Cybersécurité personnelle
Un guide exhaustif pour comprendre les menaces, protéger vos appareils, vos données et votre vie privée — sans jargon inutile.
Introduction à la cybersécurité
La cybersécurité n'est pas réservée aux experts. C'est l'ensemble des pratiques qui protègent vos appareils, vos données et votre identité numérique contre les attaques. En 2024, une cyberattaque se produit toutes les 39 secondes dans le monde.
Pourquoi vous êtes une cible
Contrairement à ce que l'on pense, les cybercriminels ne ciblent pas uniquement les grandes entreprises. Vos données personnelles — email, numéro de carte bancaire, photos, identifiants — ont une valeur marchande sur le dark web. Un email avec un mot de passe valide se vend entre 0,50 € et 10 €. Un accès complet à un compte bancaire peut atteindre plusieurs centaines d'euros.
La triade CIA
Les trois piliers de la sécurité informatique :
- Confidentialité — seules les personnes autorisées accèdent aux données
- Intégrité — les données ne sont pas altérées sans autorisation
- Disponibilité — les systèmes et données sont accessibles quand on en a besoin
Le coût humain
Au-delà du financier, une cyberattaque peut :
- Voler votre identité (usurpation d'identité)
- Compromettre votre vie professionnelle
- Exposer des photos ou données intimes
- Bloquer l'accès à vos souvenirs (photos, emails)
- Prendre des mois à résoudre
Le principe du maillon faible
Un système est aussi sûr que son maillon le plus faible. Dans 95 % des incidents de sécurité, l'erreur humaine joue un rôle — un clic sur un lien frauduleux, un mot de passe réutilisé, une mise à jour ignorée. La bonne nouvelle : ces erreurs sont évitables avec les bonnes habitudes.
Les menaces actuelles
Le paysage des menaces évolue rapidement. Voici ce qui représente les plus grands risques pour les particuliers en 2026.
Phishing (hameçonnage)
Toujours la menace n°1. Les emails frauduleux imitent des banques, services publics ou grandes marques. En 2024, 3,4 milliards d'emails de phishing sont envoyés chaque jour dans le monde.
Ransomwares
Logiciels qui chiffrent vos fichiers et réclament une rançon. Les attaques contre les particuliers ont augmenté de 68 % en 2024. Coût moyen d'une attaque : 4 500 € pour un particulier.
Usurpation d'identité
Avec vos données personnelles, un criminel peut ouvrir des crédits, souscrire des abonnements, commettre des fraudes en votre nom. Il faut en moyenne 6 mois pour s'en remettre.
Smishing & vishing
Phishing par SMS et appel téléphonique. En France, le smishing a augmenté de 300 % entre 2022 et 2024 selon cybermalveillance.gouv.fr.
Attaques assistées par IA
L'IA permet de générer des emails de phishing indétectables, de cloner des voix, de créer des deepfakes convaincants, et d'automatiser les attaques à grande échelle.
Fuites de données
Vos données ont probablement déjà fuité. 533 millions de comptes Facebook, 73 millions de comptes AT&T... Ces données alimentent des attaques ciblées sur des années.
Statistiques clés 2025-2026
- 1 Français sur 3 a été victime d'une cyberarnaque (Baromètre du numérique 2024)
- La France est le 3e pays le plus ciblé par les ransomwares en Europe
- 77 % des violations de données impliquent des identifiants compromis
- Le délai moyen pour détecter une intrusion est de 194 jours
- Coût moyen d'une violation de données pour un particulier : 1 200 €
Les cybercriminels
Comprendre qui sont les attaquants aide à mieux comprendre leurs méthodes et motivations.
Les script kiddies
Débutants qui utilisent des outils déjà faits sans vraiment les comprendre. Ils représentent la majorité des attaquants en volume mais leurs attaques sont généralement peu sophistiquées. Ils ciblent les victimes les plus faciles — celles qui n'ont aucune protection de base.
Les cybercriminels organisés
Groupes structurés comme des entreprises, avec des équipes spécialisées (développeurs de malwares, recruteurs de mules financières, négociateurs pour les rançons). Ils opèrent souvent depuis des pays sans extradition vers la France. Motivés uniquement par l'argent.
Les hackers "à la demande" (crime-as-a-service)
Le dark web propose des services clé en main : louer un ransomware (Ransomware-as-a-Service), acheter des listes d'emails, commander des attaques DDoS. N'importe qui peut commander une attaque sans compétences techniques. Un kit de phishing complet se loue à partir de 50 €/mois.
Les hacktivistes
Motivés par des causes politiques ou sociales. Ils ciblent rarement les particuliers, sauf si vous êtes associé à une organisation qu'ils combattent.
Les États-nations
Groupes financés par des gouvernements (APT). S'ils vous ciblent spécifiquement, les protections standards ne suffiront pas — mais ils ne ciblent pas les particuliers ordinaires.
L'ingénierie sociale
L'ingénierie sociale consiste à manipuler psychologiquement une personne pour qu'elle fasse quelque chose qu'elle ne ferait pas normalement. C'est l'arme la plus efficace des cybercriminels car elle contourne la technologie en exploitant l'humain.
Les 6 principes d'influence utilisés
- Autorité — se faire passer pour un policier, un agent des impôts, un responsable informatique
- Urgence — "votre compte sera bloqué dans 2h", "action requise immédiatement"
- Réciprocité — offrir quelque chose (bon cadeau, aide technique) pour obtenir en retour
- Preuve sociale — "1 000 personnes ont déjà réclamé leur remboursement"
- Sympathie — se montrer aimable, compréhensif, sembler partager vos intérêts
- Rareté — "offre limitée", "dernière chance"
Pretexting
L'attaquant crée un scénario élaboré (prétexte) pour vous soutirer des informations. Exemple : appel d'un "technicien de votre banque" qui a "détecté une activité suspecte" et a besoin de votre code de confirmation.
Baiting
Laisser une "clé USB trouvée dans un parking" — une technique réelle et efficace. La curiosité pousse à brancher la clé. Résultat : installation silencieuse d'un logiciel malveillant.
Quid pro quo
"Je vous aide à résoudre votre problème informatique, en échange j'ai besoin d'accéder à votre ordinateur." L'aide semble désintéressée, mais l'accès accordé est utilisé pour installer un malware.
Tailgating
Suivre quelqu'un dans un endroit sécurisé en profitant de sa courtoisie ("merci de me tenir la porte"). S'applique aussi au numérique : utiliser votre session ouverte sur un ordinateur partagé.
Comment se protéger
- Vérifiez toujours l'identité de la personne en la rappelant sur un numéro officiel
- Ne communiquez jamais d'informations sensibles sous pression — prenez le temps de réfléchir
- Méfiez-vous de tout ce qui crée une émotion forte (peur, urgence, enthousiasme)
- Le légitime n'a pas besoin de vous mettre sous pression
- En cas de doute, raccrochez et rappelez par un canal officiel
Le phishing
Le phishing (hameçonnage) est l'attaque la plus répandue. Des communications frauduleuses imitent des entités légitimes pour voler identifiants, données bancaires ou installer des malwares.
Les variantes du phishing
- Email phishing — la forme classique, envoyée en masse
- Spear phishing — ciblé sur une personne ou organisation spécifique, avec des détails personnalisés
- Whaling — spear phishing ciblant les dirigeants (PDG, DAF...)
- Smishing — par SMS (faux colis, remboursement, amendes)
- Vishing — par appel téléphonique (faux support technique, fausse banque)
- Quishing — via QR codes frauduleux
- Clone phishing — copie conforme d'un email légitimement reçu, avec un lien malveillant
Comment reconnaître un email de phishing
- Adresse expéditeur suspecte — le nom affiché peut être faux, vérifiez l'adresse réelle
- Domaine imité — "paypa1.com", "amazon-secure.net", "impots-gouv.fr.malicious.com"
- Salutation générique — "Cher client" au lieu de votre prénom
- Fautes d'orthographe — encore présentes dans les attaques basiques (mais disparaissent avec l'IA)
- Urgence et menace — "votre compte sera suspendu", "action requise sous 24h"
- Lien suspect — survolez sans cliquer pour voir l'URL réelle
- Pièce jointe inattendue — .exe, .zip, .docm, .pdf avec macro
- Demande d'informations sensibles — aucun service légitime ne demande votre mot de passe par email
Les cibles favorites en France
- La Poste / Colissimo (faux avis de passage, colis bloqué)
- Ameli / Assurance Maladie (remboursement en attente)
- Direction générale des Finances publiques (remboursement fiscal)
- EDF, Orange, SFR (facture impayée, coupure imminente)
- Banques françaises (Crédit Agricole, BNP, Société Générale)
- Netflix, Amazon, PayPal (paiement refusé, compte suspendu)
En cas de phishing reçu
- Ne cliquez pas et ne téléchargez rien
- Signalez l'email comme spam/phishing dans votre messagerie
- Transférez-le à signal-spam@signal-spam.fr
- Pour les SMS frauduleux : transférez au 33700 (gratuit)
- Signalez sur phishing-initiative.eu
Les malwares
Un malware (logiciel malveillant) est un programme conçu pour nuire à votre système, voler vos données ou en prendre le contrôle. Il en existe de nombreux types, chacun avec des objectifs différents.
Virus
S'attach à un fichier existant et se réplique lors de l'exécution. Peut corrompre des fichiers, ralentir le système, ou ouvrir une backdoor. Nécessite une action de l'utilisateur pour s'activer (ouvrir un fichier infecté).
Cheval de Troie (Trojan)
Se déguise en logiciel légitime. Une fois installé, il ouvre un accès à l'attaquant, vole des données, ou télécharge d'autres malwares. C'est l'un des types les plus répandus.
Spyware
Logiciel espion qui surveille vos activités à votre insu : capture de frappes au clavier (keylogger), captures d'écran, accès à la caméra ou au micro, historique de navigation, identifiants bancaires.
Adware
Affiche des publicités intrusives et peut rediriger votre navigation. Souvent installé avec des logiciels gratuits douteux. Moins dangereux mais très invasif et souvent porteur d'autres malwares.
Rootkit
Se cache au niveau profond du système d'exploitation pour éviter toute détection. Très difficile à éliminer. Permet à l'attaquant de maintenir un accès persistant à votre machine sur des mois ou des années.
Botnet
Votre ordinateur devient un "zombie" contrôlé à distance, utilisé pour envoyer des spams, miner des cryptomonnaies, ou lancer des attaques contre d'autres cibles — à votre insu et avec votre connexion internet.
Comment se propage un malware
- Pièce jointe email malveillante (PDF, Word avec macros, ZIP)
- Téléchargement de logiciels piratés ou de sources non officielles
- Sites web compromis (drive-by download — sans aucun clic de votre part)
- Clé USB infectée
- Fausses mises à jour (Flash, Java, navigateur)
- Applications mobiles hors des stores officiels
- Exploitation d'une faille non corrigée (d'où l'importance des mises à jour)
Signes d'infection
- Ordinateur lent ou qui surchauffe sans raison
- Activité disque ou réseau anormale
- Pop-ups intempestifs, navigateur qui redirige vers des sites inconnus
- Programmes qui s'ouvrent ou se ferment seuls
- Antivirus désactivé ou inaccessible
- Comptes en ligne avec des connexions inconnues
- Maintenez votre OS et logiciels à jour
- Utilisez un antivirus (Windows Defender suffit sur Windows)
- N'installez des logiciels que depuis les sources officielles
- Méfiez-vous des extensions de navigateur — vérifiez leurs permissions
- Ne branchez pas de clé USB trouvée ou d'origine inconnue
Les ransomwares
Un ransomware chiffre vos fichiers et exige une rançon pour les déchiffrer. C'est l'une des attaques les plus destructrices pour les particuliers comme pour les entreprises.
Comment fonctionne une attaque ransomware
- Le malware s'installe via un email piégé, un site compromis, ou un logiciel cracké
- Il se propage silencieusement sur le réseau et les disques connectés
- Il chiffre tous vos fichiers (documents, photos, vidéos) avec une clé que seul l'attaquant possède
- Un message apparaît : "Vos fichiers sont chiffrés. Payez X€ en Bitcoin pour récupérer la clé"
- Un compte à rebours ajoute la pression (48h, 72h avant que la rançon double)
Faut-il payer la rançon ?
Non. Europol et les autorités françaises déconseillent formellement de payer. Raisons :
- Rien ne garantit que vous récupérerez vos fichiers
- Vous financez le cybercrime
- Vous signalez que vous êtes prêt à payer — vous devenez une cible récurrente
- La clé fournie est parfois défectueuse
Que faire si vous êtes attaqué
- Déconnectez immédiatement l'appareil du réseau (Wi-Fi et câble)
- Ne redémarrez pas l'ordinateur
- Photographiez le message de rançon
- Consultez nomoreransom.org — des outils de déchiffrement gratuits existent pour certains ransomwares
- Signalez à la police et à cybermalveillance.gouv.fr
- Restaurez depuis votre sauvegarde hors ligne
Les mots de passe
Votre première ligne de défense. En 2024, "123456" reste le mot de passe le plus utilisé dans le monde. Un bon mot de passe peut faire toute la différence.
Ce qui rend un mot de passe faible
- Moins de 12 caractères
- Mots du dictionnaire, même avec des substitutions évidentes (p@ssw0rd)
- Informations personnelles (date de naissance, prénom, ville)
- Réutilisation sur plusieurs sites (le plus dangereux)
- Séquences simples (azerty, 123456, qwerty)
Temps pour craquer un mot de passe (2026)
| Mot de passe | Longueur | Temps |
|---|---|---|
| password | 8 | Instantané |
| P@ssw0rd | 8 | 3 minutes |
| Soleil2024! | 11 | 2 semaines |
| ChatNoir#Saute7Toits | 20 | 34 000 ans |
| Mot de passe aléatoire 16 car. | 16 | Billions d'années |
La méthode des phrases
Choisissez une phrase mémorable et transformez-la :
"J'ai mangé 3 pizzas chez Mario en 2019 !"
→ Jam3p@MenNov2019!
Long, mémorable, unique, complexe.
Le problème de la réutilisation
Si vous utilisez le même mot de passe sur 10 sites, et qu'un site se fait pirater, tous vos comptes sont compromis. C'est le "credential stuffing" — les attaquants testent automatiquement les identifiants volés sur des milliers de sites.
Visitez haveibeenpwned.com — entrez votre email et découvrez dans quelles fuites il apparaît. Si votre email y figure, changez immédiatement les mots de passe concernés.
Les gestionnaires de mots de passe
Un gestionnaire de mots de passe génère, stocke et remplit automatiquement des mots de passe uniques et complexes pour chaque site. C'est l'outil le plus important pour votre sécurité.
Comment ça fonctionne
Vous retenez un seul "mot de passe maître" fort. Le gestionnaire chiffre votre coffre-fort avec ce mot de passe et le synchronise entre vos appareils. Quand vous visitez un site, il remplit automatiquement vos identifiants. Vous n'avez jamais à mémoriser — ni même à connaître — vos mots de passe.
Comparatif des 3 principaux
| Bitwarden | 1Password | Dashlane | |
|---|---|---|---|
| Prix | Gratuit / 10$/an | 3$/mois | 4,99$/mois |
| Open source | ✓ | ✗ | ✗ |
| Version gratuite complète | ✓ | Essai 14j | 1 appareil |
| Interface | Correcte | Excellente | Très bonne |
| VPN inclus | ✗ | ✗ | Moyen |
| Plan famille | ✓ | ✓ (très bien) | ✓ |
| Audit sécurité | ✓ | ✓ | ✓ |
| Travel Mode | ✗ | ✓ | ✗ |
Notre conseil : commencez par Bitwarden. Gratuit, open source, suffisant pour 99% des besoins.
Autres options notables
- KeePass — open source, local (pas de cloud), pour les utilisateurs avancés qui veulent tout contrôler
- Apple Keychain — intégré à iOS/macOS, très pratique dans l'écosystème Apple, limité hors Apple
- Google Password Manager — intégré à Chrome/Android, pratique mais lié à Google
- Proton Pass — nouveau venu, même équipe que ProtonMail, open source, vie privée renforcée
L'authentification multifacteur (MFA/2FA)
L'authentification multifacteur ajoute une couche de sécurité en demandant une preuve supplémentaire d'identité au-delà du mot de passe. Même si votre mot de passe est volé, l'attaquant ne peut pas accéder à votre compte.
Les 3 facteurs d'authentification
- Ce que vous savez — mot de passe, PIN, question secrète
- Ce que vous possédez — téléphone, clé physique (YubiKey), carte bancaire
- Ce que vous êtes — empreinte digitale, reconnaissance faciale, iris
Le MFA combine au moins 2 de ces facteurs.
SMS (à éviter si possible)
Un code est envoyé par SMS. Pratique mais vulnérable au SIM swapping (transfert frauduleux de votre numéro vers une autre SIM). En France, plusieurs dizaines de cas par mois.
App d'authentification (recommandé)
Google Authenticator, Authy, Aegis (Android), Raivo (iOS) génèrent un code à 6 chiffres qui change toutes les 30 secondes. Plus sûr que le SMS car lié à votre appareil physique.
Clé physique (niveau expert)
YubiKey ou clé FIDO2 — clé USB ou NFC que vous branchez ou approchez de votre téléphone. Résiste même aux attaques de phishing sophistiquées. Recommandé pour les comptes critiques.
Passkeys (futur du 2FA)
Standard FIDO2 intégré dans iOS, Android et Windows. Remplace le mot de passe + 2FA par une seule authentification biométrique. Déployé par Google, Apple, Microsoft — c'est l'avenir.
Un attaquant qui connaît vos informations personnelles peut se faire passer pour vous auprès de votre opérateur et transférer votre numéro sur sa propre carte SIM — il reçoit alors vos SMS de 2FA et vos appels. Signes d'alerte : perte soudaine de réseau, notification "changement de carte SIM" non demandée. Protections : demandez à votre opérateur d'ajouter un code PIN ou mot de passe obligatoire pour toute demande de transfert de ligne, et préférez une app d'authentification ou une clé physique au SMS pour vos comptes les plus sensibles (email, banque).
Comment activer le 2FA sur vos services principaux
- Gmail — myaccount.google.com → Sécurité → Validation en deux étapes
- Facebook — Paramètres → Centre de comptes → Mot de passe et sécurité → 2FA
- Apple ID — Réglages → [votre nom] → Mot de passe et sécurité → 2FA
- Microsoft — account.microsoft.com → Sécurité → Options de sécurité avancées
- Instagram — Paramètres → Sécurité → Authentification à deux facteurs
- Banques françaises — DSP2 impose déjà le 2FA ; activez l'app bancaire plutôt que les SMS
Sécuriser Windows
Windows est le système d'exploitation le plus ciblé au monde. Bonne nouvelle : les versions récentes sont bien mieux sécurisées que leurs prédécesseurs, et les protections intégrées sont solides.
Démarrer → Paramètres → Windows Update → Activer les mises à jour automatiques. Les patches de sécurité critiques sont publiés le 2e mardi de chaque mois ("Patch Tuesday").
L'antivirus intégré à Windows 10/11 est désormais excellent selon les tests indépendants AV-Test. Pas besoin d'antivirus tiers payant. Vérifiez qu'il est actif : Sécurité Windows → Protection contre les virus.
Chiffre votre disque dur entier. Indispensable si votre ordinateur est volé. Panneau de configuration → Système et sécurité → Chiffrement de lecteur BitLocker. Ou cherchez "BitLocker" dans le menu Démarrer. Disponible sur Windows 10/11 Pro et Éducation.
Créez un compte standard pour votre usage quotidien. Gardez un compte administrateur séparé pour les installations. Un malware lancé en compte standard a des droits limités.
Sécurité Windows → Pare-feu et protection du réseau. Doit être actif sur tous les profils réseau (Domaine, Privé, Public). Ne le désactivez jamais, même si un logiciel le demande.
Paramètres → Confidentialité et sécurité. Désactivez : Historique des activités, diagnostics optionnels, publicités personnalisées, accès à la localisation/caméra/micro pour les apps non nécessaires.
Sécuriser macOS
macOS est moins ciblé que Windows mais pas exempt de menaces. Les malwares macOS ont augmenté de 400 % depuis 2019. Voici comment renforcer votre Mac.
Menu Apple → Réglages système → Général → Mise à jour de logiciels. Activez les mises à jour automatiques, y compris les réponses de sécurité rapides (nouvelles dans macOS Ventura+).
Chiffre votre disque avec XTS-AES-128. Réglages système → Confidentialité et sécurité → FileVault → Activer. Notez la clé de récupération dans votre gestionnaire de mots de passe.
Réglages système → Confidentialité et sécurité → section Sécurité. Choisissez "App Store et développeurs identifiés" comme source minimale. Gatekeeper bloque les apps non signées.
Réglages système → Réseau → Coupe-feu → Activer. Activez aussi le "mode furtif" pour rendre votre Mac invisible aux scans réseau.
Réglages système → Confidentialité et sécurité. Vérifiez qui a accès à votre caméra, micro, localisation, contacts, calendrier. Révoquez les accès non nécessaires.
Créez un compte standard pour l'usage quotidien. Votre compte admin reste pour les installations. Réglages système → Utilisateurs et groupes.
Sécuriser Linux
Linux est réputé plus sûr que Windows ou macOS, mais nécessite une configuration active pour être vraiment sécurisé. Ces conseils s'appliquent aux distributions grand public (Ubuntu, Debian, Fedora).
sudo apt update && sudo apt upgrade (Debian/Ubuntu) ou sudo dnf upgrade (Fedora). Automatisez avec unattended-upgrades sur Debian/Ubuntu.
La plupart des distributions proposent le chiffrement LUKS durant l'installation. C'est le bon moment — le rechiffrement a posteriori est complexe. Cochez "Chiffrer le disque" lors de l'installation.
sudo ufw enable && sudo ufw default deny incoming && sudo ufw allow out. Ouvrez uniquement les ports dont vous avez besoin.
Ne vous connectez jamais en root pour votre usage quotidien. Utilisez sudo pour les commandes qui l'exigent. Désactivez la connexion root SSH : PermitRootLogin no dans /etc/ssh/sshd_config.
Évitez les PPA non officiels et les installations via curl|bash non vérifiées. Préférez les paquets .deb/.rpm signés ou les Flatpak/Snap depuis des sources vérifiées.
Sécuriser Android
Android représente 72 % du marché mondial des smartphones. Sa nature ouverte est un avantage pour la personnalisation mais requiert plus de vigilance en matière de sécurité.
Paramètres → Système → Mises à jour. Google publie des patches de sécurité mensuels. Vérifiez aussi les mises à jour des apps dans le Play Store. Un téléphone sans mise à jour depuis 6 mois est vulnérable.
Désactivez l'installation depuis des sources inconnues (Paramètres → Apps → Accès spécial des apps). Le Play Store a ses limites mais filtre la majorité des malwares. Les APK tiers sont la principale source d'infection.
Paramètres → Applications → [app] → Autorisations. Révoquez l'accès à la localisation, caméra, micro, contacts pour les apps qui n'en ont pas besoin. Passez les permissions de localisation en "Uniquement lors de l'utilisation".
Android chiffre par défaut depuis Android 6. Activez un code PIN de 6 chiffres minimum ou biométrie. Désactivez les notifications détaillées sur l'écran de verrouillage.
Paramètres → Sécurité → Localiser mon appareil. En cas de vol, vous pouvez localiser, verrouiller à distance, ou effacer votre téléphone via android.com/find.
Play Store → icône profil → Play Protect. Scanne automatiquement vos apps à la recherche de malwares. Gratuit et activé par défaut — vérifiez qu'il n'a pas été désactivé.
Sécuriser iPhone (iOS)
iOS est généralement considéré comme plus sécurisé qu'Android grâce à son écosystème fermé et au contrôle strict d'Apple sur l'App Store. Mais quelques réglages s'imposent.
Réglages → Général → Mise à jour logicielle → Mises à jour automatiques. Apple publie des patches réguliers, parfois en urgence pour des failles critiques (zero-day). Installez-les rapidement.
Réglages → Face ID et code. Choisissez un code à 6 chiffres ou alphanumérique. Désactivez "Accès depuis l'écran verrouillé" pour les éléments sensibles (Siri, Wallet, Répondre aux messages).
Réglages → Confidentialité et sécurité. Passez en revue chaque catégorie (Localisation, Microphone, Caméra, Contacts, Photos). Préférez "Lors de l'utilisation" à "Toujours" pour la localisation.
Réglages → [votre nom] → iCloud → Protection avancée des données. Active le chiffrement de bout en bout pour vos sauvegardes, photos, notes iCloud. Disponible depuis iOS 16.2.
Réglages → Confidentialité et sécurité → Apple Advertising → Désactiver les publicités personnalisées. Aussi : Suivi → Demander à ne pas me suivre.
Réglages → Confidentialité et sécurité → Mode Isolement. Limite drastiquement les fonctionnalités pour une protection maximale. Uniquement si vous êtes journaliste, activiste ou cadre dirigeant à risque.
Réglages → [votre nom] → Localiser → Localiser mon iPhone. Permet de localiser l'appareil sur une carte, activer le Mode Perdu (verrouillage à distance avec message de contact), ou l'effacer entièrement via icloud.com/find. Activez aussi "Envoyer la dernière position" pour retrouver l'appareil même à batterie déchargée.
Protection des emails
L'email est le vecteur d'attaque numéro 1. C'est aussi votre identité numérique principale — perdre l'accès à votre email, c'est perdre l'accès à tout le reste.
Choisir un fournisseur email sécurisé
- ProtonMail — chiffrement de bout en bout, basé en Suisse, lois de confidentialité strictes. Gratuit pour l'usage de base.
- Tutanota — similaire à ProtonMail, open source, basé en Allemagne
- Gmail — pratique mais Google scanne vos emails pour personnaliser les publicités
- La Poste / Orange — pratiques pour les non-tech mais sécurité basique
Emails alias
Services comme SimpleLogin (racheté par ProtonMail) ou AnonAddy vous donnent des alias : vous communiquez depuis "achats-xyz123@simplelogin.io" — votre vraie adresse reste secrète. En cas de spam, désactivez l'alias.
Pièces jointes dangereuses
Extensions à haut risque : .exe, .js, .vbs, .wsf, .hta, .docm, .xlsm, .pptm (fichiers Office avec macros). Une facture PDF peut être piégée — ouvrez les fichiers douteux sur virustotal.com avant de les ouvrir.
Les images dans les emails peuvent confirmer que votre adresse est active (pixel de tracking). Dans Gmail : Paramètres → Demander avant d'afficher les images externes. Dans Outlook : Fichier → Centre de gestion de la confidentialité.
Bonnes pratiques email
- Utilisez une adresse dédiée pour les inscriptions à des services (distincte de votre email personnel)
- Ne répondez jamais à un spam — ça confirme que votre adresse est active
- Méfiez-vous des emails transférés par un ami — son compte a peut-être été piraté
- Vérifiez l'adresse de réponse (Reply-To) — souvent différente de l'adresse d'envoi
- Activez le 2FA sur votre compte email en priorité absolue
Chiffrement des emails (PGP/GPG)
Le contenu d'un email classique circule en clair — n'importe qui interceptant le trafic (ou ayant accès au serveur du fournisseur) peut le lire. Le chiffrement PGP (Pretty Good Privacy) / GPG (GNU Privacy Guard, l'implémentation open source) résout ça avec une paire de clés :
- Clé publique — partagée librement, elle sert à chiffrer un message qui vous est destiné
- Clé privée — gardée secrète, elle seule permet de déchiffrer les messages reçus
- Permet aussi de signer un email pour prouver qu'il vient bien de vous et n'a pas été modifié
Outils : ProtonMail et Tutanota gèrent le chiffrement automatiquement entre leurs utilisateurs. Pour Gmail/Outlook, l'extension Mailvelope (navigateur) ou le logiciel GPG Suite (macOS) / Gpg4win (Windows) ajoutent PGP à n'importe quelle messagerie.
À réserver aux échanges vraiment sensibles (juridique, médical, journalistique) — la gestion des clés reste technique pour un usage quotidien.
Wi-Fi et réseaux domestiques
Votre réseau domestique est la porte d'entrée de tous vos appareils connectés. Un routeur mal configuré expose non seulement votre ordinateur, mais aussi votre télévision, vos ampoules et votre sonnette connectée.
Accédez à votre routeur via 192.168.1.1 ou 192.168.0.1 (vérifiez le dessous de votre box). Changez immédiatement l'identifiant et le mot de passe admin par défaut (souvent "admin/admin"). Consultez le manuel de votre opérateur.
Dans les paramètres Wi-Fi de votre routeur, choisissez WPA3 si disponible, sinon WPA2-AES (jamais WEP, jamais WPA-TKIP — obsolètes et cassables en minutes). Mot de passe Wi-Fi : minimum 12 caractères aléatoires.
Isolez vos objets IoT (TV, enceintes, ampoules, caméras) sur un réseau Wi-Fi "invité" séparé. Ainsi, si votre télévision est compromise, l'attaquant ne peut pas accéder à votre ordinateur ou NAS.
Les routeurs ont des failles comme tout logiciel. Vérifiez les mises à jour firmware dans l'interface admin de votre box, ou activez les mises à jour automatiques si disponibles. Surtout pour les routeurs Wi-Fi indépendants.
Wi-Fi public : ce qu'il faut savoir
- Sur un Wi-Fi public, vos voisins peuvent intercepter votre trafic non chiffré
- Méfiez-vous des "evil twins" — réseaux Wi-Fi usurpant un nom légitime ("Café_du_coin" vs "CaféDuCoin")
- Évitez toute opération sensible (banque, achats) sur un Wi-Fi public
- Utilisez un VPN sur les réseaux publics
- Désactivez le Wi-Fi et le Bluetooth quand vous ne les utilisez pas
- La 4G/5G est plus sûre qu'un Wi-Fi public pour les opérations sensibles
VPN (Réseau Privé Virtuel)
Un VPN chiffre votre connexion internet et masque votre adresse IP. Utile dans certains contextes, souvent sur-vendu. Voici ce qu'il fait vraiment — et ses limites.
Ce qu'un VPN fait
- Chiffre le trafic entre vous et le serveur VPN
- Masque votre adresse IP réelle aux sites visités
- Protège votre trafic sur les Wi-Fi publics
- Contourne les restrictions géographiques
- Cache votre navigation à votre FAI (Orange, SFR...)
Ce qu'un VPN ne fait PAS
- Ne vous rend pas anonyme à 100 %
- Ne protège pas contre les malwares ou le phishing
- Ne chiffre pas les sites que vous visitez (HTTPS le fait déjà)
- Ne cache pas vos activités au fournisseur VPN lui-même
- Ne remplace pas un antivirus ou un bon mot de passe
VPN recommandés
- Mullvad — le plus privé, paiement en cash possible, pas de compte email requis, 5 €/mois
- ProtonVPN — open source, audité, version gratuite sans logs, 4-10 €/mois
- IVPN — axé vie privée, audité, supporte les paiements anonymes
- ExpressVPN / NordVPN — populaires et fiables, mais marketing agressif et propriétaires moins transparents
Quand utiliser un VPN ?
- Sur un Wi-Fi public (café, hôtel, aéroport)
- Pour contourner des restrictions géographiques légitimes
- Si vous souhaitez que votre FAI ne voie pas vos activités
- En voyage dans des pays avec surveillance internet (Chine, Russie, EAU)
Vous n'avez pas besoin d'un VPN allumé en permanence chez vous si votre connexion est sécurisée.
Sauvegardes
Les sauvegardes sont votre filet de sécurité ultime. Contre les ransomwares, les pannes, les vols, les accidents. Une sauvegarde non testée n'existe pas.
La règle 3-2-1
- 3 copies de vos données (l'originale + 2 sauvegardes)
- 2 supports différents (ex : disque externe + cloud)
- 1 copie hors site (dans le cloud, chez un proche, au bureau)
La copie hors site est cruciale contre les ransomwares (qui chiffrent les disques connectés) et les sinistres (incendie, vol).
Sauvegarde locale
- Windows — Historique des fichiers (intégré), ou Macrium Reflect (gratuit, plus complet)
- macOS — Time Machine (intégré, vers un disque externe ou NAS)
- Linux — rsync, Timeshift, Déjà Dup
Disque externe à déconnecter après la sauvegarde pour le protéger des ransomwares.
Sauvegarde cloud
- Backblaze — illimité, 7 €/mois, très simple, testé et fiable
- iCloud (Apple) — pratique pour les Mac/iPhone
- Google One — 2 To pour 3,49 €/mois
- Proton Drive — chiffré de bout en bout
- Synology NAS — solution avancée pour les familles
Sécurité dans le cloud
Le cloud est pratique mais vos données sont stockées sur des serveurs que vous ne contrôlez pas. Voici comment l'utiliser en toute sécurité.
Risques du cloud
- Fuite de données chez le fournisseur
- Accès non autorisé si votre compte est piraté
- L'entreprise peut accéder à vos fichiers (selon les CGU)
- Fermeture du service (ex : Google Drive for Education)
- Gouvernements peuvent demander l'accès aux données
Bonnes pratiques
- Activez le 2FA sur vos comptes cloud
- Chiffrez les fichiers sensibles avant de les envoyer dans le cloud
- Préférez des services avec chiffrement de bout en bout pour les données sensibles
- Vérifiez qui a accès à vos dossiers partagés
- Ne stockez pas de mots de passe ou documents d'identité non chiffrés dans le cloud
Chiffrement avant cloud
Pour les fichiers très sensibles, chiffrez-les avant de les envoyer dans le cloud avec Cryptomator (gratuit, open source). Vos fichiers sont chiffrés localement avant l'upload — même Dropbox ou Google ne peut pas les lire. Fonctionne avec tous les services cloud.
Services cloud avec chiffrement de bout en bout
- Proton Drive — chiffrement E2E, basé en Suisse
- Tresorit — axé entreprise, E2E, très sécurisé
- iCloud avec Protection avancée — depuis iOS 16.2/macOS 13.1
- Sync.com — E2E, basé au Canada
Héritage numérique : que deviennent vos comptes après vous
Sans démarche préalable, vos proches peuvent perdre l'accès à des années de photos, documents et souvenirs — ou au contraire se retrouver bloqués face à des comptes qu'il faut fermer. Chaque grand service propose un mécanisme dédié :
- Google — Gestionnaire de comptes inactifs — définissez un délai d'inactivité (3 à 18 mois) après lequel des contacts de confiance sont notifiés et reçoivent l'accès à des données choisies (Drive, Photos, Gmail...). À configurer sur myaccount.google.com.
- Apple — Contact légataire — Réglages → [votre nom] → Accès et héritage numérique. La personne désignée pourra accéder à vos données iCloud sur présentation d'un code d'accès et d'un certificat de décès.
- Facebook/Instagram — Contact légataire ou suppression — un profil peut être transformé en "compte de commémoration" géré par un contact désigné, ou supprimé définitivement sur demande.
- Gestionnaire de mots de passe — Bitwarden et 1Password proposent un accès d'urgence : un proche désigné peut demander l'accès à votre coffre, que vous pouvez accepter, refuser, ou qui s'active automatiquement après un délai si vous ne répondez pas.
Sans ces réglages, l'accès à un compte après un décès nécessite souvent une procédure judiciaire longue, et n'aboutit pas toujours.
Réseaux sociaux
Les réseaux sociaux sont une mine d'or pour les cybercriminels. Les informations que vous partagez peuvent être utilisées pour des arnaques ciblées, du spear phishing, ou de l'usurpation d'identité.
Ce que vous exposez sans le savoir
- Votre lieu de travail, vos horaires, votre réseau professionnel → spear phishing
- Vos déplacements et vacances → cambriolage, absence signalée
- Vos proches et famille → arnaques "grand-père" ou prétextes d'ingénierie sociale
- Vos opinions politiques/religieuses → discrimination, ciblage
- Vos possessions (voiture, maison, gadgets) → cibles de vol
- Vos réponses à des "jeux" innocents (prénom de votre premier animal = souvent une question de sécurité)
Paramètres essentiels — Facebook
- Profil visible uniquement par vos amis
- Désactivez la recherche par email/téléphone
- Révisez les apps tierces connectées (Paramètres → Apps)
- Désactivez la reconnaissance faciale
- Ne connectez pas Facebook à d'autres services
Paramètres essentiels — Instagram
- Compte en privé si vous ne souhaitez pas d'audience publique
- Désactivez le partage de localisation dans les stories
- Révisez les apps tierces connectées
- Masquez votre activité (statut "en ligne")
- Désactivez la synchronisation des contacts
Les faux profils sont utilisés pour collecter des informations sur vous et votre réseau, ou pour initier des arnaques sentimentales (romance scam). Vérifiez les profils suspects : date de création récente, peu de posts, photos génériques.
Vie privée en ligne
La vie privée n'est pas réservée aux personnes qui ont "quelque chose à cacher". C'est un droit fondamental. Voici comment reprendre le contrôle de vos données personnelles.
Ce que les entreprises collectent sur vous
- Historique de navigation et de recherche
- Localisation en temps réel et historique de déplacements
- Habitudes d'achat et préférences
- Contacts, agenda, emails (pour certains services)
- Comportements sur les apps (durée, heure, fréquence)
- Données biométriques (reconnaissance faciale, voix)
Minimisation des données
Ne donnez que les informations strictement nécessaires. Fausse date de naissance pour s'inscrire à un forum ? Légitime. Email alias pour un service ponctuel ? Bonne pratique. Numéro de téléphone pour un site qui n'en a pas besoin ? Refusez.
Vos droits RGPD
En France/Europe, vous avez le droit de :
- Accéder à vos données (droit d'accès)
- Les faire supprimer (droit à l'oubli)
- Les faire corriger (droit de rectification)
- S'opposer à leur traitement
Réclamez-les sur cnil.fr
Outils pour votre vie privée
- Privacy.com — cartes bancaires virtuelles à usage unique (disponible aux USA principalement)
- SimpleLogin — alias email pour ne pas donner votre vraie adresse
- Signal — messagerie chiffrée de bout en bout, recommandée par les experts
- Brave ou Firefox avec uBlock Origin — navigation sans tracking
- Exodus Privacy — analyse les trackers dans les apps Android
Messageries chiffrées : que choisir ?
| Signal | Telegram | ||
|---|---|---|---|
| Chiffrement E2E par défaut | ✓ (toutes conversations) | ✓ (toutes conversations) | ✗ (sauf "discussions secrètes") |
| Open source | ✓ | Client seulement | Client seulement |
| Propriétaire | Signal Foundation (à but non lucratif) | Meta | Telegram FZ-LLC |
| Métadonnées collectées | Minimales | Contacts, méta-données au profit de Meta | Contacts, IP, numéro |
| Messages éphémères | ✓ | ✓ | ✓ (dans les discussions secrètes) |
Notre conseil : Signal pour les échanges sensibles, WhatsApp est un compromis acceptable pour un usage courant vu son chiffrement E2E par défaut. Évitez de considérer Telegram comme "sécurisé" — le chiffrement de bout en bout n'y est pas activé par défaut.
Achats en ligne
Les arnaques à l'achat en ligne explosent. Contrefaçons, sites fantômes, faux vendeurs sur les marketplaces... Voici comment faire vos achats en toute sécurité.
Vérifier un site avant d'acheter
- Vérifiez l'âge du domaine sur whois.domaintools.com — un site créé il y a 2 semaines est suspect
- Cherchez des avis sur Trustpilot, Google Reviews, et les forums
- Vérifiez la présence de mentions légales et d'une adresse physique
- Testez le service client avant d'acheter — un email sans réponse est mauvais signe
- Prix anormalement bas = produit contrefait ou arnaque
Paiement sécurisé
- Préférez la carte bancaire (recours via la banque en cas de litige)
- PayPal offre une protection acheteur sur la plupart des achats
- Évitez le virement bancaire direct avec des inconnus
- Jamais de paiement en bons cadeaux, crypto ou Western Union
- Utilisez une carte virtuelle pour les petits sites (Revolut, Lydia)
Données bancaires en ligne
- Ne sauvegardez pas votre carte sur des sites peu connus
- Activez les notifications par SMS/app pour chaque transaction
- Vérifiez que l'URL commence bien par https://
- Méfiez-vous des formulaires de paiement qui ne redirigent pas vers votre banque pour la 3DS
Banque en ligne
Votre argent est la cible finale de nombreuses attaques. La bonne nouvelle : les banques françaises ont des protections solides. La mauvaise : l'ingénierie sociale contourne souvent la technologie.
Téléchargez-la uniquement depuis l'App Store ou le Play Store en vérifiant l'éditeur officiel. L'app bancaire est plus sûre que le site web (pas de risque de faux site). Activez la biométrie et le 2FA dans l'app.
Paramètres de votre app bancaire → Notifications. Activez une alerte pour chaque débit, surtout au-delà d'un montant minimal (ex : 1 €). Vous détecterez immédiatement toute transaction non autorisée.
Un faux conseiller vous appelle, connaît vos dernières transactions, et vous demande de valider une "opération de sécurité". Votre banque ne vous appellera JAMAIS pour vous demander de valider des codes ou de transférer de l'argent. Raccrochez et appelez le 3009 (numéro officiel opposition France).
De nombreuses banques (Revolut, Lydia, certaines banques traditionnelles) proposent des cartes virtuelles à usage unique. Même si le numéro est volé, il ne peut pas être réutilisé.
DSP2 et authentification forte
La directive européenne DSP2 impose depuis 2021 une authentification forte (SCA) pour les paiements en ligne et les connexions bancaires. Vous devez valider les transactions via votre application bancaire — pas seulement un code SMS. Si votre banque ne propose que des SMS, demandez à activer l'app d'authentification.
Télétravail
Le télétravail a élargi la surface d'attaque des entreprises. Votre domicile devient une extension du réseau professionnel — avec des règles de sécurité souvent plus laxistes.
Séparez vie pro et perso
- N'utilisez pas votre ordinateur professionnel pour des usages personnels
- N'utilisez pas votre ordinateur personnel pour des données professionnelles sensibles
- Ne mélangez pas comptes email perso et pro
- Utilisez le VPN de l'entreprise pour accéder aux ressources internes
Sécurisez votre espace de travail
- Verrouillez votre écran quand vous vous levez (Win+L ou Cmd+Ctrl+Q)
- Fermez les fenêtres professionnelles lors de visioconférences perso
- Méfiez-vous des épaules qui regardent (dans les espaces partagés)
- Utilisez un filtre de confidentialité sur votre écran en public
Utilisez des salles avec mot de passe sur Zoom/Teams. Ne partagez pas les liens de réunion publiquement. Vérifiez que vous n'êtes pas en train de partager votre écran entier avec des données sensibles visibles.
Signaux d'ingénierie sociale en contexte professionnel
- Fraude au président — email urgent du "PDG" demandant un virement exceptionnel et confidentiel
- Faux fournisseur — changement de RIB reçu par email demandant de mettre à jour les coordonnées bancaires
- Faux IT — appel d'un "informaticien" demandant accès à votre écran
Vérifiez toujours par un canal différent (rappel téléphonique, vérification en personne) avant toute action financière ou accès accordé.
Voyage et cybersécurité
En voyage, vos appareils et vos données sont exposés à des risques supplémentaires : Wi-Fi non sécurisé, fouilles aux frontières, vols... Préparez-vous avant de partir.
Avant le départ
- Sauvegardez tous vos appareils avant de partir
- Mettez à jour vos systèmes et applications
- Abonnez-vous à un VPN si vous voyagez dans des pays à surveillance internet
- Activez le chiffrement de vos appareils (BitLocker, FileVault)
- Notez les numéros d'opposition de vos cartes bancaires
- Envisagez un téléphone secondaire "voyageur" avec peu de données personnelles pour les pays à risque
Dans les transports et hôtels
- Évitez les ports USB publics (gares, aéroports) — risque de "juice jacking"
- Utilisez votre propre chargeur
- Le Wi-Fi d'hôtel est un réseau public — utilisez un VPN
- Ne laissez pas votre ordinateur dans votre chambre d'hôtel sans le chiffrer
- Rangez vos appareils hors de vue dans votre voiture
Pays à surveillance renforcée
En Chine, Russie, Iran, certains pays du Golfe : les douanes peuvent demander à inspecter vos appareils. Options :
- Voyage avec un appareil "vierge" sans données sensibles
- 1Password Travel Mode (masque certains coffres)
- Supprimez les apps sensibles temporairement
- Chiffrez et stockez vos données dans le cloud, téléchargez sur place
Sécurité des objets connectés (IoT)
Télévisions, ampoules, sonnettes, thermostats, caméras de surveillance... L'IoT a révolutionné nos maisons mais introduit des vulnérabilités souvent ignorées. En 2024, les attaques sur l'IoT ont augmenté de 400 %.
Pourquoi l'IoT est risqué
- Firmwares rarement mis à jour par les fabricants
- Mots de passe par défaut identiques sur tous les appareils du même modèle
- Protocoles de communication obsolètes ou non chiffrés
- Connexions vers des serveurs en Chine ou pays sans protection des données
- Durée de support limitée (souvent 2-3 ans, puis plus de patches)
Actions immédiates
- Changez les mots de passe par défaut de chaque appareil
- Mettez à jour le firmware (vérifiez dans l'app ou l'interface web)
- Désactivez les fonctions dont vous n'avez pas besoin (accès à distance, UPnP)
- Placez tous les objets IoT sur un réseau Wi-Fi "invité" séparé
Caméras de surveillance
Risque particulier : accès non autorisé à votre domicile en temps réel. Évitez les caméras chinoises bas de gamme sans certification. Préférez des marques avec réputation établie. Activez le chiffrement du flux. Désactivez l'accès à distance si vous ne l'utilisez pas.
Un objet connecté qui ne reçoit plus de mises à jour de sécurité est une porte ouverte. Si votre fabricant a abandonné les patches, retirez l'appareil de votre réseau ou remplacez-le. La commodité ne vaut pas le risque.
Protection des enfants en ligne
Les enfants et adolescents sont exposés tôt aux écrans, aux réseaux sociaux et aux jeux en ligne — souvent avant d'avoir les repères pour évaluer les risques. La protection ne se résume pas à des outils techniques : elle passe surtout par le dialogue.
Contrôle parental — Apple
Temps d'écran (Réglages → Temps d'écran) permet de limiter la durée d'utilisation, bloquer des apps/sites, filtrer le contenu adulte et exiger votre approbation pour les téléchargements. Configurez-le via Family Sharing pour gérer plusieurs appareils depuis votre propre téléphone.
Contrôle parental — Android/Google
Google Family Link (app gratuite) permet de superviser les apps installées, fixer des limites de temps, verrouiller l'appareil à distance et suivre la localisation. Fonctionne sur les comptes Google des enfants de moins de 13 ans (âge variable selon les pays).
Risques spécifiques aux mineurs
- Cyberharcèlement — messages, rumeurs ou moqueries répétées sur les réseaux sociaux ou messageries de groupe
- Grooming — un adulte se fait passer pour un pair pour établir une relation de confiance avec un mineur à des fins d'exploitation
- Contenu inapproprié — violence, pornographie, désinformation, contenus pro-suicide/troubles alimentaires
- Challenges dangereux — défis viraux pouvant mettre en danger la santé ou la vie
- Surexposition — partage excessif d'informations personnelles ou de photos, y compris par les parents eux-mêmes (sharenting)
- Achats non autorisés — micro-transactions dans les jeux, abonnements souscrits sans autorisation
Aucun filtre ne remplace une conversation ouverte. Expliquez pourquoi certaines règles existent plutôt que de simplement bloquer. Encouragez votre enfant à venir vous parler s'il voit quelque chose de dérangeant, sans crainte d'être puni ou de perdre l'accès à son appareil — cette peur est la première raison pour laquelle les enfants cachent un problème.
Bonnes pratiques par âge
- Avant 13 ans — pas de réseaux sociaux (âge minimum légal dans la plupart des CGU) ; comptes supervisés (Family Link, Family Sharing) ; jeux et apps validés au préalable
- 13-16 ans — comptes en mode privé par défaut, discussion sur ce qui est public/partageable, sensibilisation au grooming et au cyberharcèlement
- 16-18 ans — autonomie progressive, focus sur l'esprit critique (désinformation, deepfakes, arnaques) plutôt que sur le contrôle
Intelligence artificielle et cybersécurité
L'IA transforme la cybersécurité des deux côtés : elle donne aux attaquants des capacités inédites, mais renforce aussi les outils de défense. Comprendre ces nouvelles réalités est essentiel.
Comment l'IA aide les attaquants
- Génération de phishing parfaitement rédigé, sans fautes, dans n'importe quelle langue
- Personnalisation à grande échelle — des milliers d'emails ciblés en minutes
- Clonage de voix (vishing) avec quelques secondes d'audio
- Création de deepfakes vidéo convaincants
- Automatisation des attaques par force brute
- Génération de code malveillant pour les hackers peu expérimentés
Comment l'IA aide les défenseurs
- Détection d'anomalies comportementales en temps réel
- Analyse de malwares plus rapide et précise
- Filtrage intelligent des spams et phishing
- Réponse automatisée aux incidents
- Prédiction des failles avant leur exploitation
Nouveaux risques liés à l'IA pour les particuliers
- Arnaque à la voix clonée — "Papa, j'ai eu un accident, j'ai besoin d'argent" dans votre propre voix
- Phishing hyper-personnalisé — l'IA analyse vos réseaux sociaux pour créer un message sur mesure
- Escroqueries romantiques IA — chatbots convaincants qui entretiennent des "relations" pour extorquer
- Faux sites web générés par IA — impossible à distinguer des vrais visuellement
Se protéger des attaques IA
- Établissez un mot de passe famille pour les urgences (ex : "Banane2024") — si quelqu'un appelant prétend être un proche ne peut pas le donner, c'est une arnaque
- Méfiez-vous de l'urgence émotionnelle dans les appels — c'est le signe d'une manipulation
- Rappellez toujours par un numéro connu, jamais celui de l'appelant
- Vérifiez les demandes inhabituelles par un second canal
Deepfakes
Les deepfakes sont des contenus audiovisuels falsifiés par IA — vidéos, photos ou voix manipulées pour faire dire ou faire quelque chose à quelqu'un. La technologie s'est démocratisée à une vitesse alarmante.
Types de deepfakes et usages malveillants
- Vidéo deepfake — visage d'une personne sur le corps d'une autre. Utilisé pour la désinformation, les arnaques, les contenus non consentis
- Clonage vocal — reproduit la voix d'une personne à partir de quelques secondes d'audio. Utilisé dans les arnaques téléphoniques, le vishing ciblé
- Fausses photos — personnes qui n'existent pas, ou photos réelles modifiées
- Deepfake en temps réel — déjà possible lors d'appels vidéo, accessible au grand public
Comment détecter un deepfake
- Clignement des yeux anormal ou absent
- Contours du visage flous ou qui bougent bizarrement
- Synchronisation labiale imparfaite
- Éclairage incohérent entre le visage et l'environnement
- Artefacts autour des cheveux et des oreilles
- Qualité vidéo qui varie selon les zones
Note : les deepfakes s'améliorent constamment et ces signaux peuvent être absents.
Outils de détection
- Deepware.ai — analyse vidéo gratuite
- Sensity.ai — détection professionnelle
- Microsoft Video Authenticator
- Intel FakeCatcher
Ces outils ne sont pas infaillibles — le meilleur rempart reste la pensée critique.
Check-lists
Des listes pratiques pour vérifier votre niveau de protection. Cochez les cases au fur et à mesure — cliquez pour marquer comme fait.
🔐 Authentification — priorité absolue
- Mon email principal est protégé par le 2FA
- J'utilise un gestionnaire de mots de passe
- Tous mes mots de passe principaux sont uniques
- Mon email figure dans haveibeenpwned.com — j'ai changé les MDP concernés
- Le 2FA est activé sur mes réseaux sociaux principaux
- Le 2FA est activé sur mes services bancaires
💻 Appareils
- Mon système d'exploitation est à jour
- Mes applications sont à jour
- Mon disque dur est chiffré (BitLocker/FileVault)
- L'antivirus est activé
- Mon téléphone a un code PIN de 6 chiffres minimum
- "Localiser mon appareil" est activé sur mes appareils
💾 Sauvegardes
- J'ai une sauvegarde locale de mes données importantes
- J'ai une sauvegarde dans le cloud
- J'ai testé la restauration de ma sauvegarde au moins une fois
- Ma sauvegarde locale est déconnectée du réseau quand non utilisée
🌐 Navigation et emails
- J'utilise uBlock Origin dans mon navigateur
- Je vérifie toujours l'URL avant d'entrer des identifiants
- Je ne clique pas sur les liens dans les emails suspects
- Je refuse les cookies de tracking
- Je sais reconnaître un email de phishing
🏠 Réseau domestique
- Le mot de passe admin de ma box est changé
- Mon Wi-Fi utilise WPA2 ou WPA3
- J'ai un réseau "invité" séparé pour mes objets connectés
- Le firmware de mon routeur est à jour
Études de cas
Des scénarios réels illustrant comment les attaques se déroulent — et comment les éviter.
Le remboursement de l'Assurance Maladie
PhishingScénario : Marie reçoit un SMS d'Ameli indiquant qu'elle a un remboursement de 43,20 € en attente. Elle clique sur le lien, tombe sur un site qui ressemble parfaitement à ameli.fr, entre son numéro de carte pour "recevoir le virement". Résultat : sa carte est débitée de 890 € dans les heures suivantes.
Ce qui s'est passé : le site était un faux parfait d'Ameli. Le numéro de carte a été immédiatement utilisé pour des achats en ligne.
La règle : l'Assurance Maladie ne demande jamais vos coordonnées bancaires par SMS pour un remboursement — elle a déjà votre RIB. Allez directement sur ameli.fr en tapant l'adresse vous-même.
Le faux support Microsoft
VishingScénario : Pierre reçoit un appel d'un homme se présentant comme technicien Microsoft. Il explique que son ordinateur "envoie des erreurs critiques" et propose de l'aider. Il demande à Pierre d'installer TeamViewer pour "diagnostiquer le problème". Une fois l'accès accordé, le technicien installe un logiciel espion et vide le compte PayPal de Pierre.
Ce qui s'est passé : Microsoft ne contacte jamais proactivement les particuliers. L'accès à distance accordé a permis au criminel d'agir librement.
La règle : raccrochez immédiatement. Microsoft, Apple, ou votre banque ne vous appellent jamais pour "sécuriser votre ordinateur".
Le ransomware familial
RansomwareScénario : Sophie télécharge un logiciel de montage vidéo depuis un site de crack. Le lendemain matin, tous ses fichiers sont chiffrés — 15 ans de photos de famille, ses documents professionnels, tout. Un message exige 800 € en Bitcoin sous 72 heures.
Ce qui s'est passé : le logiciel cracké contenait un ransomware. Sophie n'avait pas de sauvegarde externe.
La règle : n'installez jamais de logiciels piratés. Avec une sauvegarde hors ligne, ce scénario aurait pris 2 heures à résoudre (restauration) au lieu d'être catastrophique.
L'arnaque sentimentale (romance scam)
Ingénierie socialeScénario : Jacqueline, 68 ans, rencontre "Mark", ingénieur américain travaillant sur une plateforme offshore, sur un réseau social. Après 3 mois d'échanges quotidiens, Mark a une urgence financière et demande de l'aide. Jacqueline envoie 12 000 € en plusieurs fois avant qu'une amie lui fasse réaliser l'arnaque.
Ce qui s'est passé : "Mark" était un escroc opérant depuis un pays d'Afrique de l'Ouest. Il n'existe pas — ses photos étaient volées sur Internet.
La règle : recherchez les photos du profil via Google Images. Si quelqu'un refuse une visioconférence après des semaines de contact, c'est un signal d'alarme. Ne transférez jamais d'argent à quelqu'un que vous n'avez jamais rencontré en personne.
Glossaire
Les termes essentiels de la cybersécurité expliqués en langage clair.
- 2FA / MFA
- Double authentification / Authentification multifacteur. Méthode exigeant une preuve supplémentaire d'identité au-delà du mot de passe (code SMS, app, clé physique).
- Adware
- Logiciel affichant des publicités intrusives. Souvent installé avec des logiciels gratuits. Peut ralentir le système et ouvrir la porte à d'autres malwares.
- APT
- Advanced Persistent Threat. Attaque sophistiquée et prolongée menée par un groupe bien financé (souvent étatique) visant une organisation spécifique.
- Backdoor
- Porte dérobée. Accès secret installé dans un système, permettant à un attaquant d'y entrer sans autorisation normale.
- Botnet
- Réseau d'ordinateurs infectés et contrôlés à distance par un attaquant. Utilisé pour envoyer des spams, mener des attaques DDoS ou miner des cryptomonnaies.
- Brute force
- Attaque par force brute. Tentative systématique de tous les mots de passe possibles jusqu'à trouver le bon. Des listes de mots de passe courants accélèrent le processus.
- Chiffrement
- Transformation de données lisibles en données illisibles sans la clé de déchiffrement. HTTPS chiffre votre connexion au site. BitLocker chiffre votre disque dur.
- Credential stuffing
- Utilisation automatisée d'identifiants volés (souvent depuis une fuite de données) pour tenter de se connecter à d'autres services. Dangereux si vous réutilisez vos mots de passe.
- Dark web
- Partie d'internet accessible uniquement via le navigateur Tor. Héberge des marchés illégaux où s'échangent données volées, malwares et services criminels.
- Deepfake
- Contenu audiovisuel falsifié par intelligence artificielle — vidéo, photo ou voix manipulée pour faire dire ou faire quelque chose à quelqu'un qui ne l'a pas fait.
- DDoS
- Distributed Denial of Service. Attaque visant à rendre un service indisponible en le submergeant de trafic depuis des milliers de machines infectées simultanément.
- DSP2
- Directive européenne sur les services de paiement. Impose depuis 2021 une authentification forte pour les paiements en ligne et les connexions aux comptes bancaires en Europe.
- Exploit
- Code ou technique exploitant une faille de sécurité (vulnérabilité) dans un logiciel pour en prendre le contrôle ou exécuter des actions non autorisées.
- FIDO2 / Passkey
- Standard d'authentification sans mot de passe basé sur la cryptographie. Remplace mot de passe + 2FA par une seule authentification biométrique ou par clé physique.
- Firewall (pare-feu)
- Système filtrant le trafic réseau pour bloquer les connexions non autorisées. Présent dans votre système d'exploitation et votre box internet.
- Hacker
- Terme générique pour désigner quelqu'un qui explore et manipule des systèmes informatiques. Peut être "white hat" (éthique, chercheur en sécurité) ou "black hat" (malveillant).
- HTTPS
- HyperText Transfer Protocol Secure. Version chiffrée du protocole web. Le cadenas dans votre navigateur indique une connexion HTTPS — vos données circulent chiffrées.
- Ingénierie sociale
- Manipulation psychologique visant à amener une personne à divulguer des informations ou effectuer des actions compromettant la sécurité. Contourne la technologie en exploitant l'humain.
- IoT
- Internet of Things (Internet des objets). Appareils connectés à internet : télévisions, caméras, thermostats, ampoules, frigos... Souvent peu sécurisés.
- Keylogger
- Logiciel espion qui enregistre chaque frappe sur votre clavier, y compris les mots de passe. Transmis discrètement à l'attaquant.
- Malware
- Logiciel malveillant (MALicious softWARE). Terme générique englobant virus, trojans, ransomwares, spywares, adwares, rootkits et botnets.
- OSINT
- Open Source Intelligence. Collecte d'informations depuis des sources publiques (réseaux sociaux, registres, forums). Utilisé par les attaquants pour personnaliser leurs attaques.
- Patch
- Correctif logiciel. Mise à jour corrigeant une faille de sécurité. L'application rapide des patches est l'une des protections les plus efficaces.
- Phishing
- Hameçonnage. Email, SMS ou appel frauduleux imitant une entité légitime pour voler des identifiants, données bancaires ou installer un malware.
- Quishing
- Phishing via QR code. Des codes QR frauduleux dans des emails, affiches ou emballages redirigent vers des sites malveillants. Les filtres anti-phishing classiques ne les détectent pas.
- Ransomware
- Logiciel de rançon. Chiffre vos fichiers et exige une rançon pour les déchiffrer. Prolifère via emails piégés, logiciels piratés et failles non corrigées.
- RGPD
- Règlement Général sur la Protection des Données. Loi européenne encadrant la collecte et le traitement des données personnelles. Donne aux citoyens des droits sur leurs données.
- Rootkit
- Malware se cachant profondément dans le système d'exploitation pour éviter toute détection. Permet un accès persistant et furtif à votre machine.
- SIM swapping
- Transfert frauduleux de votre numéro de téléphone vers une carte SIM contrôlée par un attaquant. Permet d'intercepter vos SMS de 2FA. Signalé à la hausse en France.
- Smishing
- Phishing par SMS. Faux messages imitant La Poste, Ameli, les impôts ou votre banque, avec un lien vers un site frauduleux.
- Spear phishing
- Phishing ciblé sur une personne ou organisation spécifique, avec des détails personnalisés (prénom, employeur, dernière transaction...) pour paraître authentique.
- Spyware
- Logiciel espion. Surveille vos activités à votre insu — frappe clavier, captures d'écran, historique de navigation, parfois accès caméra et micro.
- Trojan / Cheval de Troie
- Malware déguisé en logiciel légitime. Une fois installé, il ouvre une backdoor, vole des données ou télécharge d'autres malwares.
- Vishing
- Phishing vocal. Appel téléphonique frauduleux imitant une banque, un support technique ou une administration pour soutirer informations ou accès.
- VPN
- Virtual Private Network. Chiffre votre connexion internet et masque votre adresse IP. Utile sur les Wi-Fi publics. Ne rend pas anonyme à 100 %.
- Vulnerability (faille)
- Faiblesse dans un logiciel ou système pouvant être exploitée par un attaquant. Les mises à jour corrigent les failles connues.
- Zero-day
- Faille de sécurité inconnue du fabricant et donc non corrigée. Les attaquants qui en découvrent une ont une fenêtre d'exploitation avant qu'un patch soit publié.
Ressources
Les ressources officielles, outils et sites de référence pour aller plus loin ou obtenir de l'aide.
🇫🇷 Ressources françaises officielles
- cybermalveillance.gouv.fr — aide aux victimes, signalement, professionnels
- cnil.fr — vie privée, RGPD, plaintes
- ssi.gouv.fr — ANSSI, agence nationale de cybersécurité
- service-public.fr — signalement d'arnaques, démarches
- 33700 — numéro pour signaler un SMS frauduleux (gratuit)
- 3009 — opposition carte bancaire universelle
🛠 Outils essentiels
- haveibeenpwned.com — vérifier si votre email a fuité
- virustotal.com — analyser fichiers et URLs suspects
- nomoreransom.org — outils de déchiffrement ransomware gratuits
- phishing-initiative.eu — signaler et vérifier un site de phishing
- signal-spam.fr — signaler les spams
- whois.com — vérifier l'âge et propriétaire d'un domaine
📱 Applications recommandées
- Bitwarden — gestionnaire de mots de passe (gratuit)
- Aegis (Android) / Raivo (iOS) — app d'authentification 2FA
- Signal — messagerie chiffrée
- ProtonVPN — VPN (version gratuite disponible)
- uBlock Origin — bloqueur publicités et trackers (navigateur)
- Cryptomator — chiffrement de fichiers avant cloud
📚 Pour aller plus loin
- NetworkChuck (YouTube) — cybersécurité accessible
- EFF.org — droits numériques, guides de confidentialité
- ssd.eff.org — surveillance self-defense (EFF)
- privacyguides.org — recommandations outils vie privée
- krebsonsecurity.com — actualité cybersécurité
- lemondeinformatique.fr — actualité tech et sécu en français