Faux e-mail de mise à jour de sécurité : comment repérer l'arnaque

MacWindowsiPhoneAndroidMis à jour 2026-10-31

Cybermalveillance.gouv.fr cite « alerte de sécurité » parmi les objets d'e-mail inquiétants qui doivent vous alerter, parce qu'ils transmettent un sentiment d'urgence inhabituel. Un e-mail qui vous presse d'installer une mise à jour de sécurité ou de vous connecter pour régler un problème mérite donc un second regard. La vérification sûre est toujours la même : n'utilisez pas ses liens, allez vous-même sur le site de l'entreprise.

Réponse rapide

Méfiez-vous de tout e-mail inattendu qui parle d'une mise à jour de sécurité urgente, d'une alerte ou d'un problème de compte. Les signes : une pression pour agir vite, un expéditeur ou un lien qui ne correspond pas à l'entreprise, une demande de mot de passe ou de code. Ne cliquez pas. Passez par le site ou l'app officiels. En France, signalez l'e-mail à Signal Spam.

Comment repérer un faux e-mail de mise à jour de sécurité ?

Regardez ce que le message vous demande et à quel point il insiste. Cybermalveillance.gouv.fr donne une liste non exhaustive de signaux, dont :

un expéditeur inhabituel ou une adresse fantaisiste, qui ne comporte pas le nom de l'entité ou contient des fautes ;
un objet alarmiste, comme « alerte de sécurité » ;
une menace ou une urgence, par exemple la fermeture de votre compte si vous n'agissez pas tout de suite ;
une demande d'informations confidentielles, comme des identifiants de connexion ou des informations bancaires ;
une incitation à cliquer sur un lien ou à ouvrir une pièce jointe, avec parfois un seul caractère changé dans l'adresse du site.

La liste d'Apple porte sur les détails : l'adresse de l'expéditeur ne correspond pas au nom de l'entreprise, un lien semble correct mais l'URL ne correspond pas au site de l'entreprise, le message ne ressemble pas à ceux que vous avez déjà reçus d'elle, il demande un numéro de carte ou un mot de passe, ou il n'est pas sollicité et contient une pièce jointe.

Les fautes ne suffisent plus à trahir une arnaque. Cybermalveillance.gouv.fr constate que le niveau de français des tentatives d'hameçonnage s'améliore de plus en plus. Un e-mail soigné ne prouve rien.

Apple et Microsoft envoient-ils ce genre d'alertes ?

Pas de celles qui demandent votre mot de passe. Apple indique qu'il ne vous demandera jamais de vous connecter à un site web, ni de fournir votre mot de passe, le code d'accès de votre appareil ou le code d'identification à deux facteurs. Il précise aussi que les fraudeurs demandent parfois de désactiver des fonctions de sécurité, et qu'Apple ne vous demandera jamais de désactiver aucune fonctionnalité de sécurité sur votre appareil ou votre compte.

Microsoft indique qu'il ne vous contactera jamais de manière proactive pour un support technique non sollicité, et que ses messages d'erreur authentiques n'incluent jamais de numéro de téléphone à appeler. Sur les mises à jour, Microsoft note que des attaquants déguisent des logiciels malveillants en mise à jour du navigateur. Si un avis inhabituel vous dit que votre navigateur doit être mis à jour, fermez-le et cherchez la page « À propos » dans l'aide du navigateur, qui recherche les mises à jour légitimes.

Cybermalveillance.gouv.fr donne le même conseil de fond : téléchargez les mises à jour uniquement depuis les sites officiels des éditeurs et des fabricants.

Et les fenêtres qui disent que mon appareil a un virus ?

Fermez-les. Cybermalveillance.gouv.fr prévient que de fausses alertes de mise à jour, sous forme de publicités ou de fenêtres surgissantes, peuvent servir à vous faire installer un virus. Apple dit de ne pas croire une fenêtre qui annonce des problèmes de sécurité ou des virus sur votre appareil : ce sont bien souvent des publicités frauduleuses. N'appelez pas le numéro, ne cliquez pas sur les liens, quittez la page ou fermez l'onglet. Notre guide visiter un site piraté, est-ce dangereux ? détaille les avertissements des navigateurs.

Y a-t-il des arnaques par e-mail autour de la faille PHP ?

Au 23 octobre 2026, ni l'avis du projet PHP, ni l'alerte du CERT-FR, ni l'AlerteCyber de Cybermalveillance.gouv.fr sur PHP2Shell, les deux failles critiques de PHP corrigées le 21 octobre, ne parlent d'e-mails frauduleux sur ce thème. Cela peut changer, et les signaux ci-dessus restent valables.

Savoir à qui s'adresse le correctif aide aussi. L'avis PHP porte sur les installations de PHP qui répondent à des requêtes web, c'est-à-dire des serveurs, et l'AlerteCyber demande de mettre à jour les équipements et logiciels concernés. Aucun de ces textes ne demande au grand public de télécharger quoi que ce soit ou de se connecter quelque part. Notre guide sur vos données personnelles et la faille PHP explique ce que cela change pour vous.

Comment vérifier qu'un e-mail de sécurité est authentique ?

Contactez l'entreprise sans rien utiliser du message. Cybermalveillance.gouv.fr conseille de contacter l'expéditeur par un autre canal pour vérifier qu'il est bien à l'origine du message. Microsoft suggère d'ouvrir un nouvel onglet et d'aller sur le site de l'organisme à partir de votre propre favori, ou en tapant vous-même son adresse.

Ne cliquez sur aucun lien, n'ouvrez pas les pièces jointes et n'appelez pas les numéros de l'e-mail.
Ouvrez l'app de l'entreprise, ou tapez vous-même l'adresse de son site.
En cas de doute, contactez l'entreprise par les coordonnées de son site officiel.

Comment signaler un faux e-mail de sécurité ?

En France, Cybermalveillance.gouv.fr indique plusieurs voies. Gardez le message comme preuve.

Signal Spam, associé à la CNIL, pour les e-mails : l'inscription est gratuite, et vous signalez avec un module pour votre messagerie ou en copiant le code source de l'e-mail.
Le 33700 pour les SMS suspects, sur la plateforme 33700 ou par SMS au 33700 (service gratuit).
Phishing Initiative pour l'adresse d'un site d'hameçonnage. Le service indique qu'une adresse confirmée par ses analystes est transmise à ses partenaires pour être bloquée dans les navigateurs participants.
L'entité imitée. Apple reçoit les e-mails suspects qui semblent venir de lui à reportphishing@apple.com. Microsoft reçoit les signalements d'escroquerie au support technique sur microsoft.com/reportascam.

Pour être conseillé, la plateforme Info Escroqueries du ministère de l'Intérieur répond au 0 805 805 817, appel gratuit du lundi au vendredi de 9 h à 18 h 30. Si vous avez donné des informations de paiement, Cybermalveillance.gouv.fr demande de faire opposition immédiatement auprès de votre banque.

Autres questions

J'ai saisi mon mot de passe après avoir cliqué sur un de ces liens. Que faire ?

Cybermalveillance.gouv.fr demande de le changer immédiatement sur le site concerné et sur tous les autres où vous l'utilisiez. Pour un compte Apple, Apple conseille de modifier immédiatement son mot de passe et de vérifier que l'identification à deux facteurs est activée. Notre guide pour savoir si un mot de passe a fuité détaille la suite.

J'ai ouvert une pièce jointe. Que dois-je faire ?

Cybermalveillance.gouv.fr conseille, en cas de virus, de déconnecter l'appareil d'Internet ou du réseau pour éviter que le virus ne se propage, puis de faire une analyse antivirus complète de l'appareil.

Que devient mon signalement à Signal Spam ?

Cybermalveillance.gouv.fr présente Signal Spam comme un organisme d'experts associé à la CNIL, qui identifie les principaux émetteurs de spams et agit contre les cybercriminels avec les autorités publiques et les opérateurs de messagerie. Le site ajoute que signaler un hameçonnage permet de limiter le nombre de victimes et peut aider à identifier le cybercriminel.

Ma banque peut-elle me demander de confirmer mes informations par e-mail ?

Non. Cybermalveillance.gouv.fr rappelle qu'aucune administration ou société commerciale sérieuse ne vous demandera vos données bancaires ou vos mots de passe par message électronique ou par téléphone. Contactez la banque par le numéro de votre carte ou son site officiel.

Le message prétend venir d'un service public. Que change ce cas ?

Rien sur le fond. Cybermalveillance.gouv.fr cite les impôts, l'Assurance Maladie et la Caf parmi les exemples d'identités que les cybercriminels peuvent emprunter dans les e-mails d'hameçonnage. Passez par le site officiel de l'organisme, jamais par le lien reçu.