Vous faire mordre à l'hameçon
Le phishing (hameçonnage) consiste à vous envoyer un message qui ressemble à s'y méprendre à celui d'un organisme de confiance — votre banque, La Poste, les impôts, un réseau social — pour vous pousser à cliquer, à saisir vos identifiants ou à payer. Le mot vient de « pêche » : on jette un appât, on espère que quelqu'un morde. Et ça marche, parce que ça joue sur l'émotion : la peur, l'urgence, l'appât du gain.
Ce n'est pas un problème « technique ». Aucun virus n'est nécessaire : l'arnaque vise vous, pas votre ordinateur. La meilleure protection n'est pas un logiciel, c'est un réflexe.
Les signes qui trahissent
L'urgence
« Votre compte sera bloqué dans 24h », « dernier avertissement ». On veut vous faire agir vite, sans réfléchir.
L'adresse d'envoi
Regardez l'adresse réelle, pas le nom affiché : service@paypa1-secure.net n'est pas PayPal.
Le lien
Survolez le lien (sans cliquer) : l'adresse qui s'affiche ne correspond pas au site officiel. C'est le signe n°1.
La demande
Un vrai organisme ne demande jamais votre mot de passe ni votre code par mail ou SMS.
Le ton
Fautes, formule générique (« Cher client »), logo flou : des indices, même si les pros font de mieux en mieux.
L'inattendu
Un colis que vous n'attendez pas, un remboursement surprise : la bonne nouvelle trop belle est suspecte.
Dans le doute, ne cliquez pas
La règle d'or : on ne clique jamais depuis le message. Si un doute existe, on va soi-même sur le site officiel (en tapant l'adresse à la main ou via un favori), ou on appelle l'organisme avec un numéro qu'on connaît — jamais celui du message.
- Survoler un lien pour voir où il mène avant de cliquer.
- Ne jamais saisir identifiant/mot de passe depuis un lien reçu.
- En cas de doute : site officiel tapé à la main, ou téléphone.
- Déjà cliqué et saisi ? Changez le mot de passe depuis un autre appareil et prévenez l'organisme.
- Signaler : signal-spam.fr, ou le 33700 pour les SMS.
Le smishing et le vishing. Le phishing n'est pas que par mail : par SMS (« smishing », faux colis, faux CPF) et par téléphone (« vishing », faux conseiller bancaire). Même règle : on raccroche, et on rappelle soi-même le vrai numéro.