Sécurité crypto en 2026 : 2FA, phishing et arnaques à éviter

En 2026, la sécurité crypto face au phishing et au vol de compte dépend moins d'un outil miracle que d'une succession de barrières. Cybermalveillance.gouv.fr classait encore l'hameçonnage au premier rang des recherches d'assistance des particuliers dans son rapport 2024. Le piratage de compte progressait aussi nettement. Un attaquant qui récupère votre email, votre mot de passe et votre second facteur peut vider un compte en quelques minutes. Ce guide se concentre sur la protection opérationnelle des accès, des retraits et des appareils. Les arnaques d'investissement et le choix entre hot wallet et cold wallet sont traités dans des dossiers séparés.

À retenir

• Une passkey ou une clé de sécurité physique résiste mieux au phishing qu'un code reçu par SMS.
• Une application TOTP reste préférable au SMS lorsque la plateforme ne prend pas en charge les passkeys.
• L'adresse email associée au compte crypto doit être protégée aussi sérieusement que le compte lui-même.
• Une liste blanche de retrait réduit le risque si un attaquant accède à la session.
• Un code anti-phishing aide à distinguer certains emails officiels des copies, mais ne remplace pas la vérification du domaine.
• Une phrase de récupération ne doit jamais être saisie après un lien reçu par email, message privé ou publicité.
• Après une compromission, il faut couper les sessions, protéger l'email, prévenir la plateforme et documenter chaque action.

Quel risque faut-il vraiment bloquer sur un compte crypto ?

Le scénario prioritaire n'est pas toujours le piratage direct d'une blockchain. Pour un particulier, le chemin le plus court passe souvent par l'email, un faux site de connexion, un mot de passe réutilisé ou une validation trompeuse. Cybermalveillance.gouv.fr relevait 1,9 million de consultations liées à l'hameçonnage en 2024, soit une hausse de 58 % sur un an.

Sources : Cybermalveillance.gouv.fr, Rapport d'activité 2024, publié en 2025 et consulté le 2026-10-13, et ANSSI, Panorama de la cybermenace 2024, consulté le 2026-10-13.

Un compte sur une plateforme centralisée concentre plusieurs pouvoirs : consulter le solde, convertir des actifs, ajouter une adresse de retrait et parfois créer une clé API. Une seule session compromise peut donc ouvrir plusieurs chemins. La protection doit couvrir l'authentification, la récupération du compte, l'autorisation des retraits et la surveillance des changements sensibles.

Vol d'identifiants, vol de session et fausse validation

Le vol d'identifiants copie votre email et votre mot de passe. Le vol de session récupère un jeton déjà authentifié, parfois via une extension malveillante, un logiciel compromis ou un navigateur infecté. La fausse validation pousse enfin la victime à approuver elle-même une opération présentée comme une vérification de sécurité.

Ces scénarios expliquent pourquoi un mot de passe complexe ne suffit pas. Si vous le saisissez sur une copie parfaite du site, l'attaquant le reçoit. Si vous communiquez ensuite le code temporaire, il peut l'utiliser immédiatement. Une méthode résistante au phishing vérifie aussi le véritable domaine avant d'autoriser la connexion.

Compte d'exchange et wallet non dépositaire : deux menaces différentes

Sur un exchange, la plateforme contrôle techniquement les clés des actifs conservés. Votre priorité consiste à empêcher une prise de contrôle du compte et un retrait frauduleux. Sur un wallet non dépositaire, vous contrôlez les clés. La priorité devient alors la protection de la phrase de récupération et la lecture des transactions signées.

Ce guide traite surtout du premier cas et des accès numériques communs aux deux. Pour la conservation à long terme, consultez notre comparatif cold wallet ou hot wallet. Pour les faux placements, les rendements impossibles et les usurpations de conseiller, lisez le dossier arnaques crypto.

Quel 2FA choisir pour protéger ses cryptos ?

La meilleure méthode disponible est celle qui lie cryptographiquement l'authentification au vrai site, comme une passkey ou une clé de sécurité conforme à FIDO2. Le NIST classe les méthodes cryptographiques liées au vérificateur parmi les mécanismes résistants au phishing. À défaut, une application TOTP reste plus sûre qu'un code SMS interceptable ou redirigeable.

Sources : ANSSI, Recommandations relatives à l'authentification multifacteur et aux mots de passe, version 2021 consultée le 2026-10-13, et NIST, Digital Identity Guidelines SP 800-63B, version courante consultée le 2026-10-13.

Pourquoi les passkeys et clés physiques changent la connexion

Une passkey ne vous demande pas de recopier un secret sur le site. Le navigateur ou le système vérifie le domaine et produit une preuve cryptographique. Une copie du site ne reçoit donc pas le secret attendu. Une clé physique ajoute une séparation matérielle et peut servir de second facteur ou de méthode complète selon le service.

La synchronisation des passkeys simplifie la récupération, mais elle déplace une partie du risque vers votre compte Apple, Google ou votre gestionnaire compatible. Protégez cet écosystème avec une méthode forte et des appareils de confiance. Pour un patrimoine significatif, conservez une solution de secours distincte, testée avant d'en avoir besoin.

Comment utiliser correctement une application TOTP

Une application TOTP génère un code valable pendant une courte période. Elle évite le réseau téléphonique, mais ne résiste pas à un faux site qui vous demande le code en temps réel. Ouvrez donc la plateforme depuis un favori enregistré, puis vérifiez le domaine avant toute saisie.

Lors de l'activation, la plateforme affiche souvent une clé de secours. Ne la laissez pas dans la galerie photo, les notes synchronisées ou la même messagerie que votre mot de passe. Conservez-la hors ligne ou dans un coffre chiffré distinct. Testez la restauration avant de supprimer l'ancien téléphone.

Pourquoi le SMS reste fragile

Le SMS dépend de votre numéro, de votre opérateur et des procédures de remplacement de carte SIM. Un attaquant peut tenter une fraude auprès de l'opérateur, exploiter une redirection ou lire les messages sur un téléphone déjà compromis. Le SMS vaut mieux que l'absence de second facteur, mais il ne doit pas être présenté comme le niveau maximal.

Si votre plateforme impose encore le SMS, ajoutez les protections disponibles : code confidentiel chez l'opérateur, restrictions de portabilité, notifications de changement et mot de passe unique. Vérifiez aussi que la récupération du compte ne permet pas de contourner une méthode plus forte avec un simple message téléphonique.

Comment sécuriser l'email et les mots de passe associés ?

L'email constitue souvent la porte de récupération du compte crypto. Une authentification forte sur l'exchange perd beaucoup d'intérêt si un attaquant peut réinitialiser l'accès depuis une messagerie mal protégée. La CNIL recommande des mots de passe distincts et une authentification multifacteur adaptée au niveau de risque du service.

Sources : CNIL, Les conseils de la CNIL pour un bon mot de passe, consulté le 2026-10-13, et ANSSI, Recommandations relatives à l'authentification multifacteur et aux mots de passe, consulté le 2026-10-13.

Créez une adresse dédiée aux comptes financiers si cela reste gérable pour vous. Elle ne doit pas apparaître sur les réseaux sociaux, les forums ou les boutiques en ligne. Moins cette adresse circule, moins elle reçoit de tentatives ciblées. Elle ne doit toutefois pas devenir une boîte oubliée sans surveillance ni procédure de récupération.

Un mot de passe unique et généré

Utilisez un gestionnaire de mots de passe pour produire une chaîne longue et unique. La réutilisation transforme la fuite d'un service secondaire en accès potentiel à votre messagerie ou à votre exchange. Un gestionnaire réduit aussi le risque de saisir vos identifiants sur le mauvais domaine, car le remplissage automatique ne se déclenche normalement pas sur une adresse différente.

Le mot de passe maître du gestionnaire doit lui aussi être unique et mémorisable. Activez son authentification forte. Ne conservez pas l'export non chiffré de votre coffre dans un dossier cloud ordinaire. Une sauvegarde utile doit être protégée, inventoriée et restaurable.

Les options de récupération méritent un audit

Vérifiez l'adresse secondaire, le numéro de téléphone, les appareils connectés et les sessions actives de votre messagerie. Supprimez les appareils que vous ne reconnaissez plus. Contrôlez les règles de transfert automatique, car un attaquant peut créer une redirection discrète pour lire les alertes sans rester connecté.

Conservez les codes de récupération de la messagerie hors ligne. Si votre email accepte une clé de sécurité, ajoutez-en idéalement deux : une utilisée au quotidien et une stockée en secours. Une seule clé perdue ne doit pas vous enfermer hors de votre propre compte.

Comment reconnaître un phishing crypto avant de cliquer ?

Le phishing exploite l'urgence, l'autorité et la peur de perdre l'accès. Cybermalveillance.gouv.fr recommande de ne pas cliquer directement dans un message douteux, de vérifier l'adresse réelle et de rejoindre le service par son site habituel. En crypto, les prétextes fréquents concernent une connexion inconnue, un retrait bloqué ou une procédure réglementaire urgente.

Sources : Cybermalveillance.gouv.fr, Hameçonnage ou phishing, consulté le 2026-10-13, et AMF, Crypto-monnaies : attention aux arnaques, consulté le 2026-10-13.

« Ne communiquez jamais d'informations sensibles à la suite d'un message », Cybermalveillance.gouv.fr, fiche Hameçonnage, consultée le 2026-10-13.

Un logo correct, un cadenas dans le navigateur ou un français impeccable ne prouvent rien. Les fraudeurs copient les chartes graphiques et obtiennent des certificats HTTPS. Le contrôle porte sur le domaine complet, le contexte de la demande et l'action réclamée.

Le test des cinq questions

1. Ai-je initié cette connexion ou cette demande de support ?
2. Le domaine exact correspond-il à mon favori enregistré ?
3. Le message exige-t-il un secret, un code, une phrase de récupération ou une signature ?
4. L'urgence m'empêche-t-elle de vérifier depuis l'application officielle ?
5. Un interlocuteur me pousse-t-il vers Telegram, WhatsApp ou un outil de prise en main à distance ?

Une seule réponse inquiétante suffit pour interrompre l'action. Fermez le message, ouvrez vous-même l'application et consultez les notifications internes. Si l'alerte est réelle, elle apparaîtra généralement dans l'espace sécurisé ou le centre d'assistance officiel.

Domaine proche, publicité sponsorisée et QR code

Un domaine peut remplacer une lettre, ajouter un tiret ou utiliser un sous-domaine trompeur. Lisez l'adresse de droite à gauche pour identifier le véritable nom de domaine. Ne vous fiez pas au premier résultat sponsorisé d'un moteur de recherche. Un favori créé lors d'une session vérifiée réduit ce risque.

Un QR code cache l'adresse jusqu'au scan. Prévisualisez le lien avant de l'ouvrir et refusez tout QR code envoyé par un prétendu support. Une connexion wallet déclenchée par QR code peut aussi demander une signature. Lisez la chaîne, le contrat et les permissions avant d'approuver.

Support client et code anti-phishing

Un support légitime ne demande pas votre phrase de récupération, votre mot de passe complet ou un code 2FA en cours. Il peut demander des éléments d'identification, mais jamais le secret qui permet de déplacer les fonds. Refusez toute installation d'un logiciel de contrôle à distance à la demande d'un inconnu.

Certaines plateformes permettent de définir un code anti-phishing affiché dans leurs emails. Son absence ou une valeur incorrecte constitue un signal d'alerte. Sa présence ne prouve toutefois pas que chaque lien est sûr. Rejoignez toujours la plateforme par l'application ou votre favori lorsque le message concerne une action sensible.

Comment bloquer un retrait même après un accès frauduleux ?

La sécurité ne doit pas s'arrêter à la page de connexion. Une liste blanche d'adresses, un délai après l'ajout d'un bénéficiaire, des confirmations séparées et des alertes de retrait peuvent ralentir l'attaquant. L'ANSSI recommande de séparer les facteurs et d'adapter le niveau d'authentification à la sensibilité de l'opération.

Sources : ANSSI, Recommandations relatives à l'authentification multifacteur et aux mots de passe, consulté le 2026-10-13, et NIST, Digital Identity Guidelines SP 800-63B, consulté le 2026-10-13.

Activez la liste blanche si votre plateforme la propose. Enregistrez uniquement des adresses que vous avez vérifiées. Un délai de sécurité après toute nouvelle adresse vous donne une fenêtre pour réagir. Vérifiez que la désactivation de cette liste exige elle aussi une authentification forte et déclenche une alerte.

Séparer connexion et validation de retrait

Lorsque la plateforme le permet, utilisez des facteurs distincts pour la connexion et le retrait. Une clé de sécurité pour l'accès et une validation dans l'application peuvent réduire le risque qu'un seul canal compromis suffise. Évitez toutefois l'accumulation de notifications push peu lisibles, car la fatigue de validation pousse à accepter sans vérifier.

Lisez chaque notification : actif, montant, adresse, réseau et appareil demandeur. Un transfert sur le mauvais réseau peut être perdu sans intervention frauduleuse. Pour une nouvelle adresse, effectuez d'abord un petit envoi et attendez sa confirmation avant le montant principal.

Contrôler les clés API et les sessions

Une clé API peut autoriser la consultation, le trading et parfois d'autres actions. Désactivez les permissions inutiles, limitez l'accès par adresse IP lorsque c'est possible et supprimez les clés anciennes. N'accordez jamais le retrait à un outil qui n'en a pas besoin.

Consultez régulièrement la liste des appareils et sessions. Fermez celles qui sont anciennes ou inconnues. Activez les alertes de nouvelle connexion, changement de mot de passe, création de clé API et ajout d'adresse. Une alerte ne protège que si elle arrive sur une messagerie saine et surveillée.

Comment sécuriser le navigateur, le téléphone et les wallets ?

Un compte bien configuré reste vulnérable sur un appareil compromis. Mettez à jour le système, le navigateur et les applications depuis les boutiques officielles. Limitez les extensions, car elles voient parfois les pages consultées et peuvent modifier ce qui s'affiche. Séparez si possible les usages financiers des téléchargements et tests risqués.

Sources : Cybermalveillance.gouv.fr, Hameçonnage ou phishing, consulté le 2026-10-13, et ANSSI, Recommandations relatives à l'authentification multifacteur et aux mots de passe, consulté le 2026-10-13.

Sur mobile, protégez l'écran par un code long et activez le chiffrement fourni par le système. Cachez le contenu des notifications sensibles sur l'écran verrouillé. Vérifiez les permissions d'accessibilité et d'administration, souvent exploitées par des applications malveillantes pour lire l'écran ou valider des actions.

Réduire le nombre d'extensions

Installez uniquement les extensions indispensables depuis leur source officielle. Une extension abandonnée peut changer de propriétaire ou recevoir une mise à jour compromise. Désactivez les extensions de wallet dans le profil de navigateur utilisé pour l'email et les tâches courantes si vous n'en avez pas besoin.

Un profil dédié aux opérations crypto limite les interactions avec les cookies, extensions et sessions du quotidien. Il ne remplace pas un appareil sain, mais réduit l'exposition. Ne restez pas connecté en permanence sur un ordinateur partagé ou professionnel que vous ne contrôlez pas totalement.

Si vous utilisez un wallet de navigateur, notre comparatif MetaMask ou Rabby détaille les avertissements de transaction et la gestion des réseaux. Gardez toutefois la réserve sur une adresse distincte du wallet utilisé pour explorer des applications.

Une phrase de récupération reste hors ligne

La phrase de récupération d'un wallet non dépositaire donne le contrôle des actifs. Aucun support sérieux ne vous demande de la saisir dans un formulaire, une conversation ou un outil de diagnostic. Une photo, une capture d'écran ou une note synchronisée augmente le nombre de systèmes qui peuvent la divulguer.

Conservez-la hors ligne dans un lieu protégé contre le vol, l'incendie et l'accès opportuniste. Ne testez jamais une phrase sur un site trouvé par recherche. Utilisez uniquement le logiciel officiel vérifié du wallet. Notre comparatif Ledger ou Trezor détaille la protection matérielle sans remplacer vos vérifications personnelles.

Que faire immédiatement après une compromission ?

La priorité consiste à stopper les actions en cours depuis un appareil sain. Ne perdez pas de temps à négocier avec le fraudeur. Fermez les sessions, changez les accès de la messagerie, contactez la plateforme par son canal officiel et rassemblez les preuves. Cybermalveillance.gouv.fr propose un diagnostic et des orientations vers les services adaptés.

Sources : Cybermalveillance.gouv.fr, Hameçonnage ou phishing, consulté le 2026-10-13, et Service-Public, signaler un contenu illégal sur internet avec PHAROS, consulté le 2026-10-13.

Si le compte est encore accessible

1. Révoquez toutes les sessions et appareils inconnus.
2. Changez le mot de passe depuis un appareil fiable.
3. Remplacez ou réinitialisez le second facteur.
4. Supprimez les nouvelles adresses de retrait et clés API.
5. Suspendez les retraits si l'option existe.
6. Vérifiez l'historique des conversions, ordres et transferts.
7. Contactez le support officiel avec les identifiants de transaction.

Protégez ensuite la messagerie et le gestionnaire de mots de passe. Si le même secret a été réutilisé, changez-le sur tous les services concernés. Analysez l'appareil avant de vous reconnecter. Une réinitialisation des accès sur un ordinateur encore compromis ne ferme pas durablement la porte.

Si des fonds ont déjà été transférés

Notez l'heure, l'actif, le réseau, l'adresse de destination et l'identifiant de transaction. Ces données sont publiques sur la blockchain, mais elles ne permettent pas à elles seules de récupérer les fonds. Transmettez-les rapidement à la plateforme émettrice et, si elle est identifiable, à la plateforme destinataire.

Déposez plainte et utilisez les canaux officiels de signalement adaptés. Méfiez-vous des services de récupération qui promettent un remboursement contre une avance. Une victime peut être ciblée une seconde fois par un faux enquêteur, un faux avocat ou un prétendu spécialiste de traçage.

Si un wallet a signé une autorisation dangereuse

Déconnecter le site de l'interface ne révoque pas forcément les autorisations inscrites sur la blockchain. Examinez les approvals avec un outil reconnu depuis un environnement fiable et révoquez ce qui n'est plus nécessaire. Si la phrase de récupération a été révélée, considérez le wallet comme compromis et transférez les actifs restants vers une nouvelle adresse créée sainement.

Ne remettez jamais de nouveaux fonds sur l'ancienne adresse pour « payer des frais de récupération ». Si un portefeuille contient plusieurs chaînes, vérifiez chacune d'elles. Une compromission de la phrase concerne toutes les adresses dérivées, même celles qui n'ont pas encore subi de mouvement.

Quelle checklist appliquer en quinze minutes ?

Une configuration simple et terminée protège mieux qu'un projet de sécurité repoussé. Commencez par la messagerie, puis le compte crypto, les retraits et les appareils. Le rapport 2024 de Cybermalveillance.gouv.fr montre que l'hameçonnage et le piratage de compte restent deux motifs majeurs d'assistance. Ces barrières répondent directement à ces scénarios.

Sources : Cybermalveillance.gouv.fr, Rapport d'activité 2024, consulté le 2026-10-13, et ANSSI, Recommandations relatives à l'authentification multifacteur et aux mots de passe, consulté le 2026-10-13.

1. Remplacez tout mot de passe réutilisé par un mot de passe généré.
2. Activez une passkey, une clé physique ou une application TOTP.
3. Téléchargez les codes de récupération et stockez-les hors ligne.
4. Protégez l'email avec une méthode au moins aussi forte.
5. Vérifiez les règles de transfert de la messagerie.
6. Enregistrez le site officiel dans vos favoris.
7. Activez le code anti-phishing si la plateforme le propose.
8. Activez la liste blanche des adresses de retrait.
9. Supprimez les anciennes sessions, appareils et clés API.
10. Activez les alertes de connexion et de changement sensible.
11. Mettez à jour le téléphone, le navigateur et les applications.
12. Supprimez les extensions inutiles.
13. Testez la récupération du compte sans désactiver vos protections.
14. Expliquez la procédure d'urgence à une personne de confiance si nécessaire.
15. Programmez une vérification trimestrielle de ces réglages.

Cette checklist ne garantit pas l'absence de perte. Elle réduit surtout les dépendances uniques. Si votre téléphone disparaît, vous devez disposer d'un secours. Si votre email est attaqué, le retrait doit encore rester bloqué. Si un message vous trompe, la méthode d'authentification doit refuser le faux domaine.

Questions fréquentes sur la sécurité crypto

Une application 2FA suffit-elle pour sécuriser un exchange ?

Non. Elle ajoute une barrière utile, mais un faux site peut voler le mot de passe et le code en temps réel. Ajoutez un mot de passe unique, une messagerie protégée, une liste blanche de retrait et des alertes. Une passkey ou une clé physique offre une meilleure résistance au phishing lorsqu'elle est disponible.

Google Authenticator est-il plus sûr que le SMS ?

Une application TOTP évite généralement les risques liés au réseau téléphonique et au remplacement frauduleux de carte SIM. Elle reste toutefois vulnérable au phishing en temps réel. Sa sauvegarde doit aussi être protégée. Le niveau supérieur repose sur une passkey ou une clé de sécurité liée au domaine légitime.

Un exchange peut-il demander ma phrase de récupération ?

Non pour un compte dépositaire classique. La plateforme gère ses propres portefeuilles et n'a pas besoin de la phrase de votre wallet personnel. Un prétendu support qui réclame cette phrase cherche à prendre le contrôle de vos actifs. Interrompez immédiatement la conversation.

Faut-il utiliser une adresse email dédiée aux cryptos ?

C'est utile si vous pouvez la surveiller et la récupérer correctement. Une adresse peu exposée reçoit moins de tentatives ciblées. Elle doit conserver un mot de passe unique, une authentification forte, des codes de secours et des contrôles réguliers des sessions et règles de transfert.

Que faire si j'ai cliqué sur un lien sans saisir de mot de passe ?

Fermez la page, ne téléchargez rien et analysez les événements. Vérifiez les téléchargements, extensions, permissions et sessions. Si vous avez autorisé une connexion wallet ou une notification, contrôlez les autorisations et l'historique. Changez vos accès si le navigateur ou l'appareil présente un signe de compromission.

Peut-on récupérer des cryptos après un phishing ?

La récupération n'est jamais garantie. Contactez immédiatement les plateformes concernées avec les identifiants de transaction, protégez les comptes restants et déposez plainte. Évitez les services qui réclament une avance ou votre phrase de récupération. Ils peuvent organiser une seconde fraude contre la victime.

Sécuriser l'accès avant de chercher l'outil parfait

La protection la plus efficace repose sur plusieurs barrières simples : un email dédié et fortement protégé, un mot de passe unique, une méthode 2FA résistante au phishing, des retraits verrouillés et des appareils à jour. Chaque couche doit ralentir l'attaquant et vous avertir. Une seule validation ne doit pas permettre de modifier l'email, créer une adresse et retirer les fonds.

Commencez aujourd'hui par les quinze points de la checklist. Testez ensuite la récupération et conservez les preuves nécessaires en cas d'incident. La sécurité crypto n'élimine pas le risque, mais elle évite qu'un lien trompeur ou un mot de passe réutilisé décide seul du sort de votre épargne.

Continuer à apprendre

• Arnaques crypto : reconnaître les faux placements et les usurpations
• Cold wallet ou hot wallet : choisir selon son usage
• Ledger ou Trezor : comparatif des hardware wallets
• Portefeuille crypto pour débutant : allocation et risques
• Fiscalité crypto 2026 : déclaration et calcul

Sources

• Cybermalveillance.gouv.fr, Rapport d'activité 2024, publié en 2025 et consulté le 2026-10-13.
• Cybermalveillance.gouv.fr, Hameçonnage ou phishing, consulté le 2026-10-13.
• ANSSI, Recommandations relatives à l'authentification multifacteur et aux mots de passe, consulté le 2026-10-13.
• ANSSI, Panorama de la cybermenace 2024, consulté le 2026-10-13.
• NIST, Digital Identity Guidelines SP 800-63B, version courante consultée le 2026-10-13.
• CNIL, Les conseils de la CNIL pour un bon mot de passe, consulté le 2026-10-13.
• AMF, Crypto-monnaies : attention aux arnaques, consulté le 2026-10-13.
• Service-Public, signaler un contenu illégal sur internet avec PHAROS, consulté le 2026-10-13.