Le temps des faux messages truffés de fautes est révolu. Les tentatives actuelles copient parfaitement les logos, la mise en page et le ton — parfois mieux que les vrais messages.
Repérer une contrefaçon à l'œil devient donc hasardeux. Voici les six indices qui trahissent encore une tentative, et surtout l'habitude qui rend l'ensemble du problème caduc.
1. L'urgence
« Votre compte sera suspendu sous 24 heures. » « Action requise immédiatement. » « Tentative de connexion suspecte : confirmez maintenant. »
L'urgence est l'ingrédient central, parce qu'elle court-circuite la réflexion. Un service légitime qui doit vous alerter vous laisse le temps de vérifier — et ne menace pas de fermer votre compte dans l'heure.
Réflexe : plus un message vous presse, plus il faut ralentir.
2. L'adresse d'expédition réelle
Le nom affiché de l'expéditeur est trivial à falsifier : n'importe qui peut faire apparaître le nom d'un service connu.
Ce qui compte est l'adresse complète, après l'arobase. Sur mobile, il faut souvent toucher le nom de l'expéditeur pour la voir.
Ce qu'on cherche : un domaine qui n'est pas exactement celui du service — une lettre ajoutée, un tiret, une extension différente, ou un sous-domaine trompeur où le vrai nom apparaît avant un domaine inconnu.
3. La destination réelle du lien
Un lien peut afficher un texte et pointer ailleurs. C'est le principe même du lien hypertexte.
Sur ordinateur : survolez sans cliquer, l'adresse réelle apparaît en bas du navigateur.
Sur mobile : appuyez longuement, un aperçu s'affiche.
Regardez le domaine juste avant la première barre oblique : c'est lui qui détermine où vous allez, pas ce qui suit.
4. Une demande d'information que le service possède déjà
Un service ne vous demande pas ce qu'il connaît. Il ne redemande jamais votre mot de passe — il ne le connaît d'ailleurs pas, puisqu'il n'en stocke qu'une empreinte irréversible.
Toute demande de mot de passe, de code de double authentification ou de phrase de récupération est une tentative de vol. Sans exception, quelle que soit la mise en forme du message.
5. Une pièce jointe inattendue
Un service en ligne ne vous envoie pas de fichier à ouvrir pour « vérifier votre compte » ou « consulter un avis de suspension ». L'information est sur le site, pas dans un document.
Méfiance particulière pour les archives et les fichiers exécutables, mais aussi pour les documents bureautiques, qui peuvent contenir du code.
6. Un contexte qui ne correspond pas
Une confirmation de commande que vous n'avez pas passée, une alerte sur un compte que vous ne possédez pas, un remboursement inattendu : ces messages sont envoyés en masse, en pariant qu'une fraction des destinataires sera concernée.
Si le message ne correspond à aucune action de votre part, c'est le signal le plus simple qui soit.
Le réflexe qui rend tout cela inutile
Les six indices ci-dessus demandent de l'attention, et l'attention finit toujours par flancher — un jour de fatigue, un message particulièrement bien fait.
Une seule habitude neutralise l'essentiel des tentatives, quelle que soit leur qualité :
Ne vous connectez jamais depuis un lien reçu par message.
Ouvrez votre navigateur, saisissez l'adresse du site vous-même ou utilisez votre favori. Si le message était légitime, l'information sera visible une fois connecté. S'il ne l'était pas, vous venez d'éviter le piège sans avoir eu à l'identifier.
Cette habitude a un avantage décisif : elle fonctionne même quand vous n'êtes pas vigilant.
Si vous avez cliqué et saisi vos identifiants
Agissez vite, l'ordre compte :
- Changez le mot de passe du service concerné, depuis un appareil sûr, en tapant l'adresse vous-même.
- Changez-le partout où il était réutilisé. C'est le vrai danger : les attaquants testent automatiquement les identifiants volés sur d'autres sites.
- Activez la double authentification si ce n'était pas fait.
- Vérifiez votre adresse e-mail de contact : la modifier est souvent la première action d'un attaquant.
- Prévenez le support en décrivant précisément ce qui s'est passé.
En résumé
Les faux messages sont désormais très bien faits, et miser sur la vigilance permanente est perdu d'avance. La parade tient dans une habitude : ne jamais se connecter depuis un lien reçu.
Pour l'ensemble des protections d'un compte, consultez notre guide Sécuriser son compte et ses gains, et pour comprendre la double authentification en détail, notre article dédié.