Les plateformes de gains en ligne sont une cible de choix : leurs membres attendent des courriels contenant des codes et des liens. Voici comment distinguer les vrais des faux, sans avoir à être expert.
Pourquoi vous êtes visé
Un compte de micro-gains contient de l'argent et un accès à des méthodes de paiement. L'attaquant n'a pas besoin de beaucoup : votre mot de passe suffit pour changer une adresse de retrait.
Et contrairement à une banque, vous n'avez pas d'agence à appeler ni d'assurance contre la fraude. C'est ce qui rend la vigilance plus importante ici qu'ailleurs.
Les signes qui ne trompent pas
L'urgence. « Votre compte sera supprimé sous 24 heures. » « Retrait suspendu, agissez immédiatement. » L'urgence est l'outil principal du hameçonnage : elle vise à court-circuiter la vérification. Aucun service sérieux ne vous menace de suppression par courriel.
Une demande d'information que le service possède déjà. Nous connaissons votre adresse e-mail et votre nom d'utilisateur. Un message qui vous demande de « confirmer vos identifiants » n'a aucun sens.
Une demande de mot de passe ou de phrase de récupération. Jamais, dans aucune circonstance, par aucun canal. C'est le seul signe qui suffit à lui seul.
Une promesse trop belle. Bonus exceptionnel, doublement de solde, récompense de fidélité inattendue. On vous vend la récompense pour obtenir le clic.
Vérifier l'expéditeur, sérieusement
Le nom affiché ne prouve rien : n'importe qui peut écrire « Wintaskly » comme nom d'expéditeur. Ce qui compte est l'adresse complète, après l'arobase.
Les faux domaines jouent sur des détails : une lettre doublée, un tiret ajouté, une extension différente. Lisez caractère par caractère, sans supposer.
Attention aussi aux réponses : un message peut afficher une adresse légitime et rediriger vos réponses ailleurs.
Vérifier un lien avant de cliquer
Sur ordinateur, survolez le lien : la véritable destination apparaît en bas du navigateur. Sur mobile, appuyez longuement pour la faire afficher sans ouvrir.
Regardez le domaine, c'est-à-dire ce qui précède immédiatement la première barre oblique après le nom. Tout le reste peut être trompeur : un lien peut parfaitement contenir notre nom dans son chemin tout en menant ailleurs.
La règle qui rend tout cela inutile
Ne cliquez pas dans les courriels. Ouvrez votre navigateur, tapez vous-même l'adresse du site ou utilisez votre favori, et connectez-vous normalement.
Si le message était authentique, l'information vous attendra dans votre compte. S'il était faux, vous ne l'aurez jamais su — et c'est très bien ainsi.
Cette seule habitude neutralise la quasi-totalité des tentatives, sans rien avoir à vérifier.
Le cas particulier des codes
Un piège plus retors : vous recevez un vrai code, envoyé par le vrai service. Puis quelqu'un vous contacte — faux support, faux modérateur — et vous demande de le communiquer.
Le code est authentique, l'expéditeur aussi. Ce qui est faux, c'est la personne qui le réclame : elle est en train de se connecter avec votre mot de passe et attend le second facteur.
Un code de vérification ne se donne à personne. Jamais, à aucun titre, quelle que soit la qualité affichée par l'interlocuteur.
Si vous avez cliqué
Pas de panique, mais agissez dans l'ordre : changez votre mot de passe, ici et sur tout site où vous utilisiez le même. Activez la double authentification si ce n'est pas fait. Vérifiez vos adresses de paiement enregistrées et supprimez ce que vous ne reconnaissez pas. Contrôlez enfin l'historique de vos retraits.
Signalez-le au support. Même si votre compte n'a rien subi, savoir qu'une campagne est en cours nous permet d'avertir les autres membres.