Reconnaître un message d'hameçonnage avant de cliquer

« Méfiez-vous des fautes d'orthographe » est un conseil périmé. L'hameçonnage d'aujourd'hui est rédigé dans un français correct, porte de vrais logos, et vous appelle parfois par votre nom avec un numéro de compte exact.

Les signaux qui fonctionnent encore sont ailleurs — et le plus fiable ne tient pas à l'apparence du message, mais à ce qu'il demande et à l'effet qu'il produit sur vous.

L'urgence est le premier signal

Toute tentative d'hameçonnage réussie a besoin que vous agissiez avant de réfléchir. D'où la pression temporelle, presque systématique :

• « Votre compte sera suspendu sous 24 heures »
• « Connexion suspecte détectée — confirmez votre identité immédiatement »
• « Votre colis est bloqué, réglez les frais de dédouanement aujourd'hui »
• « Vous avez gagné un lot, réclamez-le avant expiration »

Les banques et les administrations ne fonctionnent pas ainsi. Les procédures réelles arrivent datées, avec des délais raisonnables, et souvent par plusieurs canaux.

La règle opérationnelle : plus cela paraît urgent, plus vous devez ralentir. Cette inversion est votre meilleure défense, car elle fonctionne même quand le message est techniquement irréprochable.

Ce qu'aucun organisme légitime ne demande

Aucun organisme sérieux ne vous demandera — par quelque canal que ce soit :

• Votre mot de passe complet
• Le code de vérification qui vient d'arriver
• Votre numéro de carte complet avec date d'expiration et cryptogramme
• D'installer une application « d'assistance » depuis un lien reçu par message

Le code de vérification est le plus dangereux. L'arnaque classique : quelqu'un appelle en se faisant passer pour votre banque, dit vérifier votre identité, et réclame le code qui vient d'arriver. Ce code est précisément ce qu'il lui manque pour entrer dans votre compte. C'est vous qui ouvrez la porte.

Lire un lien

C'est là que se joue l'essentiel de la tromperie. Une adresse web se lit de la gauche jusqu'à la première barre oblique simple — la dernière partie avant celle-ci est le vrai domaine. Tout le reste est décoratif.

La deuxième ligne est la ruse la plus efficace : le vrai domaine apparaît en premier, mais il est devenu un sous-domaine du site de l'attaquant.

Sur ordinateur : survolez sans cliquer, la destination s'affiche en bas de la fenêtre. Sur téléphone : appuyez longuement jusqu'à voir l'aperçu.

Le canal indépendant

C'est la seule règle qui résiste même à l'attaque la plus élaborée, et elle ne demande aucune compétence technique :

N'utilisez jamais le moyen de contact fourni par le message.

Un message de votre banque ? Ne cliquez pas sur le lien et n'appelez pas le numéro qu'il contient. Ouvrez votre application bancaire vous-même, ou appelez le numéro imprimé sur votre carte.

Si le message était réel, vous retrouverez la même notification dans votre espace. Si vous ne trouvez rien, vous avez votre réponse.

Toute la différence est là : vous ne cherchez pas à juger le message, vous le contournez. C'est pourquoi la règle tient même quand le message est parfait.

Les variantes les plus courantes

Les frais de colis. Un message réclamant une petite somme pour libérer une livraison. Le montant est faible exprès, pour que vous n'hésitiez pas — la cible est votre carte, pas les frais.

L'usurpation de proche. Un message d'un numéro inconnu : « c'est mon nouveau numéro, j'ai besoin d'un virement urgent ». Appelez d'abord l'ancien numéro.

Les fausses offres d'emploi. Une rémunération élevée pour peu de qualifications, puis une demande de frais d'inscription ou de coordonnées bancaires.

Le rebond après un compte volé. Une fois un compte détourné, des messages partent vers ses contacts en paraissant venir d'un véritable ami — ce qui explique leur efficacité.

Si vous avez cliqué et saisi vos informations

Agissez dans cet ordre ; la rapidité compte réellement :

1. Changez immédiatement le mot de passe de ce compte, et de tout autre compte utilisant le même.
2. Activez l'authentification à deux facteurs si ce n'est pas déjà fait.
3. Appelez votre banque si des données de carte sont concernées, et faites-la bloquer.
4. Vérifiez les sessions actives dans les paramètres de sécurité du compte et fermez tout ce que vous ne reconnaissez pas.
5. Surveillez vos comptes pendant deux semaines — de petits prélèvements de test précèdent généralement les gros.

Ne tardez pas à signaler par gêne. Un hameçonnage bien construit trompe aussi des professionnels de la sécurité ; ce qui fait la différence, c'est la vitesse de réaction ensuite.

Questions fréquentes

Comment vérifier un lien avant de cliquer ?

Sur un ordinateur, survolez le lien sans cliquer : la destination réelle apparaît en bas de la fenêtre. Sur un téléphone, appuyez longuement pour afficher un aperçu. Ce qui compte est le domaine situé juste avant la première barre oblique simple.

Le message porte le logo de ma banque et mon vrai nom, il est donc authentique ?

Non. Un logo se copie en quelques secondes, et les noms comme les numéros de compte fuitent lors des piratages d'autres sites. L'apparence d'un message ne dit rien de sa provenance.

J'ai cliqué mais je n'ai rien saisi. Suis-je en danger ?

Beaucoup moins. Ouvrir une page suffit rarement à elle seule. Surveillez vos comptes, lancez une analyse, et ne saisissez rien si la page redemande quelque chose.

Comment vérifier qu'un appel vient bien de ma banque ?

Raccrochez et rappelez le numéro figurant au dos de votre carte ou sur le site officiel. N'utilisez jamais un numéro fourni par l'appelant. Un interlocuteur légitime n'y verra aucune objection.

Quelle est la forme la plus dangereuse ?

L'hameçonnage ciblé, où l'expéditeur connaît votre nom, votre employeur et parfois une transaction réelle. Il ne se repère pas à l'apparence — seulement par une règle : vérifier par un canal indépendant avant tout virement ou toute saisie d'identifiants.

Sources

1. Cybermalveillance.gouv.fr — Hameçonnage / phishing