G
Sécurité des comptes
Arnaque compte Google : fausse alerte de sécurité, faux appel, faux stockage plein
Vous avez reçu une alerte de sécurité Google, un mail qui annonce que votre stockage est plein, ou l'appel d'un prétendu support Google. Voici ce que Google dit lui-même de ses canaux, les messages réellement signalés, et l'endroit de votre compte où une vraie alerte apparaît toujours.
Fausse alerte de sécurité Google : comment savoir si une alerte ou un appel au sujet de mon compte est vrai ?
Ne passez pas par le message : ouvrez vous-même myaccount.google.com/notifications. C'est la page que Google indique pour consulter l'activité récente liée à la sécurité de votre compte, et une vraie alerte y figure. Pour un appel, la réponse est plus simple encore : Google a déclaré en avril 2025 qu'il ne demande jamais vos identifiants, comme un mot de passe ou un code à usage unique, et qu'il n'appelle pas directement ses utilisateurs. Sa page d'aide précise aussi qu'on ne peut pas appeler Google pour obtenir de l'aide à la connexion. Ne vous fiez pas à l'adresse d'expéditeur : en avril 2025, un mail de phishing est arrivé depuis la vraie adresse no-reply@google.com, correctement signé, rangé par Gmail avec les vraies alertes de sécurité, et menait vers une fausse page de connexion hébergée sur sites.google.com.
- Vérifier une alerte
- myaccount.google.com/notifications, la page « activité récente liée à la sécurité » de votre compte, à ouvrir vous-même.
- Récupérer un compte
- Uniquement par accounts.google.com/signin/recovery. Google ne propose pas d'aide par téléphone pour la connexion et ne travaille avec aucun service qui prétend en fournir.
- Ce que Google ne fait pas
- Vous appeler directement, ni vous demander un mot de passe ou un code à usage unique (déclaration de Google à The Hacker News, avril 2025). Gmail ne vous demandera jamais d'envoyer votre mot de passe par e-mail.
- Signaler un mail
- Dans Gmail sur ordinateur : menu « Plus » à côté de « Répondre », puis « Signaler comme hameçonnage ». Pour un SMS : 33700.
Les signaux qui doivent vous arrêter
- Une demande de mot de passe par email
- Une menace de suppression du compte sous 24 h
- Une pièce jointe .exe ou .zip que vous n'attendiez pas
- Un appel non sollicité d'un prétendu support technique
Vraie ou fausse notification ?
Faux email Google
✗Un expéditeur qui accole le nom du service à un autre mot, au lieu du domaine officiel google.com
✗"Cher utilisateur" au lieu de votre nom
✗Une fermeture de compte annoncée sous 24 heures, pour vous faire agir avant de vérifier
✗Lien vers site suspect
Vrai email Google
✓De: @google.com
✓Ne vous demande jamais votre mot de passe ou un code reçu par SMS
✗Pas d'urgence ni de menace
✓Invite à vérifier sur google.com
Arnaques Google les plus répandues
1
La fausse alerte envoyée depuis une vraie adresse Google : en avril 2025, des messages annonçant une réquisition judiciaire visant le contenu de votre compte Google sont arrivés depuis no-reply@google.com. Ils passaient la vérification de signature, Gmail les affichait sans avertissement dans le même fil que les vraies alertes, et le lien menait à une page sur sites.google.com qui imitait la connexion Google. Les escrocs avaient détourné le système d'alertes automatiques de Google. Google a indiqué avoir corrigé la faille.2
Le faux support Google au téléphone : un interlocuteur se présente comme Google, parle d'un piratage ou d'une récupération de compte en cours et vous demande un code reçu par SMS ou de valider une demande. Google n'appelle pas ses utilisateurs, ne propose pas d'aide à la connexion par téléphone, et ne travaille avec aucun service qui prétend fournir une assistance pour les comptes et mots de passe.3
Le faux « stockage plein » : « Re: Bonjour, votre compte a atteint sa limite de stockage aujourd'hui », signalé le 1er avril 2026, envoyé depuis notification.58018@lthft.chudasamabrass.com sous le nom « Synchronisation pause ». Une version du 23 octobre 2025 (« Vous avez atteint votre limite de stockage, cher client, votre Google Drive ») venait d'une adresse en blog.compliancepoint.com. Aucun de ces domaines n'appartient à Google.4
La page piégée hébergée chez Google : sites.google.com permet à n'importe qui de publier du contenu sur un sous-domaine de google.com, avec des scripts, ce qui a servi de fausse page de connexion dans la campagne d'avril 2025. Un lien en google.com ne prouve donc pas que la page est de Google.5
Le message venant d'une simple adresse Gmail : le 15 juillet 2026, un faux message accompagné d'une image à en-tête de la police nationale, évoquant des faits graves, demandait de répondre à alerte.infoscojp@gmail.com. Une adresse en gmail.com est celle d'un utilisateur de Gmail, n'importe lequel : ce n'est ni Google, ni une administration.Adresses et domaines Google : lesquels sont réels
Vous avez une adresse d'expéditeur ou un lien sous les yeux et vous cherchez à savoir ce qu'il vaut. Voici ce que nous avons pu établir, source à l'appui. Rappel utile : l'adresse affichée dans un message peut être falsifiée, elle ne suffit donc jamais seule à valider un message, même quand elle est authentique.
Adresses et domaines authentiques
- google.com : domaine de Google, protégé par une politique DMARC en p=reject (relevé DNS du 11 octobre 2026). Attention : des sous-domaines comme sites.google.com hébergent du contenu créé par n'importe quel utilisateur, et une fausse page de connexion y a été hébergée en avril 2025.
- accounts.google.com : domaine des comptes Google, par lequel passe la récupération officielle (accounts.google.com/signin/recovery). Il publie lui aussi une politique DMARC en p=reject.
- myaccount.google.com : votre compte Google. La page myaccount.google.com/notifications affiche l'activité récente liée à la sécurité, c'est là qu'une vraie alerte se vérifie.
Adresses et domaines frauduleux relevés
- notification.58018@lthft.chudasamabrass.com : faux mail « votre compte a atteint sa limite de stockage » signalé le 1er avril 2026 sur signal-arnaques.com.
- info.recmrqav@blog.compliancepoint.com : adresse affichée par un faux mail « Vous avez atteint votre limite de stockage, votre Google Drive » signalé le 23 octobre 2025 sur signal-arnaques.com.
- alerte.infoscojp@gmail.com : adresse de réponse d'une fausse convocation à en-tête de la police, signalée le 15 juillet 2026 sur signal-arnaques.com.
Comment repérer un faux email Google
On vous demande un mot de passe ou un code de validation, par mail, par message ou par téléphone. Google demande de ne jamais les communiquer.
Quelqu'un vous appelle « de la part de Google ». Google n'appelle pas directement ses utilisateurs.
Le lien mène à une page qui vous demande de vous connecter, même sur un domaine en google.com (sites.google.com, un formulaire ou un document partagé). Ouvrez plutôt votre compte vous-même.
Le nom et l'adresse de l'expéditeur ne correspondent pas, ou l'adresse n'est pas sur un domaine de Google : Google conseille de vérifier ce point. Une adresse en gmail.com appartient à un particulier.
L'URL réelle du lien ne correspond pas au texte affiché. Google conseille de survoler le lien sur ordinateur avant de cliquer.
Un message urgent ou une offre trop belle, comme un espace de stockage supplémentaire à prix cassé : Google cite ces deux signes parmi ceux d'un mail suspect.
Protégez votre compte Google
Pour vérifier une alerte, ouvrez vous-même myaccount.google.com/notifications plutôt que le lien du mail.
Ne communiquez jamais vos mots de passe ni vos codes de validation, à personne, même à un interlocuteur qui se présente comme Google.
Si vous avez perdu l'accès à votre compte, passez uniquement par accounts.google.com/signin/recovery. Aucun service, payant ou non, ne peut le faire à votre place avec l'accord de Google.
Signalez le mail dans Gmail avec « Signaler comme hameçonnage » (menu « Plus » à côté de « Répondre »). Transférez un SMS frauduleux au 33700.
Si vous avez saisi votre mot de passe sur une fausse page, changez-le immédiatement depuis votre compte, puis vérifiez l'activité récente sur myaccount.google.com/notifications.
Questions fréquentes
Comment reconnaître une fausse alerte de sécurité Google ?▼
Comparez-la à ce que Google décrit de ses vraies alertes. Google en envoie lorsqu'il détecte une action importante sur votre compte, comme une connexion depuis un nouvel appareil, une activité suspecte comme l'envoi d'un nombre inhabituel d'e-mails, ou lorsqu'il bloque une personne qui tente une action sensible. Une vraie alerte indique le type d'appareil, l'heure et le lieu de la connexion, et vous propose de répondre Oui si c'était vous, ou Non, sécuriser le compte. Google prévient lui-même que des pirates copient l'e-mail « Tentative de connexion suspecte bloquée » pour voler des identifiants. Pour trancher, ne cliquez pas dans le message : ouvrez votre compte Google vous-même, rubrique Sécurité, puis Examiner les événements relatifs à la sécurité. Si l'événement annoncé n'y apparaît pas, ne donnez aucune suite au message. Et quelle que soit sa forme, Google écrit qu'il ne vous demandera jamais votre mot de passe par e-mail, par message ni par téléphone. Un code de validation reçu par SMS sans l'avoir demandé peut être ignoré et supprimé, et ne doit être communiqué à personne.
no-reply@accounts.google.com ou no-reply@google.com, c'est vraiment Google ?▼
Ce sont bien des domaines de Google, protégés par une politique DMARC en p=reject (relevé DNS du 11 octobre 2026) : un escroc ne peut normalement pas envoyer un mail qui passe pour venir de ces adresses. Mais en avril 2025, des phishers ont réussi à faire envoyer par Google lui-même, depuis no-reply@google.com, un message correctement signé qui annonçait une réquisition judiciaire sur le compte et renvoyait vers une fausse page de connexion sur sites.google.com. Google a indiqué avoir corrigé ce détournement. La leçon reste valable : même une vraie adresse Google ne suffit pas. Vérifiez l'alerte en ouvrant vous-même myaccount.google.com/notifications.
Google m'appelle au sujet de mon compte. Est-ce normal ?▼
Non. Google a déclaré en avril 2025 qu'il n'appelle pas directement ses utilisateurs et qu'il ne leur demande jamais leurs identifiants, comme un mot de passe ou un code à usage unique. Sa page d'aide sur la récupération de compte précise qu'on ne peut pas appeler Google pour obtenir de l'aide à la connexion et que Google ne travaille avec aucun service qui prétend fournir une assistance pour les comptes et les mots de passe. Raccrochez, ne donnez aucun code, et vérifiez l'activité de votre compte vous-même.
Un mail dit que mon stockage Google est plein. Est-ce une arnaque ?▼
Celui que vous avez reçu l'est très probablement s'il ne vient pas d'un domaine de Google ou s'il vous presse de payer par un lien. Des messages de ce type ont été signalés le 23 octobre 2025 et le 1er avril 2026 (« votre compte a atteint sa limite de stockage aujourd'hui »), depuis des adresses sans rapport avec Google. Pour connaître l'état réel de votre stockage, ouvrez votre compte Google ou l'application Google Drive vous-même, sans passer par le message.
Un lien en sites.google.com ou docs.google.com est-il forcément sûr ?▼
Non. Ces adresses appartiennent à Google, mais le contenu est créé par n'importe quel utilisateur. sites.google.com permet d'héberger des pages avec des scripts, et c'est là qu'était hébergée la fausse page de connexion de la campagne d'avril 2025. Un formulaire ou un document partagé peut de la même façon vous demander un mot de passe. Ne saisissez jamais vos identifiants sur une page ouverte depuis un lien : connectez-vous en tapant vous-même l'adresse de votre compte.
alerte.infoscojp@gmail.com : est-ce Google ou la police ?▼
Ni l'un ni l'autre. Une adresse en gmail.com est un compte Gmail ordinaire, que n'importe qui peut créer. Le 15 juillet 2026, un message signalé sur signal-arnaques.com demandait de répondre à cette adresse et contenait une image de mauvaise qualité à en-tête de la police nationale évoquant des faits graves : c'est un message d'intimidation, qui cherche à faire peur pour obtenir une réponse. Ne répondez pas et n'ouvrez pas la pièce jointe. Une administration ne vous écrit pas depuis une adresse Gmail.
Comment signaler un phishing dans Gmail ?▼
Sur ordinateur, ouvrez le message, cliquez sur l'icône « Plus » à côté de « Répondre », puis sur « Signaler comme hameçonnage ». Ne répondez pas au message et ne cliquez sur aucun lien. Pour un SMS, transférez-le au 33700. Si vous avez déjà saisi votre mot de passe, changez-le depuis votre compte.
Sources
Pages consultées pour établir les faits de cette fiche. Aucune statistique ni aucun exemple de message n'est cité ici sans provenir de l'une d'elles.
- support.google.com/mail/answer/8253
- support.google.com/accounts/answer/7682439
- support.google.com/accounts/answer/2590353
- support.google.com/accounts/answer/6063333
- support.google.com/accounts/answer/3367674
- support.google.com/accounts/answer/46526
- thehackernews.com/2025/04/phishers-exploit-google-sites-and-dkim.html
- 33700.fr
- signal-arnaques.com/scam/view/915140
- signal-arnaques.com/scam/view/882504
- signal-arnaques.com/scam/view/937217
Vous avez reçu un faux message Google : et maintenant ?
Ce message n'est probablement pas le dernier : les adresses ciblées le sont durablement. Nos comparatifs indépendants pour réduire le risque à la source :