Hameçonnage, lien raccourci, faux expéditeur : les mots expliqués simplement
Un message vous demande de cliquer en urgence ? Yann Kerjean explique en mots simples les termes que l'on croise quand on vérifie un lien suspect, et ce qu'ils changent pour vous.
Hameçonnage : un mot étrange pour une ruse très simple
Le mot hameçonnage vient de la pêche. Le fraudeur lance un appât, par exemple un message qui prétend venir de votre banque, et attend que quelqu'un morde. Il n'y a rien de technique là-dedans : c'est une imitation, comme une fausse lettre glissée dans votre boîte aux lettres avec un en-tête qui ressemble à celui d'un vrai organisme.
On rencontre aussi le mot anglais phishing, qui désigne exactement la même chose. Quand vous nous transmettez un message douteux, c'est la première question à laquelle nous répondons : s'agit-il d'un appât ou d'un vrai courrier ? Nous regardons l'expéditeur, le ton, la demande formulée et l'adresse cachée derrière le lien.
Ce qui trahit le plus souvent un hameçonnage, c'est la pression. On vous parle d'un compte bloqué, d'un colis en attente, d'un remboursement à récupérer, et on vous demande d'agir vite. Un organisme sérieux vous laisse du temps et ne réclame jamais un mot de passe ou un code par message.
Le lien : ce que vous voyez et ce qui se cache derrière
Un lien est une adresse sur laquelle on clique. Le piège, c'est que le texte affiché peut être différent de l'adresse réelle, un peu comme une enveloppe sur laquelle on écrirait un faux nom d'expéditeur. Sur un ordinateur, en posant la flèche de la souris sur le lien sans cliquer, la vraie adresse apparaît en bas de l'écran.
Sur une tablette ou un téléphone, c'est moins pratique : il faut maintenir le doigt appuyé sur le lien, sans le relâcher trop vite. Si cette manœuvre vous inquiète, ne la tentez pas seul. Une capture d'écran du message, envoyée à notre équipe, suffit pour que nous examinions l'adresse à votre place.
Retenez une règle de prudence : si un message vous inquiète, n'ouvrez pas son lien. Ouvrez plutôt votre navigateur et tapez vous-même l'adresse habituelle de votre banque ou de votre administration. Si le problème est réel, vous le verrez aussi sur votre espace habituel.
Lien raccourci et nom de domaine : deux termes à connaître
Un lien raccourci est une adresse très courte, souvent faite de quelques lettres et chiffres, qui renvoie vers une page plus longue. Il sert normalement à gagner de la place dans un message, mais il masque la destination. Impossible alors de deviner où il mène sans l'ouvrir, ce qui en fait un outil apprécié des fraudeurs.
Le nom de domaine, lui, est la partie de l'adresse qui indique le véritable propriétaire du site, juste avant la terminaison. Les fraudeurs jouent à y glisser des différences minuscules : une lettre doublée, un tiret ajouté, un mot en plus. À première vue, tout semble en ordre, et c'est justement ce qui est visé.
Pour vérifier, lisez l'adresse lentement, de gauche à droite, jusqu'à la première barre oblique. Ce qui se trouve avant cette barre identifie le site. Tout ce qui vient après n'a pas d'importance pour juger de l'origine. En cas de doute, envoyez-nous le message tel quel.
Faux expéditeur : pourquoi le nom affiché ne prouve rien
Dans une boîte de réception, on voit d'abord un nom, par exemple celui de votre banque ou d'un proche. Or ce nom affiché peut être écrit par n'importe qui, comme on peut signer une carte du nom de son choix. Seule l'adresse électronique complète, que l'on peut afficher en touchant le nom, donne un indice sérieux.
Même cette adresse peut être imitée de très près. C'est pourquoi nous ne nous fions jamais à un seul élément. Nous croisons plusieurs signes : la qualité de la langue, la cohérence de la demande avec vos habitudes, la présence d'une pièce jointe inattendue, la manière dont le message vous interpelle.
Un message qui vous appelle simplement cher client, alors que votre banque connaît votre nom, doit éveiller votre attention. De même, une faute d'orthographe n'est pas toujours un signe de fraude, mais elle s'ajoute aux autres indices. Aucun signe isolé ne décide : c'est l'ensemble qui compte.
Ce que nous faisons quand vous nous transmettez un message
Vous nous envoyez le message ou le lien, sans cliquer, par le moyen qui vous est le plus simple. Nous l'examinons en suivant les points décrits ci-dessus, puis nous vous répondons en mots clairs : c'est une tentative d'hameçonnage, ce message paraît authentique, ou nous ne pouvons pas trancher et nous vous conseillons la marche à suivre.
Si le message est frauduleux, nous vous disent ce qu'il faut faire ensuite : supprimer le message, ne répondre à rien et, si vous avez déjà cliqué ou donné une information, contacter rapidement votre banque. Nous vous indiquons aussi comment signaler le message aux autorités compétentes.
Notre rôle est de vous donner un avis, pas de vous faire la leçon. Il n'y a aucune honte à se laisser surprendre : ces messages sont conçus par des gens dont c'est le métier. L'important est de s'arrêter à temps et de demander avant d'agir.
Garder quelques réflexes au quotidien
Avec le beau temps, on consulte souvent ses messages depuis le jardin ou en voyage, plus distraitement. C'est une période où les messages de faux colis ou de fausses réservations se multiplient. Prenez l'habitude de faire une pause de quelques secondes avant d'ouvrir un lien reçu à l'improviste.
Un bon réflexe consiste à vous demander : attendais-je ce message ? Si vous n'avez commandé aucun colis, un avis de livraison n'a pas de raison d'exister. Si vous n'avez rien demandé à votre administration, une demande de documents est suspecte. Cette simple question règle beaucoup de situations.
Enfin, parlez-en autour de vous. Un proche de confiance, un voisin ou notre équipe peut regarder avec vous. Un second regard vaut souvent mieux qu'une longue explication, et vous évite de porter seul la décision.
Hameçonnage, lien raccourci, nom de domaine, faux expéditeur : ces mots paraissent savants, mais ils décrivent des ruses ordinaires. Les connaître vous aide à garder la tête froide devant un message pressant. Et quand le doute persiste, vous n'avez pas à trancher seul : transmettez-nous le message sans cliquer, et nous vous répondrons simplement, sans jargon et sans jugement.