Arnaques en ligne et hameçonnage : les reconnaître, et réagir si vous avez cédé

Comment reconnaître un message d'hameçonnage ?

Quatre marqueurs suffisent presque toujours : une urgence avec échéance courte, un expéditeur dont le domaine n'est pas celui de l'organisme, un lien dont l'adresse réelle diffère du texte affiché, et une demande d'informations qu'un vrai service possède déjà. En cas de doute, n'utilisez jamais le lien : tapez vous-même l'adresse du site.

Le mécanisme commun

Derrière la variété des arnaques, un seul ressort revient : fabriquer l'urgence pour couper la réflexion. Un colis bloqué, un compte « suspendu », une amende à régler tout de suite, un virus détecté : on vous met sous pression pour que vous agissiez avant de vérifier.

Comprendre ce ressort suffit souvent à désamorcer : dès qu'un message vous presse d'agir immédiatement, c'est précisément le moment de ralentir et de vérifier par un canal que vous connaissez.

Les grands classiques

• Le faux support technique : une alerte plein écran, un faux technicien « Microsoft », une prise en main à distance. C'est détaillé dans la fiche arnaque au faux support.
• Le faux SMS de livraison : un colis à « dédouaner » pour quelques euros, qui sert surtout à capter votre carte bancaire.
• L'hameçonnage bancaire : un mail ou un appel qui imite votre banque et vous pousse à valider une opération « pour la bloquer ».
• Le chantage à la webcam : un mail qui prétend vous avoir filmé et cite un ancien mot de passe pour paraître crédible. Il n'y a ni vidéo, ni accès : c'est un envoi en masse.

Les signes qui trahissent

Quelques réflexes suffisent à repérer la plupart des pièges :

• l'adresse réelle de l'expéditeur ne correspond pas au nom affiché ;
• on vous demande un code reçu par SMS, un mot de passe, ou un paiement immédiat ;
• le lien mène à une adresse qui ressemble à l'officielle sans l'être ;
• le ton joue sur la peur ou l'appât d'un gain.

Un organisme sérieux ne vous demandera jamais votre mot de passe ni un code de validation par téléphone.

Si vous avez déjà cédé

Si vous avez cliqué, communiqué un code ou laissé un accès, agissez sans attendre, dans cet ordre :

1. Coupez l'accès à distance s'il y en a un (fermez le logiciel, débranchez le réseau).
2. Changez le mot de passe concerné depuis un autre appareil — voir mots de passe et fuites.
3. Si un compte est déjà pris, suivez le guide compte en ligne piraté ; si votre machine a été touchée, appareil piraté.

Opposition et signalement

Si de l'argent est en jeu, appelez votre banque pour faire opposition et contester les opérations : la loi encadre le remboursement des paiements non autorisés. Signalez ensuite l'arnaque sur la plateforme officielle des victimes de fraude en ligne, et pour une fraude à la carte, le service dédié (Perceval) permet de laisser une trace.

Conservez tout : captures d'écran, messages, numéros. Ces éléments servent au signalement comme à une éventuelle plainte.

Se prémunir

On ne devient pas « impossible à arnaquer », mais on réduit fortement le risque : la double authentification limite les dégâts d'un mot de passe volé, un temps de réflexion avant tout clic pressé désamorce l'urgence, et le doute se lève en rappelant l'organisme par un numéro que vous connaissez, jamais celui du message.

En cas de doute, un appel de quelques minutes suffit souvent à dire s'il s'agit d'une arnaque et quoi faire.

Les arnaques par téléphone

Le téléphone ajoute une pression que l'écran n'a pas. Le numéro affiché peut être falsifié pour imiter votre banque ou un service public : ne vous y fiez jamais. La règle est simple : on raccroche, et on rappelle soi-même l'organisme par un numéro officiel. Aucun conseiller légitime ne vous reprochera de vouloir vérifier.

Aider un proche qui s'est fait avoir

La honte fait perdre du temps : beaucoup de victimes attendent avant d'en parler. Si un proche s'est fait piéger, ne le culpabilisez pas — agissez. Coupez l'accès, changez les mots de passe, faites opposition si besoin, et gardez les preuves. Les personnes âgées sont particulièrement visées : un contact de confiance à appeler en cas de doute évite bien des drames.

Le code, la validation dans l'appli : le piège qui coûte le plus cher

C'est devenu le scénario le plus rentable pour les fraudeurs, et le plus difficile à faire rembourser : parce que c'est vous qui validez.

Le déroulé est toujours le même : un SMS annonce un paiement suspect. Quelques minutes plus tard, un « conseiller » appelle — le numéro affiché est celui de votre agence, il se falsifie aussi facilement qu'une adresse e-mail. Il connaît votre nom, parfois vos dernières opérations. Il vous demande de valider une notification « pour bloquer la fraude », ou de communiquer un code secret reçu par SMS. Cette validation autorise en réalité le virement ou l'ajout d'un bénéficiaire.

• Aucune banque ne demande jamais de valider quoi que ce soit par téléphone, ni un code confidentiel, ni un code reçu par SMS. Aucune, sans exception.
• Une validation ne bloque jamais rien : elle autorise. C'est la phrase à retenir. Si on vous demande de valider pour annuler, c'est une arnaque.
• Raccrochez et rappelez le numéro au dos de votre carte bleue, depuis une autre ligne si possible — la ligne peut rester ouverte quelques secondes après que vous avez raccroché.

Si c'est déjà fait : appelez la banque immédiatement pour tenter de bloquer le virement, faites opposition, puis contestez par écrit. La banque invoquera peut-être votre négligence ; ce refus se conteste auprès du médiateur bancaire, gratuitement, et le récépissé de plainte pèse dans le dossier. Portez plainte sans attendre le résultat de la contestation.

La vérification qui marche à tous les coups

Une seule habitude rend inutile tout le reste : ne jamais utiliser le chemin proposé par le message.

1. Le message annonce un problème sur un compte ? Fermez-le. Ouvrez l'application ou tapez l'adresse du site vous-même, et regardez si le problème y figure. S'il est réel, il y est.
2. Un appel vous presse ? Raccrochez, et rappelez le numéro officiel que vous trouvez vous-même — pas celui donné pendant l'appel.
3. Un proche demande de l'argent par message ? Appelez-le sur son numéro habituel.
4. Un colis, une amende, un remboursement ? Les organismes ont tous un espace en ligne où l'information figure : allez-y par vos favoris.

Cette règle ne demande de reconnaître aucun signe, aucune faute d'orthographe, aucun domaine suspect. Elle fonctionne même quand le message est parfait — et ils le sont de plus en plus.

Questions fréquentes

J'ai donné un code reçu par SMS, que faire ?

Agissez tout de suite : changez le mot de passe du compte concerné depuis un autre appareil, et si de l'argent est en jeu, faites opposition auprès de votre banque. Un code de validation ne se communique jamais, même à quelqu'un qui se présente comme votre banque.

Comment reconnaître un vrai message de ma banque ?

Une banque ne demande jamais votre mot de passe ni un code par mail ou par téléphone, et ne vous met pas la pression pour agir « dans la minute ». Dans le doute, n'utilisez que le numéro figurant au dos de votre carte.

Suis-je remboursé en cas de fraude à la carte ?

La loi prévoit le remboursement des paiements non autorisés si vous les signalez rapidement et sans négligence grave. D'où l'importance de faire opposition sans attendre et de conserver toutes les preuves.

Deux campagnes reviennent toute l'année et méritent leur propre fiche : le faux mail des impôts annonçant un remboursement, et le mail de chantage à la webcam qui réclame des bitcoins.