Antivirus et phishing : reconnaître une fausse page de connexion
Vous arrivez sur une fausse page de connexion. Votre antivirus suffit-il à vous protéger ?
L’idée reçue
J’ai un antivirus. Les faux sites, il s’en charge.
Ce qu’il faut comprendre
Pas besoin de virus pour vous faire livrer vos accès.
Une fausse page peut réclamer votre mot de passe, puis votre vrai code de connexion. L’attaquant les relaie au service officiel. L’antivirus reste utile ; il ne valide pas chaque formulaire à votre place.
Le scénario, en trois étapes
- Faux formulaire
- Vrai code saisi
- Accès relayé
Le bon réflexe
Ouvrez vous-même le service. Pour les accès sensibles, privilégiez les passkeys ou une clé de sécurité.
Les limites à connaître
Un code à usage unique peut être intercepté par un faux site et transmis au vrai service pendant sa validité. Ce scénario n’exige pas l’installation d’un logiciel malveillant. Le NIST précise que les codes OTP saisis manuellement ne résistent pas au phishing de connexion ; les passkeys et clés de sécurité liées au domaine apportent une protection différente. Cela ne rend pas l’antivirus inutile.
Source et contexte
Le NIST SP 800-63B-4 indique que les authentificateurs dont le code est saisi manuellement ne sont pas résistants au phishing. Un faux service peut relayer un code au vrai service. Le chiffre 1 illustre ce mécanisme : ce n’est ni une fréquence d’attaque ni une garantie de compromission. Texte officiel vérifié dans le dépôt du NIST le 25 octobre 2026.
NIST SP 800-63B-4 · résistance au phishing. Les codes saisis manuellement ne résistent pas au phishing de connexion.
Un accompagnement sur ce sujet
- Compte compromis : comprendre les prochaines étapes
- Après un phishing : clarifier ce qui doit être vérifié