaux, achats en ligne), cherchez « sécurité », « activité de connexion » ou « appareils » dans les paramètres du compte.

Si vous avez saisi des données de carte ou de banque

1. Appelez tout de suite votre banque ou l’émetteur de la carte, et faites opposition. Utilisez le numéro figurant au dos de votre carte ou dans l’application officielle de votre banque, jamais un numéro donné dans le message. Cybermalveillance.gouv.fr demande de faire opposition immédiatement si vous avez communiqué des informations de paiement ou constaté des débits frauduleux.
2. Demandez une carte de remplacement et examinez vos dernières opérations ligne par ligne pour repérer celles que vous ne reconnaissez pas.
3. Changez le mot de passe de votre banque en ligne depuis un autre appareil et activez toute étape de connexion supplémentaire proposée par votre banque.
4. Conservez les preuves, en particulier le message reçu. Ne le supprimez pas avant d’avoir signalé et, si besoin, déposé plainte.
5. Si des paiements frauduleux ont été faits sur internet alors que vous avez toujours votre carte, après opposition vous pouvez les signaler sur Perceval (service-public.gouv.fr). Un signalement Perceval n’est pas une plainte, mais peut servir de justificatif auprès de votre banque. Les détails figurent dans la section sur le signalement.
6. Besoin de conseils ? La plateforme Info Escroqueries du ministère de l’Intérieur répond au 0 805 805 817 (appel gratuit, de 9 h à 18 h 30 du lundi au vendredi).

Si vous avez téléchargé ou installé quelque chose

Dans cette situation, le téléphone lui-même peut être touché : allez-y doucement et dans l’ordre.

1. N’ouvrez pas le fichier ni l’application. S’ils sont déjà ouverts, fermez-les.
2. Coupez la connexion si vous ne pouvez pas la supprimer tout de suite. Désactiver le Wi-Fi et les données mobiles empêche une application de communiquer pendant que vous intervenez. C’est une mesure de bon sens, pas une exigence des sources citées plus bas.
3. Supprimez-la, avec les étapes de votre téléphone.
4. Mettez votre téléphone à jour, puis changez vos mots de passe depuis un autre appareil. Commencez par la messagerie et la banque.
5. Vérifiez vos comptes avec les étapes de la section sur les mots de passe.

iPhone

Apple recommande de n’installer des logiciels que depuis l’App Store ou directement auprès du développeur, et met en garde contre les applications qui demandent d’installer des profils de configuration, lesquels peuvent ensuite contrôler votre appareil.

1. Balayez vers la gauche après la dernière page de l’écran d’accueil pour ouvrir la bibliothèque d’apps, puis touchez le champ de recherche. Vous verrez la liste alphabétique de toutes les apps.
2. Maintenez le doigt sur l’app que vous ne reconnaissez pas, puis touchez Supprimer l’app.
3. Redémarrez le téléphone.

Android

Le conseil de Google pour supprimer les logiciels non sécurisés commence par Google Play Protect.

1. Ouvrez le Play Store, appuyez sur l’icône de votre profil, puis sur Play Protect et Paramètres, et vérifiez que Analyser les applications avec Play Protect est activé. Si vous avez installé des applications provenant d’ailleurs que du Play Store, Google conseille d’activer Améliorer la détection des applis dangereuses. Lancez ensuite une analyse.
2. Allez dans Paramètres > Applications (sur certains téléphones Applications et notifications), appuyez sur Afficher toutes les applications et ouvrez celles que vous ne reconnaissez pas, que vous n’avez pas obtenues sur le Play Store ou auxquelles vous ne faites pas confiance. Appuyez sur Désinstaller.
3. Si les signes de logiciel non sécurisé persistent, Google indique que vous pouvez réinitialiser l’appareil aux paramètres d’usine ou demander de l’aide à son fabricant. Sauvegardez d’abord ce dont vous avez besoin.

Si un fichier a été téléchargé mais jamais ouvert, supprimez-le du dossier Téléchargements. Sur Android, désactivez aussi l’autorisation « installation d’applis inconnues » pour l’application que vous avez utilisée, comme expliqué dans la section suivante.

Si vous avez accepté une autorisation, un profil ou un réglage

Certaines pages frauduleuses ne cherchent pas votre mot de passe. Elles vous demandent d’accepter quelque chose : un profil de configuration sur iPhone, une application qui demande d’installer d’autres applications, ou une application qui demande à administrer votre téléphone.

iPhone : chercher un profil de configuration inconnu

Apple indique de consulter Réglages > Général > VPN et gestion de l’appareil. Si vous ne voyez aucun profil, aucun profil de gestion d’appareil n’est installé. Si vous en voyez un que vous n’avez pas configuré et qui ne vient pas de votre école ou de votre employeur :

1. Touchez le profil, puis Supprimer le profil, et suivez les instructions à l’écran.
2. Redémarrez l’iPhone.

Supprimer un profil supprime aussi les réglages, apps et données qui lui sont liés. Si le téléphone appartient à votre établissement scolaire ou à votre entreprise, demandez d’abord à votre administrateur.

Android : applications inconnues et applis d’administration d’appareils

1. Ouvrez Paramètres > Applis > Accès spéciaux des applis > Installation d’applis inconnues. Appuyez sur chaque appli autorisée, comme votre navigateur ou un gestionnaire de fichiers, et désactivez Autoriser cette source. (C’est le chemin indiqué par l’aide Google pour Pixel ; les noms de menus diffèrent sur d’autres téléphones.)
2. Ouvrez Paramètres > Sécurité et cherchez Applis d’administration d’appareils dans les paramètres de sécurité avancés. Google y voit l’endroit où chercher ou supprimer les applications qui peuvent gérer votre téléphone. Supprimez celles que vous ne reconnaissez pas.
3. Ouvrez Paramètres > Applications, appuyez sur une appli dont vous doutez, puis sur Autorisations pour voir ce qu’elle peut utiliser ; passez sur Ne pas autoriser tout ce dont elle n’a pas besoin. Si vous ne connaissez pas l’appli, désinstallez-la.
4. Vérifiez l’activité de votre compte Google comme indiqué plus haut.

Comment signaler un message de phishing

Signaler est gratuit, prend quelques minutes et aide d’autres personnes à ne pas tomber dans le même piège.

Sur le téléphone

• iPhone : dans Messages, balayez le message vers la gauche, touchez l’icône qui apparaît, puis Supprimer et signaler comme indésirable. Si vous l’avez déjà ouvert, touchez Signaler comme indésirable en bas du message, puis Supprimer et signaler comme indésirable. Selon Apple, on ne peut plus signaler un message auquel on a répondu, et selon votre opérateur et votre pays, le signalement peut être transmis à votre opérateur.
• Android (Google Messages) : maintenez le doigt sur la conversation et appuyez sur Signaler comme spam, ou ouvrez la conversation et choisissez Bloquer et signaler comme spam.
• Si le message se faisait passer pour Apple, Apple demande d’envoyer une capture d’écran par e-mail à reportphishing@apple.com.

En France

• 33700 : transférez le SMS ou MMS suspect au 33700 (service gratuit) ou signalez-le sur 33700.fr. Selon la plateforme, les signalements sont transmis chaque jour aux opérateurs.
• Signal Spam (signal-spam.fr) : pour les e-mails suspects ; il faut créer un compte pour signaler. Cybermalveillance.gouv.fr précise que Signal Spam est associé à la CNIL.
• Phishing Initiative (phishing-initiative.fr) : pour signaler l’adresse d’un faux site francophone ; une fois confirmée, l’adresse peut être bloquée dans les navigateurs participants.
• Cybermalveillance.gouv.fr : assistance aux victimes (17Cyber) avec diagnostic, conseils et accompagnement, et fiche « Que faire en cas de phishing ou d’hameçonnage ? ».
• Plainte : si vous avez perdu de l’argent ou si vos données servent à usurper votre identité, déposez plainte au commissariat ou à la gendarmerie. Pour le phishing, vous pouvez aussi porter plainte en ligne avec THESEE (masecurite.interieur.gouv.fr). Pour un paiement frauduleux sur internet avec la carte toujours en votre possession, c’est Perceval (service-public.gouv.fr) après opposition ; ce n’est pas une plainte.
• Autres numéros utiles : Info Escroqueries 0 805 805 817 (gratuit, 9 h à 18 h 30 du lundi au vendredi) ; France Victimes 116 006 (gratuit, 7 jours sur 7, de 9 h à 19 h) pour être accompagné dans les démarches.
• PHAROS (internet-signalement.gouv.fr) : portail officiel du ministère de l’Intérieur pour signaler les contenus illicites de l’internet.

Si vous êtes au Royaume-Uni ou aux États-Unis : vous pouvez transférer le SMS au 7726 (les lettres de SPAM sur le clavier) et, au Royaume-Uni, envoyer une capture d’écran à report@phishing.gov.uk (NCSC) ; aux États-Unis, le site officiel est reportfraud.ftc.gov. Cette note vient de la version anglaise d’origine et ne concerne pas la France.

Quand demander plus d’aide

Contactez le fabricant de votre téléphone, votre opérateur ou une personne de confiance si, après avoir suivi votre ligne, vous voyez encore des fenêtres que vous ne pouvez pas fermer, des applications que vous n’avez pas installées ou des messages que vous n’avez pas envoyés. Si le message est arrivé sur un téléphone professionnel, prévenez votre service informatique ; le NCSC conseille la même chose.

Sources consultées

Nous avons lu ces pages officielles le 28 octobre 2026. Le nom des menus change d’une version à l’autre ; si votre téléphone est différent, cherchez le nom du réglage dans l’application Réglages.

• Assistance Apple (FR), Modifier le mot de passe de votre compte Apple, publié le 29 septembre 2026.
• Assistance Apple (FR), Vérifier les appareils connectés à votre compte Apple, publié le 21 septembre 2026.
• Assistance Apple (FR), Reconnaître et éviter les procédés d’ingénierie sociale comme les messages d’hameçonnage, les faux appels d’assistance et autres escroqueries, publié le 21 juin 2026.
• Assistance Apple (FR), Mettez à jour votre iPhone ou iPad, publié le 22 septembre 2026.
• Assistance Apple (FR), Passer en revue et supprimer des profils de configuration et Passer en revue et supprimer des apps.
• Assistance Apple (FR), Signaler les messages indésirables et bloquer des expéditeurs dans Messages sur l’iPhone.
• Aide Compte Google, Supprimer les logiciels malveillants ou non sécurisés (version Android) et Sécuriser un compte Google piraté.
• Aide Téléphone Pixel, Gérer les paramètres de sécurité et de confidentialité de votre téléphone Pixel et Télécharger des applications sur votre téléphone Pixel ; Aide Android, Modifier les autorisations des applications sur votre téléphone Android ; Aide Google Messages, Signaler comme spam dans Google Messages.
• Cybermalveillance.gouv.fr, Que faire en cas de phishing ou hameçonnage ?, mis à jour le 26 octobre 2026, et page d’accueil (17Cyber).
• 33700.fr ; Signal Spam ; Phishing Initiative ; PHAROS, internet-signalement.gouv.fr.
• Service-Public, Signaler une fraude à la carte bancaire (Perceval), vérifié le 14 octobre 2026, et Porter plainte ; Ma Sécurité (ministère de l’Intérieur), Arnaques sur internet (THESEE), mis à jour le 14 octobre 2026, et Fraude à la carte bancaire (Perceval), mis à jour le 22 octobre 2026.
• NCSC (Royaume-Uni), Phishing scams: report a scam text message, If you’ve shared sensitive information et Phishing attacks: defending your organisation, revu le 13 février 2024 ; FTC (États-Unis), ReportFraud.ftc.gov.

Un moyen de vérifier les liens plus tôt

Information : BlueHammer Security est notre produit. Il peut analyser les QR codes et les liens, une façon de vérifier un lien avant de l’ouvrir, même s’il ne peut rien annuler après un clic. Pour en savoir plus, consultez la page BlueHammer Security (en anglais).