Un message vous paraît douteux : les points à vérifier avant de cliquer
Avant d'ouvrir un lien reçu par courriel ou par SMS, quelques questions simples permettent de repérer une tentative d'hameçonnage. Voici la liste que nous parcourons avec vous.
Qui vous écrit, et vous attendiez-vous à ce message ?
La première question ne demande aucune compétence technique : connaissez-vous vraiment l'expéditeur, et attendiez-vous ce message ? Un courrier de votre banque, d'un service public ou d'un transporteur arrive rarement sans raison. Si vous n'avez fait aucune démarche récemment, c'est déjà un signe de prudence. Les escrocs misent sur la surprise : ils cherchent à vous faire réagir avant que vous ayez le temps de réfléchir.
Regardez ensuite le nom affiché et l'adresse complète qui se cache derrière. Un nom rassurant peut accompagner une adresse étrange, faite de lettres et de chiffres sans rapport avec l'organisme annoncé. Sur un téléphone, il suffit souvent d'appuyer sur le nom de l'expéditeur pour la voir en entier. Prenez ce temps, il n'y a aucune urgence réelle, même quand le message prétend le contraire.
Le ton du message : pression, menace ou promesse trop belle
Un message d'hameçonnage cherche presque toujours à vous presser. Il annonce un compte bloqué, un colis en attente, un remboursement à récupérer ou une amende à régler sous quarante-huit heures. La menace comme la bonne nouvelle servent le même but : vous faire cliquer sans réfléchir. Un organisme sérieux vous laisse du temps et vous propose d'autres moyens de le joindre.
Lisez le texte lentement, à voix haute si cela vous aide. Les fautes d'orthographe, les tournures maladroites ou un vouvoiement qui sonne faux sont des indices, même si certains messages récents sont mieux écrits qu'avant. Ne vous fiez donc pas à la seule qualité de la langue. Ce qui compte, c'est la demande : si on vous réclame un code, un mot de passe ou des coordonnées bancaires, c'est suspect.
Le lien lui-même : ne cliquez pas, observez
Avant de toucher un lien, observez-le sans l'ouvrir. Sur un ordinateur, placez simplement le pointeur dessus : l'adresse réelle s'affiche en bas de la fenêtre. Sur un téléphone, un appui prolongé la montre généralement. Comparez-la avec le site que vous connaissez. Une adresse qui ajoute des mots, des tirets ou une terminaison inhabituelle n'est pas celle de l'organisme que vous croyez.
Si vous hésitez, ne cherchez pas à tester le lien pour voir. Un seul clic peut suffire à ouvrir une fausse page qui imite fidèlement la vraie. Le bon réflexe consiste à taper vous-même l'adresse habituelle du site dans votre navigateur, ou à passer par l'application que vous utilisez déjà. Si le message était réel, l'information vous y attendra aussi.
Les pièces jointes et les pages qui demandent vos données
Une pièce jointe inattendue mérite la même méfiance qu'un lien. Facture que vous n'avez pas demandée, document à « consulter d'urgence », archive à ouvrir : si vous ne savez pas pourquoi vous la recevez, ne l'ouvrez pas. Un fichier peut installer un programme malveillant sans que rien ne semble se passer à l'écran.
Si vous avez déjà cliqué et qu'une page vous demande de saisir des informations, arrêtez-vous là. Aucun organisme sérieux ne réclame par un formulaire reçu par message votre code confidentiel complet, votre mot de passe ou la validation d'une opération que vous n'avez pas lancée. Fermez la page, n'entrez rien, et gardez le message tel quel. Il pourra nous être transmis pour examen, ce qui nous permet de vous répondre précisément.
Quand le doute persiste : ce que nous faisons avec vous
Quand la liste ne suffit pas à trancher, vous pouvez nous transmettre le message ou le lien douteux. Nous l'examinons et nous vous disons clairement s'il s'agit d'une tentative d'hameçonnage ou non, en expliquant les indices qui nous ont guidés. Vous n'avez pas à justifier votre hésitation : douter est un bon réflexe, et nous préférons une question inutile à un clic regrettable.
Notre réponse reste simple et sans jargon. Si le message est frauduleux, nous vous indiquons ce qu'il faut faire ensuite : le supprimer, ne rien répondre, et prévenir votre banque si vous avez donné des informations. Si le message est authentique, nous vous aidons à accomplir la démarche demandée par le bon chemin, étape après étape, à votre rythme.
Prendre l'habitude de s'arrêter trois secondes
Cette liste n'a pas besoin d'être récitée à chaque message. Avec le temps, elle devient un réflexe : qui m'écrit, que me demande-t-on, où mène ce lien. En cette fin d'été, période où les courriers de rentrée, les rappels administratifs et les annonces de colis se multiplient, les faux messages profitent de l'attention dispersée. S'arrêter quelques secondes suffit souvent à les écarter.
Pensez aussi à en parler autour de vous. Un proche qui a reçu le même message peut le confirmer, et partager une alerte protège tout le monde. Rien n'oblige à décider seul et vite. Un message authentique supporte très bien l'attente d'une vérification, tandis qu'un message frauduleux, lui, compte sur votre précipitation pour réussir.
Retenez trois gestes : observer l'expéditeur, lire la demande sans se laisser presser, et ne jamais cliquer avant d'avoir regardé où mène le lien. Si un doute subsiste, envoyez-nous le message tel quel. Nous l'examinons avec vous, nous vous expliquons nos conclusions simplement et nous vous disons quoi faire ensuite. Prendre le temps de vérifier n'est ni une perte de temps ni un signe de méfiance excessive : c'est la meilleure protection.