Sommaire
Vous recevez un SMS : « Votre colis est bloqué au dépôt. Réglez les frais de livraison sous 24 h, sinon il sera renvoyé », avec un lien. Ou un message WhatsApp d’un numéro inconnu se présentant comme votre banque : « Votre compte est gelé, mettez à jour vos informations. » Ce sont des messages d’hameçonnage (phishing) avec un seul but : vous faire saisir votre mot de passe, votre carte ou un code de vérification sur une fausse page. Bonne nouvelle : la plupart portent des signes clairs, à condition de savoir où regarder.
1. Les signes dans le message
Avant même le lien, observez le ton. Les escrocs misent sur la pression plus que sur la technique :
- Urgence et menaces : « sous 24 h », « votre compte sera suspendu », « dernier avis ». Les vrais organismes menacent rarement par SMS avec un délai si court.
- Des demandes que personne ne fait : aucune banque ni aucun livreur ne demande votre mot de passe, le code de votre carte ou le code de vérification reçu à l’instant.
- De petites sommes étranges : des frais de livraison minimes servent d’appât ; la vraie cible est votre numéro de carte complet.
- Des gains ou offres sans participation : « vous avez gagné un téléphone », « travail à domicile très bien payé ».
- Un expéditeur inattendu : numéro international ou adresse e-mail gratuite se présentant comme un organisme officiel.
2. Lire un lien sans l’ouvrir
C’est la compétence la plus utile. Sur téléphone, appuyez longuement sur le lien pour le copier ou le prévisualiser ; sur ordinateur, survolez-le sans cliquer.
Règle d’or : le vrai domaine, ce sont les deux dernières parties avant le premier « / »
| Lien | Domaine réel | Verdict |
|---|---|---|
https://www.paypal.com/signin | paypal.com | site officiel |
https://paypal.com.secure-check.top/login | secure-check.top | faux : la marque n’est qu’un sous-domaine |
http://paypa1-login.com | paypa1-login.com | faux : chiffre 1 au lieu du l |
https://bank.example@203.0.113.7/ | 203.0.113.7 | faux : tout ce qui précède @ est ignoré |
L’escroc peut écrire n’importe quoi au début du lien, mais il ne peut pas posséder le vrai domaine de la banque. Lisez donc le domaine par la fin.
Autres signes techniques
- Lettres sosies : un domaine peut utiliser un « а » cyrillique identique au « a » latin. Les navigateurs détectent certains cas et les affichent sous une forme commençant par
xn--. - Liens raccourcis (bit.ly…) : pas forcément malveillants, mais ils masquent la destination.
- Absence de HTTPS : le cadenas ne prouve pas l’honnêteté d’un site (les escrocs obtiennent facilement des certificats gratuits), mais son absence sur une page de paiement est un signal d’alarme.
- Extensions inhabituelles : .top, .xyz, .click… dans un message censé venir d’une banque locale.
En cas de doute, collez le lien dans le vérificateur de liens d’hameçonnage : il affiche le domaine réel et explique chaque signe suspect, sans ouvrir le lien.
3. Des ruses plus élaborées
- Vol de code de vérification : quelqu’un appelle en se faisant passer pour votre banque et dit vous avoir envoyé un « code de confirmation ». Ce code sert en réalité à se connecter à votre compte ou à valider un paiement. Règle : ne lisez jamais un code de vérification à qui que ce soit.
- Messages d’amis piratés : « Je t’ai envoyé un code par erreur, tu peux me le transférer ? » est une ruse classique de prise de contrôle de compte WhatsApp.
- Noms de fichiers inversés : des caractères invisibles inversent le sens du texte pour qu’un exécutable ressemble à une photo ou un PDF. Révélez-les avec le détecteur de caractères invisibles.
- QR codes dans les lieux publics : un faux autocollant collé sur le vrai peut mener à une fausse page de paiement.
4. Vous avez cliqué ou saisi vos données ?
- Carte saisie : appelez immédiatement votre banque (numéro au dos de la carte ou dans l’application officielle), faites-la bloquer et vérifiez les dernières opérations.
- Mot de passe saisi : changez-le aussitôt sur le site officiel (tapez l’adresse vous-même) et sur tous les comptes qui l’utilisent. Créez-en un solide avec le générateur de phrases de passe.
- Activez la validation en deux étapes : voir notre guide de la double authentification.
- Fichier téléchargé : ne l’ouvrez pas, supprimez-le et analysez l’appareil avec un antivirus à jour.
- Signalez : prévenez l’organisme usurpé (la plupart ont un canal dédié à la fraude) et, en cas de perte d’argent, déposez plainte auprès des autorités compétentes de votre pays.
5. Des habitudes simples
- Accédez à vos comptes via l’application officielle ou en tapant l’adresse, jamais par un lien reçu.
- Un mot de passe différent par compte, testé avec le testeur de robustesse.
- En cas de doute, appelez l’organisme à son numéro officiel.
- Transmettez ces règles à vos parents et enfants, souvent les plus ciblés.
En résumé
L’hameçonnage fonctionne parce qu’il vous presse. Prenez dix secondes : attendais-je ce message ? Quel est le vrai domaine du lien ? Me demande-t-on ce que personne de légitime ne demande ? Ces trois questions suffisent à déjouer la plupart des arnaques.
