Reconnaître un courriel frauduleux et une arnaque
À la fin de cette leçon, vous saurez repérer un courriel, un SMS ou une alerte frauduleux, vérifier une demande par un contre-appel, et réagir si vous avez cliqué ou payé.
Vous souvenez-vous ?
Cherchez la réponse dans votre mémoire avant de l'afficher. C'est cet effort, même sans trouver, qui fait retenir.
Au téléphone, quelqu'un dit appeler de la part de votre banque et vous demande le code que vous venez de recevoir. Que faites-vous ?
Vous ne donnez rien : un mot de passe ou un code reçu ne se communique à personne. Vous raccrochez, puis vous rappelez vous-même votre banque, au numéro que vous connaissiez déjà.
Quelle forme prend le pointeur de la souris quand il survole un lien ?
Une main à l'index tendu. Elle signale qu'un clic ouvrirait autre chose.
À quoi ça sert
Un SMS annonce un colis bloqué, un courriel menace de fermer votre messagerie, une voix aimable se dit de votre banque : ces messages arrivent chez tout le monde. Leurs auteurs ne forcent aucune serrure : ils attendent que vous donniez vous-même le code, le mot de passe ou l'argent. C'est la leçon la plus importante de ce parcours.
Comprendre
Ce que montre un courriel
Un courriel est un message écrit qui voyage par Internet. Vous apprendrez à les lire en leçon 19 ; aujourd'hui, à vous en méfier. Chaque courriel affiche :
- un expéditeur, celui qui envoie : un nom affiché, puis, entre les signes < et >, son adresse de courriel réelle ;
- un objet, sa ligne de titre ;
- un texte, parfois un lien à cliquer ou une pièce jointe, c'est-à-dire un fichier attaché.
Le nom affiché se choisit librement : n'importe qui peut s'appeler « Service client ». Lisez toujours l'adresse entre les signes < et >. Et même exacte, elle ne prouve rien : une adresse connue peut être usurpée, c'est-à-dire imitée par un fraudeur.CNIL
Dans cette leçon, tout est inventé : les messages, les noms, les numéros. Les adresses se terminent par .example, une terminaison réservée aux exemples.
L'hameçonnage
L'hameçonnage est un message frauduleux qui imite un tiers de confiance, banque, administration, livreur ou service en ligne, pour vous faire livrer un mot de passe ou des coordonnées bancaires.Cybermalveillance Il arrive par courriel, mais aussi par SMS. Retenez la règle de fond : aucune administration, aucune société sérieuse ne vous demandera un mot de passe ou des données bancaires par message ou par téléphone.
Les six signaux d'alerte
| Signal | Comment il se présente |
|---|---|
| L'urgence | « Aujourd'hui », « sous 48 h », « dernier rappel ». On veut vous empêcher de réfléchir. |
| La menace ou le gain inattendu | Compte fermé, amende, colis renvoyé ; ou, au contraire, remboursement, cadeau, loterie. |
| L'expéditeur | L'adresse réelle ne correspond pas au nom affiché, ou diffère d'un seul caractère de l'adresse habituelle. |
| Le lien | Son adresse réelle n'est pas celle du site annoncé. |
| La pièce jointe inattendue | Un fichier que vous n'attendiez pas, même d'un expéditeur connu. |
| La demande | De l'argent, un code reçu, un mot de passe, un numéro de carte. |
Un seul signal suffit pour s'arrêter. Ne comptez pas sur les fautes de français pour reconnaître un faux : leur niveau s'améliore sans cesse.Cybermalveillance
Survoler un lien sans cliquer
Le texte d'un lien peut dire une chose et mener ailleurs. Pour connaître sa vraie destination, amenez le pointeur dessus, sans appuyer sur aucun bouton : l'adresse web réelle s'affiche.Cybermalveillance Comparez-la à l'adresse que vous connaissez : parfois une seule lettre change. Dans le doute, ne cliquez pas : ouvrez le site par votre favori.
Quatre arnaques courantes
Une arnaque est une tromperie montée pour vous soutirer de l'argent, un mot de passe ou des informations personnelles.
Le faux colis. Un SMS ou un courriel au nom d'un livreur réclame des frais pour un colis. Or les entreprises de livraison ne demandent jamais, par SMS ou par courriel, un paiement pour recevoir un colis.Cybermalveillance Sur le petit écran d'un téléphone, l'adresse du lien est coupée : le piège se voit moins bien.Cybermalveillance
Le faux conseiller bancaire. On vous appelle au nom du service anti-fraude de votre banque. L'escroc connaît souvent votre nom et votre adresse, et il peut faire afficher le vrai numéro de la banque. Pour « bloquer » des paiements suspects, il réclame les codes reçus par SMS ou une validation dans l'application de la banque : ces gestes valident en réalité ses propres opérations. Jamais un conseiller ne les demande.Cybermalveillance
Le faux support technique. Une alerte effrayante occupe soudain tout l'écran : l'ordinateur serait infecté, il faudrait appeler un numéro. Ce n'est pas Windows qui parle, c'est une page web. Au bout du fil, un faux technicien prend la main à distance sur l'ordinateur et fait payer un dépannage inutile.Cybermalveillance Les vrais messages d'erreur de Microsoft ne donnent jamais de numéro de téléphone à appeler.Microsoft
Le faux proche en détresse. « Coucou maman, mon téléphone est cassé, voici mon nouveau numéro. » Un inconnu se fait passer pour votre enfant, puis réclame de l'argent. N'envoyez jamais d'argent avant d'avoir formellement identifié votre interlocuteur.Cybermalveillance
Le contre-appel
Contre toutes ces arnaques, un même réflexe : le contre-appel. Vous vérifiez la demande vous-même, par un autre canal, à un numéro ou une adresse déjà connus, jamais ceux du message. Cette marche à suivre est une proposition de cette formation, tirée des recommandations publiques.Cybermalveillance
- Ne touchez à rien. Pas de réponse, pas de clic, pas de paiement. Au téléphone, raccrochez.
- Cherchez le contact habituel ailleurs que dans le message : vos papiers, votre carnet d'adresses, le site ouvert par votre favori.
- Vérifiez. Appelez ce numéro, ou regardez dans votre espace personnel. Pour un proche, appelez-le à son numéro de toujours.
- Signalez le message s'il était faux, puis supprimez-le.
Ne cédez jamais à l'urgence. Un vrai interlocuteur attend une vérification. Un fraudeur insiste.
À vous de jouer
Voici trois messages fictifs. Des repères rouges numérotés marquent les endroits à examiner. Pour chacun, dites ce qui cloche avant d'ouvrir l'analyse.
Message 1 : le courriel « votre boîte sera désactivée »
| De | Service Messagerie <[email protected]> 1 |
|---|---|
| Objet | URGENT : votre boîte sera désactivée ce soir 2 |
Cher utilisateur, 3
Votre boîte est pleine. Confirmez votre mot de passe 4 avant 18 h, sinon elle sera désactivée.
Confirmer mon compte 5
Adresse affichée au survol du bouton : m365-cloud.verification-compte.example/connexion
Voir l'analyse du message 1
- L'expéditeur. Le nom affiché rassure, mais l'adresse réelle n'est pas celle de Microsoft : le mot « microsoft » y est seulement glissé.
- L'urgence, en majuscules, avec une menace.
- Aucun nom. Un vrai service sait comment vous vous appelez.
- On vous demande un mot de passe. Personne de sérieux ne le fait.
- Le lien. L'adresse lue au survol n'est pas celle d'un site que vous connaissez.
Que faire : ne cliquez pas, ne répondez pas. Sur une messagerie fournie par un employeur ou une école, transférez le message au service informatique et attendez sa réponse avant de le supprimer.CNIL
Message 2 : le SMS du colis
| De | 06 39 98 01 02 1 |
|---|
Hirondelle Colis : votre colis 2 n'a pas pu être livré, il est trop volumineux pour la boîte aux lettres. Réglez 1,95 € de frais de nouvelle présentation 3 sous 48 h, sinon il sera retourné. 4
hirondelle-colis.suivi-livraison.example/payer 5
Voir l'analyse du message 2
- L'expéditeur. Un numéro de téléphone portable ordinaire, pas un service de livraison.
- Quel colis ? Ni votre nom, ni celui du vendeur, ni un numéro de suivi connu.
- Une demande d'argent. Un livreur ne réclame jamais un paiement par SMS. La somme est minuscule : ce que l'on veut, c'est le numéro de votre carte.
- L'urgence et la menace : 48 heures, sinon le colis repart.
- Le lien. Le nom du site se termine par
suivi-livraison.example: le nom du livreur n'est placé qu'au début, pour tromper.
Que faire : ne cliquez pas. Vous attendez vraiment un colis ? Consultez son suivi vous-même, sur le site du vendeur ou du transporteur. Transférez le SMS au 33700, le service gratuit de signalement, puis supprimez-le.Cybermalveillance
Message 3 : l'alerte qui bloque l'écran
⚠ ALERTE DE SÉCURITÉ WINDOWS 1
Votre ordinateur est infecté par 3 virus. Vos mots de passe et vos photos sont en danger. 2
N'éteignez surtout pas votre ordinateur. 3
Appelez immédiatement le support technique : 01 99 00 01 02 4
(Une alarme sonne. La page couvre tout l'écran, sans croix pour la fermer.) 5
Voir l'analyse du message 3
- Qui parle ? Ni Windows ni un programme de protection : une page web frauduleuse, affichée dans le navigateur.
- La peur. Tout est fait pour vous affoler.
- L'interdiction. On vous défend le geste qui vous tirerait d'affaire.
- Un numéro à appeler. Les vrais messages d'erreur de Microsoft n'en contiennent jamais.
- Un blocage apparent. La page est en plein écran : l'ordinateur, lui, fonctionne.
Que faire : n'appelez pas. Appuyez sur Échap ou sur F11 pour quitter le plein écran, puis fermez l'onglet. Si rien n'y fait, redémarrez l'ordinateur, comme en leçon 12. Ne laissez jamais un inconnu prendre la main à distance sur votre ordinateur.Cybermalveillance
Sur votre ordinateur
Voici un lien d'entraînement, sans danger : www.impots.gouv.fr. Son texte annonce un site. Mène-t-il vraiment là ?
- Amenez le pointeur sur le lien d'entraînement ci-dessus, sans cliquer. le pointeur devient une main. En bas à gauche de la fenêtre du navigateur, une petite bande affiche l'adresse réelle du lien.
- Lisez cette adresse réelle, lentement. elle commence par
https://www.cybermalveillance.gouv.fr. Le texte du lien disait autre chose : il mentait. - Ouvrez la fiche Réflexes de sécurité, puis imprimez-la avec Ctrl + P, comme en leçon 11. Sans imprimante, recopiez son cadre « Mes numéros sûrs » sur une feuille. l'aperçu avant impression de la fiche, puis la feuille imprimée.
- Cherchez dans vos papiers, sur un courrier ou un contrat, le numéro de téléphone de votre banque. Écrivez-le à la main dans le cadre « Mes numéros sûrs ». la ligne « Ma banque » est remplie, avec un numéro qui ne vient d'aucun message reçu.
- Ajoutez-y le numéro habituel de deux proches, puis rangez la fiche près de l'ordinateur. le cadre est rempli : vous savez qui appeler.
Les pièges, et que faire si vous êtes tombé dedans
« Ce n'est que 1,95 €. » Justement : les informations volées ce jour-là servent souvent, quelques jours plus tard, à l'appel d'un faux conseiller bancaire.Cybermalveillance
« J'ai cliqué, je n'ose pas le dire. » Dites-le à un proche dans la minute. Personne n'est à l'abri, et chaque heure compte :Cybermalveillance
- vous avez donné un numéro de carte, ou vous avez payé : prévenez immédiatement votre banque pour faire opposition ;
- vous avez saisi un mot de passe : changez-le immédiatement, ici et partout où il servait ;
- vous avez laissé un inconnu prendre la main sur l'ordinateur : prévenez votre banque, puis faites-vous aider pour désinstaller son programme et changer tous vos mots de passe ;
- dans tous les cas, conservez le message : c'est une preuve.
Signalez, pour protéger les autres : un SMS se transfère au 33700, un courriel se signale sur Signal Spam (signal-spam.fr). Pour savoir quoi faire : 17Cyber (17cyber.gouv.fr), le service public d'assistance. Les autres numéros sont sur la fiche. Sur un ordinateur fourni par un employeur ou une école, prévenez aussi son service informatique.
Vérifiez vos acquis
Un SMS vous réclame 1,95 € de frais pour livrer un colis, avec un lien. Vous attendez justement un colis. Que faites-vous ?
- Je paie, la somme est vraiment minime
- Je consulte le vrai suivi du colis
- Je clique pour voir la page annoncée
- Je réponds au SMS pour avoir confirmation
Un livreur ne réclame jamais un paiement par SMS. On vérifie soi-même, sur le site du vendeur ou du transporteur. Payer livre le numéro de carte, cliquer mène au faux site, répondre, c'est écrire au fraudeur.
On vous appelle : « Service anti-fraude de votre banque. Validez l'opération dans votre application pour l'annuler. » Le numéro affiché est bien celui de votre banque. Que faites-vous ?
- Je valide, puisque le numéro est bon
- Je raccroche et je rappelle ma banque
- Je demande son nom avant de valider
Un numéro affiché peut être usurpé, et un nom s'invente. Valider « pour annuler », c'est valider l'opération du fraudeur. Seul le contre-appel protège.
Une page occupe soudain tout l'écran : « Ordinateur infecté, appelez vite ce numéro ». Que faites-vous ?
- J'appelle le numéro pour être dépanné
- J'appuie sur Échap, je ferme l'onglet
- Je paie l'antivirus proposé à l'écran
Cette alerte n'est qu'une page web : Échap ou F11 quitte le plein écran, et l'onglet se ferme. Au besoin, on redémarre. Un vrai message d'erreur ne donne jamais de numéro à appeler.
Un SMS : « Coucou maman, j'ai cassé mon téléphone, voici mon nouveau numéro. » Plus tard, il demande un virement. Où appelez-vous votre fille pour vérifier ?
- À son numéro habituel, déjà connu
- Au nouveau numéro du SMS reçu
- Nulle part, je réponds par SMS
Le contre-appel se fait à un numéro connu avant le message. Le nouveau numéro, comme la réponse par SMS, mène à celui qui a écrit : il « confirmera » tout.
Vous venez de saisir votre numéro de carte sur un faux site de livraison. Que faites-vous en premier ?
- J'attends de voir si un débit apparaît
- Je supprime le message pour l'oublier vite
- J'appelle aussitôt ma banque pour faire opposition
L'opposition bloque la carte avant que le fraudeur ne s'en serve. Attendre lui laisse le temps d'agir, et supprimer le message détruit une preuve.
À retenir
- Six signaux : urgence, menace ou gain inattendu, expéditeur douteux, lien trompeur, pièce jointe inattendue, demande d'argent, de code ou de mot de passe. Un seul suffit pour s'arrêter.
- On survole un lien, sans cliquer, pour lire sa vraie adresse.
- Faux colis, faux conseiller bancaire, faux support technique, faux proche en détresse : toujours le contre-appel, par un autre canal, à un numéro ou une adresse déjà connus, jamais ceux du message.
- On ne cède jamais à l'urgence : un vrai interlocuteur attend une vérification.
- Si l'on a cliqué ou payé : on change le mot de passe, on prévient sa banque, on signale (33700, Signal Spam, 17Cyber).
Fiche à garder sous les yeux : Réflexes de sécurité.
Pour aller plus loin
La page officielle à lire : « Que faire en cas de phishing ou hameçonnage ? » (Cybermalveillance.gouv.fr). Elle décrit la fraude, les parades et les démarches.
D'autres faux messages commentés : « Comment reconnaître un mail de phishing ou d'hameçonnage ? », sur le même site. Si vous êtes victime : 17Cyber, puis THESEE pour porter plainte en ligne.