J'ai cliqué sur un lien douteux : que faire tout de suite

Vous avez cliqué sur un lien douteux reçu par mail ou par SMS au travail, et vous vous demandez que faire. C'est sans doute de l'hameçonnage : un faux message qui imite un service connu pour vous voler vos codes. Pas de panique : quelques gestes simples, selon ce que vous avez fait ensuite, limitent les risques. Voici les gestes à faire tout de suite, selon votre cas, puis qui prévenir.

J'ai cliqué sur un lien douteux : que faire selon votre cas ?

Les gestes à faire dépendent de ce qui s'est passé ensuite. Trois situations se présentent.

Cas 1 : vous avez seulement ouvert la page

Vous avez vu la page, puis vous l'avez fermée sans rien taper. Rappelez-vous l'adresse affichée en haut de l'écran, ou retrouvez-la dans l'historique de votre navigateur (le programme qui affiche les sites) : selon Cybermalveillance.gouv.fr, si elle ne correspond pas exactement au site attendu, c'est très certainement un faux site, et un seul caractère peut changer pour vous tromper. Gardez le message et prévenez votre responsable.

Cas 2 : vous avez saisi un mot de passe

Changez-le immédiatement sur le service concerné : la section suivante détaille les gestes.

Cas 3 : vous avez ouvert ou téléchargé un fichier

Une pièce jointe d'un message suspect peut contenir un virus, c'est-à-dire un programme caché qui abîme l'ordinateur ou espionne ce que vous faites. N'ouvrez plus rien. Coupez le Wi-Fi ou débranchez le câble réseau, sans éteindre l'appareil, puis prévenez tout de suite la personne qui s'occupe de l'informatique et attendez ses consignes.

J'ai donné mon mot de passe : les gestes dans l'ordre

Au moindre soupçon, n'attendez pas de savoir si le piège était réel : changez le mot de passe tout de suite, comme le conseille la fiche sur les mots de passe. Voici les gestes à faire, depuis un autre appareil si vous avez un doute sur le vôtre.

1. Changez le mot de passe sur le service concerné, puis sur tous les sites où vous utilisiez le même. Selon Cybermalveillance.gouv.fr, il faut le changer immédiatement.
2. Si c'est votre messagerie qui est touchée, changez-la en priorité : elle permet de recevoir les liens « mot de passe oublié » de vos autres comptes, banque comprise.
3. Déconnectez les appareils inconnus, comme le détaille la fiche sur le piratage de compte, dans les réglages du compte, rubrique historique des connexions : sinon, le pirate peut rester connecté même après le changement de mot de passe. Faites d'abord une capture d'écran.
4. Vérifiez le numéro de téléphone et l'adresse de secours du compte, et pour une messagerie, l'absence de transfert automatique de vos messages vers une autre adresse, ou de règles de tri que vous n'avez pas créées.
5. Si vous avez donné des informations de paiement, ou si des débits anormaux apparaissent, faites opposition tout de suite auprès de la banque.

Pour la suite, la politique de mots de passe et de double vérification aide à éviter qu'un seul mot de passe ouvre tout.

Qui prévenir au travail, et quoi dire ?

Prévenez sans attendre votre responsable ou votre prestataire informatique. Vous n'avez rien à vous reprocher : ces messages sont faits pour tromper.

Dites simplement :

• d'où venait le message (mail, SMS) et à quelle heure vous avez cliqué ;
• ce que vous avez fait ensuite : rien, un mot de passe tapé, un fichier ouvert ;
• ce que vous avez déjà changé.

Ne supprimez pas le message : il faut conserver les preuves, en particulier le message reçu. Ne cachez rien et n'attendez pas de voir si « quelque chose se passe ». Si le compte piraté a pu servir à écrire à vos contacts, prévenez-les pour qu'ils ne tombent pas à leur tour dans le piège.

Le dirigeant qui veut organiser la réponse peut s'appuyer sur le modèle de plan de réponse à incident.

Où signaler le message et se faire aider ?

Signaler un message piégé, même si l'on n'est pas tombé dans le piège, limite le nombre de victimes et peut aider à identifier l'escroc.

• Un SMS : signalez-le gratuitement sur la plateforme 33700 ou en le transférant par SMS au 33700.
• Un mail : signalez-le sur Signal Spam, associé à la CNIL, après une inscription gratuite sur signal-spam.fr, comme l'indique Cybermalveillance.gouv.fr.
• Le faux site : copiez son adresse sur Phishing Initiative, qui bloquera le site s'il est frauduleux.
• Des conseils : Info Escroqueries, service de la police nationale, répond aux particuliers et aux entreprises au 0 805 805 817, gratuit, de 9h à 18h30 du lundi au vendredi.

Si vous avez transmis des coordonnées bancaires, constaté des débits frauduleux ou une usurpation d'identité, déposez plainte au commissariat ou à la gendarmerie. Côté entreprise, le responsable du traitement des données doit notifier à la CNIL une violation de données personnelles présentant un risque pour les personnes, dans les 72 heures après avoir acquis une certitude raisonnable qu'elle a eu lieu. Si vous êtes salarié, prévenez votre responsable : c'est lui qui décide de la suite.

Comment éviter le prochain clic ?

Sur ordinateur, posez la souris sur un lien sans cliquer : la vraie adresse s'affiche. En cas de doute, contactez directement l'organisme, par un moyen que vous connaissez déjà.

Voici un exemple typique reçu au bureau :

« Votre boîte mail est presque pleine. Vos messages seront bloqués sous 24 h. Confirmez votre compte ici. »

Ce message joue sur l'urgence et la menace, puis demande un mot de passe. Aucune organisation sérieuse ne vous demandera votre mot de passe par message ou par téléphone. Activez aussi, si le service le propose, la double vérification : un code supplémentaire, reçu par exemple par SMS, à chaque nouvelle connexion. Pour aller plus loin, le panorama des pièges de l'hameçonnage en 2026 détaille les arnaques du moment.

Questions fréquentes

J'ai cliqué sur un lien phishing mais je n'ai rien saisi, est-ce grave ?

Le phishing, ou hameçonnage, est un faux message qui imite un service connu pour vous voler vos codes. Ne saisissez rien, gardez le message et prévenez votre responsable ou votre prestataire informatique.

J'ai cliqué sur un lien frauduleux, que faire en premier ?

Cela dépend de ce que vous avez fait après le clic : les trois cas sont détaillés plus haut. Si vous avez saisi un mot de passe, changez-le immédiatement.

J'ai cliqué sur un lien douteux dans un SMS, que faire ?

Ne répondez pas et ne saisissez rien. Signalez le SMS gratuitement au 33700. Si vous avez tapé un mot de passe, changez-le immédiatement.

J'ai cliqué sur un lien douteux sur mon téléphone professionnel, qui prévenir ?

Prévenez votre responsable ou le prestataire informatique de l'entreprise, en expliquant ce que vous avez fait après le clic.

Faut-il supprimer le mail douteux après avoir cliqué ?

Non : gardez-le, il servira de preuve et au signalement.

Sources

• Que faire en cas de phishing ou hameçonnage ? — Cybermalveillance.gouv.fr
• Comment signaler un mail de phishing ou d'hameçonnage ? — Cybermalveillance.gouv.fr
• Piratage de compte, que faire ? — Cybermalveillance.gouv.fr
• Pourquoi et comment bien gérer ses mots de passe ? — Cybermalveillance.gouv.fr

Comment Sedona peut aider

Ces pièges s'appuient souvent sur ce que l'entreprise laisse voir sur Internet : adresses de messagerie, nom de domaine facile à imiter, services oubliés. Si vous dirigez ou gérez une entreprise, Sedona Radar fait l'audit de sécurité externe automatisé de son domaine, sans rien installer, et classe ce qu'il trouve par gravité, avec un plan d'action.

Parmi ce qu'il examine :

• Vos noms de domaine : les sous-domaines publics, la configuration DNS de votre messagerie, les sous-domaines qu'un tiers pourrait reprendre.
• Vos portes ouvertes : les services qui répondent depuis Internet, les logiciels qui les font tourner et leurs failles connues.

Le plan Discovery, gratuit, donne un premier Scan de Contrôle : score de risque, vos 3 vulnérabilités les plus graves, le décompte par sévérité et vos scores sur les 6 référentiels. Radar ne voit que ce qui est exposé sur Internet, pas l'intérieur de votre réseau ; il évalue votre exposition, il ne certifie rien. Pour en parler, nous contacter.

Article publié le 23/10/2026. Une erreur, une source à mettre à jour ? Nous contacter : nous corrigeons et datons la correction.