Glossaire des arnaques en ligne

Escroquerie qui commence par une offre de « missions » rémunérées en ligne, souvent proposée par messagerie : aimer des vidéos, noter des produits ou des hôtels. Les premières missions sont payées pour installer la confiance. Vient ensuite une demande de dépôt pour « débloquer » des missions mieux payées ou pour retirer ses gains, et l'argent versé ne revient pas.

Escroquerie qui vise une entreprise : le fraudeur se fait passer pour un dirigeant, ou pour une personne mandatée par lui, et ordonne un virement urgent et confidentiel. Elle repose sur l'autorité et le secret pour contourner les vérifications habituelles. Une voix ou une vidéo truquée peut servir à la rendre plus crédible.

Escroquerie dans laquelle le fraudeur crée une fausse identité sur un site de rencontre ou un réseau social et noue une relation amoureuse, le plus souvent à distance. Une fois la confiance installée, il invente des urgences (frais médicaux, voyage, blocage d'un héritage) pour obtenir de l'argent, de plus en plus souvent.

Création d'une fausse identité en ligne, le plus souvent avec des photos prises à quelqu'un d'autre, pour nouer une relation amicale ou amoureuse. C'est fréquemment la première étape d'une arnaque sentimentale.

Commission nationale de l'informatique et des libertés. La loi du 6 janvier 1978 en fait une autorité administrative indépendante, autorité de contrôle prévue par le RGPD pour la France. Elle veille au respect des règles sur les données personnelles et traite les réclamations des personnes, par exemple quand un organisme ne répond pas à une demande d'accès ou d'effacement.

Source : Loi n° 78-17 du 6 janvier 1978, article 8 (Légifrance), version en vigueur, consulté le 19 octobre 2026.

Attaque automatisée qui essaie, sur de nombreux sites, des couples identifiant et mot de passe volés lors d'une fuite de données. Elle réussit chaque fois qu'un même mot de passe sert à plusieurs comptes, d'où la règle d'un mot de passe différent par service.

Dispositif national d'assistance aux victimes de cybermalveillance, porté par le groupement d'intérêt public ACYMA. Son site propose un diagnostic en ligne qui oriente vers la bonne démarche, des fiches réflexes par type d'attaque et, depuis décembre 2024, l'assistance en ligne 17Cyber.

Source : Cybermalveillance.gouv.fr, rapport d'activité 2025, publié en mars 2026, consulté le 19 octobre 2026.

Image, vidéo ou enregistrement sonore produit ou modifié par intelligence artificielle pour imiter le visage ou la voix d'une personne réelle. Depuis le 23 mai 2024, l'article 226-8 du code pénal punit d'un an d'emprisonnement et de 15 000 euros d'amende le fait de porter à la connaissance du public ou d'un tiers, sans le consentement de la personne, un tel contenu qui n'est pas présenté comme généré par un algorithme ; deux ans et 45 000 euros quand la diffusion passe par un service en ligne. L'article 226-8-1 vise les contenus à caractère sexuel.

Source : Code pénal, article 226-8 (Légifrance), version en vigueur depuis le 23 mai 2024, consulté le 19 octobre 2026.

Appel d'un professionnel pour vendre un produit ou un service. Depuis le 11 août 2026, il est interdit sans le consentement préalable de la personne appelée (loi n° 2025-594 du 30 juin 2025), et la liste d'opposition Bloctel, qui reposait sur la logique inverse, a pris fin à cette date. Un démarchage non consenti se signale sur SignalConso.

Source : Loi n° 2025-594 du 30 juin 2025 contre toutes les fraudes aux aides publiques (Légifrance), consulté le 19 octobre 2026.

Connexion qui exige, en plus du mot de passe, une seconde preuve : un code reçu par SMS, un code produit par une application, une validation dans l'application de la banque. Elle empêche qu'un mot de passe volé suffise à ouvrir le compte. Le code ou la validation ne se donnent jamais à quelqu'un qui les demande : c'est exactement ce que cherchent les faux conseillers.

Au sens de l'article 313-1 du code pénal, le fait de tromper une personne, par l'usage d'un faux nom ou d'une fausse qualité, par l'abus d'une qualité vraie ou par des manœuvres frauduleuses, pour la déterminer à remettre des fonds, des valeurs ou un bien, à fournir un service ou à consentir un acte, à son préjudice ou au préjudice d'un tiers. Elle est punie de cinq ans d'emprisonnement et de 375 000 euros d'amende.

Source : Code pénal, article 313-1 (Légifrance), version en vigueur depuis le 1er janvier 2002, consulté le 19 octobre 2026.

Fraude au virement qui consiste à faire changer les coordonnées bancaires d'un bénéficiaire connu : un fournisseur, un propriétaire, un artisan, un notaire. Le message annonçant le « nouveau RIB » vient d'une messagerie piratée ou imitée, et le virement part vers le compte de l'escroc. La vérification qui tranche : appeler le bénéficiaire à un numéro que vous connaissiez déjà.

Arnaque où l'escroc se présente comme le support d'un éditeur de logiciels, d'un fabricant ou d'un fournisseur d'accès, par un appel non sollicité ou par une fenêtre qui bloque le navigateur avec un numéro à rappeler. Il cherche à faire installer un logiciel de prise en main à distance, puis à faire payer un faux dépannage. Microsoft indique que ses messages d'erreur ne comportent jamais de numéro de téléphone.

Source : Microsoft, « Protégez-vous contre les arnaques au support technique », consulté le 19 octobre 2026.

Message qui imite un organisme de confiance (banque, administration, transporteur, fournisseur d'énergie) pour obtenir des identifiants, des coordonnées bancaires ou un paiement, presque toujours par un lien vers une page imitée. Il se décline par courriel, par SMS (smishing), par téléphone (vishing) ou par QR code (quishing). Ce qui le trahit le plus sûrement est la demande, pas l'apparence du message.

HTTPS chiffre la connexion entre votre navigateur et le site, ce que le navigateur signale par un cadenas. Le certificat qui le permet est délivré gratuitement et automatiquement par certaines autorités de certification. Le cadenas dit que la connexion est chiffrée, pas qui se trouve derrière le site : les sites d'hameçonnage en ont un aussi.

Ensemble des techniques de manipulation qui amènent une personne à donner une information ou à faire un geste qu'elle n'aurait pas fait de sang-froid : l'urgence, la peur, l'autorité, la confiance ou la curiosité remplacent la faille technique. La plupart des arnaques décrites sur ce site en relèvent ; la parade est de vérifier par un autre canal avant d'agir.

Programme installé à l'insu de l'utilisateur pour collecter ce qu'il fait : frappes au clavier, captures d'écran, micro, caméra, position. Les courriels de chantage à la webcam prétendent souvent en avoir installé un, sans en apporter la moindre preuve.

Terme général pour un programme conçu pour nuire : voler des données, prendre le contrôle d'un appareil, chiffrer des fichiers. Sur un téléphone, il arrive souvent par une application installée depuis un lien reçu par message plutôt que depuis la boutique officielle.

Secret qui protège un compte. Le risque principal n'est pas qu'il soit deviné, mais qu'il soit réutilisé : une fuite sur un site suffit alors à ouvrir les autres comptes. Un mot de passe différent pour chaque service, retenu par un gestionnaire de mots de passe, et la double authentification sur les comptes importants limitent ce risque.

Plateforme de signalement des contenus illicites sur internet (internet-signalement.gouv.fr), tenue par des policiers et des gendarmes. Service-Public la cite pour signaler un contenu frauduleux en ligne. Un signalement n'est pas une plainte et ne la remplace pas.

Source : Service-Public, « Que faire en cas d'escroquerie ? » (fiche F1520), vérifiée le 28 mai 2025, consulté le 19 octobre 2026.

THESEE est le service du ministère de l'Intérieur qui permet de porter plainte ou de signaler en ligne certaines escroqueries commises sur internet, comme les faux sites de vente, le piratage d'une messagerie ou l'extorsion d'argent pour débloquer un ordinateur. Le service indique lui-même si votre cas y est éligible ; la plainte est transmise à la Police nationale. Pour une arnaque au faux placement, il faut se rendre au commissariat ou à la gendarmerie.

Source : Ministère de l'Intérieur, « THESEE : arnaques sur internet, plainte en ligne », mise à jour le 14 octobre 2026, consulté le 19 octobre 2026.

Montage où les gains promis aux premiers participants sont payés avec l'argent des suivants, et non par une activité réelle. Il tient tant que les nouveaux dépôts suffisent, puis s'effondre. On le retrouve sous l'habillage de placements en cryptomonnaie, de « robots de trading » ou de programmes de parrainage.

Hameçonnage par QR code. Le code piégé est collé sur un parcmètre ou une borne de recharge, imprimé sur un faux avis de contravention, ou glissé dans un courriel. Un QR code ne montre pas l'adresse qu'il ouvre avant d'être scanné : lisez-la avant de saisir quoi que ce soit, et payez depuis l'application ou le site officiel tapé vous-même.

Logiciel malveillant qui chiffre les fichiers d'un ordinateur ou d'un réseau, puis réclame une rançon, souvent en cryptomonnaie, contre la clé de déchiffrement. Rien ne garantit que le paiement rende les fichiers. L'extorsion d'argent pour débloquer un ordinateur fait partie des faits que le service THESEE permet de déclarer en ligne.

Source : Ministère de l'Intérieur, « THESEE : arnaques sur internet, plainte en ligne », mise à jour le 14 octobre 2026, consulté le 19 octobre 2026.

Règlement (UE) 2016/679 sur la protection des données personnelles, applicable depuis le 25 mai 2018. Il donne notamment un droit d'accès à ses données et un droit à leur effacement. En cas de violation de données, il oblige le responsable du traitement à la notifier à l'autorité de contrôle (la CNIL en France) dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, et à prévenir les personnes concernées quand elle est susceptible d'engendrer un risque élevé pour elles.

Source : Règlement (UE) 2016/679, articles 15, 17, 33, 34 et 99 (EUR-Lex), consulté le 19 octobre 2026.

Abandon soudain d'un projet de cryptomonnaie ou de jetons non fongibles (NFT) par ses créateurs, qui retirent les fonds collectés après avoir attiré des acheteurs. Le cours s'effondre et les jetons ne valent plus rien.

Association à but non lucratif créée en 2005, présentée comme un partenariat public-privé, qui recueille les signalements de courriels indésirables et frauduleux. Il faut y créer un compte, puis signaler depuis sa messagerie grâce à un module ; selon l'association, les informations recueillies sont transmises à l'autorité publique ou au professionnel le mieux placé pour agir.

Source : Signal Spam, page d'accueil, consulté le 19 octobre 2026.

Service public gratuit édité par la DGCCRF pour signaler un problème avec une entreprise : démarchage non consenti, commande non livrée, pratique trompeuse. L'entreprise est informée du signalement, qui est aussi enregistré dans la base de données de la DGCCRF.

Source : SignalConso, « Comment ça marche ? », consulté le 19 octobre 2026.

Numéro et plateforme de signalement des SMS et des appels indésirables, mis en place par l'af2m, l'association qui réunit les opérateurs, pour répondre à une obligation du code de la consommation. Les signalements sont envoyés chaque jour aux opérateurs, qui peuvent couper les numéros en cause ; l'effet n'est pas immédiat.

Source : 33700.fr, « Que devient mon signalement ? » et « À propos du 33700 », consulté le 19 octobre 2026.

Fraude qui consiste à obtenir d'un opérateur le transfert de votre numéro sur une nouvelle carte SIM contrôlée par l'escroc, en se faisant passer pour vous. Une fois le numéro détourné, il reçoit vos SMS de validation et peut prendre le contrôle de vos comptes. Une perte de réseau soudaine et inexpliquée est un signe à signaler tout de suite à votre opérateur.

Hameçonnage par SMS. Le message imite un transporteur, un fournisseur d'énergie, une administration ou une banque, et pousse à ouvrir un lien, à rappeler un numéro ou à répondre. Le nom ou le numéro court affiché en tête du message ne permet pas de conclure, dans un sens comme dans l'autre.

Hameçonnage ciblé : le message est rédigé pour une personne ou une organisation précise, avec des détails réels (nom, fonction, collègues, projet en cours) qui le rendent crédible. Quand il vise des dirigeants, on parle aussi de « whaling ». Les outils d'intelligence artificielle permettent d'en produire davantage, sans faute.

Enregistrement d'un nom de domaine très proche de celui d'un site connu, à une lettre, un tiret ou une extension près, pour capter les visiteurs qui se trompent en tapant l'adresse ou qui la lisent trop vite. La parade : taper vous-même l'adresse officielle, ou passer par l'application.

L'article 226-4-1 du code pénal punit d'un an d'emprisonnement et de 15 000 euros d'amende le fait d'usurper l'identité d'un tiers, ou de faire usage de données permettant de l'identifier, en vue de troubler sa tranquillité ou celle d'autrui, ou de porter atteinte à son honneur ou à sa considération. Les données obtenues par hameçonnage ou lors d'une fuite servent aussi, plus largement, à ouvrir des comptes ou à tromper des proches au nom de la victime.

Source : Code pénal, article 226-4-1 (Légifrance), version en vigueur depuis le 1er août 2020, consulté le 19 octobre 2026.

Affichage, lors d'un appel, d'un numéro qui n'est pas celui de l'appelant. L'Arcep explique qu'une entreprise peut en général afficher le numéro de son choix, et que des fraudeurs en profitent. Les opérateurs bloquent les appels dont le numéro français n'a pas pu être authentifié, vers les fixes depuis le 1er octobre 2024 et vers les mobiles depuis janvier 2025. Le mot désigne aussi la falsification de l'adresse d'expéditeur d'un courriel.

Source : Arcep, « Usurpation de numéro de téléphone fixe ou mobile : que dois-je faire ? », mise à jour le 9 mars 2026, consulté le 19 octobre 2026.

Hameçonnage par téléphone : l'escroc se présente comme un conseiller bancaire, un agent des impôts, un technicien ou un livreur pour obtenir des informations, un code ou une opération. La Banque de France le rappelle : jamais votre conseiller bancaire ne vous demandera un code, un mot de passe ou un identifiant.

Source : Banque de France, « Les fraudes aux moyens de paiement », consulté le 19 octobre 2026.

Réseau privé virtuel : votre connexion passe par un serveur intermédiaire, chiffrée jusqu'à lui. Utile sur un réseau que vous ne contrôlez pas, un VPN ne protège en revanche ni contre un lien d'hameçonnage, ni contre un faux site, ni contre un appel frauduleux.

Réseau sans fil ouvert au public, dans une gare, un hôtel ou un café. Un faux point d'accès peut porter le nom de l'établissement. Sur un réseau que vous ne contrôlez pas, évitez de saisir des identifiants ou des coordonnées bancaires sur une page atteinte par un lien.