Se protéger
Reconnaître un email frauduleux
Ce que vous saurez faire Dans 6 minutes, vous saurez reconnaître un email frauduleux sans cliquer sur quoi que ce soit.
Un email frauduleux porte un nom : c’est de l’hameçonnage, un faux message qui imite un service pour vous faire donner quelque chose. Sur un ordinateur, vous avez un avantage que le téléphone ne donne pas : l’écran est grand, et tout se lit. L’adresse exacte de l’expéditeur derrière le nom affiché, la destination réelle d’un bouton quand on pose le curseur dessus sans cliquer, le nom du fichier joint. Cinq signes suffisent, et aucun ne demande de cliquer. Nous allons les repérer un par un, sur un écran que nous avons dessiné. Rien n’est réel ici, donc rien ne peut vous arriver.
Écran simulé
Je m’entraîne
Cet écran est dessiné par nous. Rien n’est envoyé, rien ne s’installe, aucune marque n’est représentée.
La situationIl est 8 h, vous ouvrez votre messagerie sur l’ordinateur. Ce message est en haut de la liste.
L’exercice interactif a besoin de JavaScript. Le pas-à-pas écrit, juste en dessous, dit exactement la même chose.
Le pas-à-pas écrit
Les mêmes étapes, en mots, à lire ou à imprimer. Cette fiche fonctionne sans l’exercice.
Qui écrit vraiment
À vous Deux lignes parlent de l’expéditeur. Touchez celle qui dit vraiment qui écrit.
Sous le nom affiché, l’adresse complète se lit en entier : service-client@verif-mon-espace-2b.example. C’est elle qui dit qui écrit, pas le nom.
Un message écrit pour personne
À vous Touchez la ligne qui montre que ce message n’a pas été écrit pour vous.
La ligne « Cher client privilégié » remplace votre nom. Un service qui vous connaît écrit votre nom, il n’a pas besoin d’une formule passe-partout.
Le compte à rebours et la demande
À vous Touchez la phrase qui vous met un délai et vous demande vos informations bancaires.
La phrase qui fixe demain 8 h et réclame vos informations bancaires cumule deux signaux : la fausse urgence, et une demande qui ne se fait jamais par courriel.
Le fichier qu’on n’attendait pas
À vous Une chose de ce message ne doit jamais s’ouvrir. Touchez-la.
La pièce jointe Remboursement_a_confirmer.zip est un fichier attaché au message. Un fichier qu’on n’attendait pas ne s’ouvre jamais.
Lire un bouton sans le cliquer
À vous Le texte du bouton dit une chose. Touchez ce qui dit vraiment où il mène.
On pose le curseur sur le bouton sans cliquer, et la destination s’affiche en bas de la fenêtre. Le nom du site y est verif-mon-espace-2b.example.
Ce qu’on fait de ce message
À vous Le message est démasqué. Touchez ce que vous en faites.
On ne clique sur rien, on ne répond pas, on signale le message, puis on le supprime. Le signalement d’un courriel se fait auprès de Signal Spam.
La fiche à garder
- Le nom affiché d’un expéditeur est un simple libellé. Seule l’adresse complète, celle avec l’arobase, dit qui écrit.
- Une formule d’accueil passe-partout, du genre « Cher client privilégié », remplace le nom qu’un vrai service aurait écrit.
- Aucun organisme, public ou privé, ne demande vos coordonnées bancaires ni vos codes d’accès par courriel.
- Le délai serré est là pour vous empêcher de vérifier. Un vrai service laisse le temps.
- Une pièce jointe qu’on n’attendait pas ne s’ouvre pas, même quand son nom paraît sérieux.
- On pose le curseur sur un lien sans cliquer : sa destination réelle s’affiche en bas de la fenêtre. Le nom du site est juste avant la première barre oblique.
- On ne clique sur rien, on ne répond pas : on signale à Signal Spam, puis on supprime. Un SMS frauduleux, lui, se transfère au 33700.
- En cas de doute sur la suite, cybermalveillance.gouv.fr propose un diagnostic gratuit.
Les réflexes de ce geste
Je regarde QUI parle
Le nom affiché s’écrit, donc il se copie. Ce qui compte, c’est l’adresse exacte de l’expéditeur ou son numéro. Un colis annoncé depuis un portable inconnu n’est pas un colis.
Je m’arrête avant de cliquer
L’urgence est le signal du piège. Un message qui compte les heures veut vous empêcher de réfléchir. Reposer le téléphone deux minutes ne coûte rien et suffit presque toujours.
Le cadenas ne suffit pas : je lis l’adresse
Le petit cadenas dit que la ligne est chiffrée, pas que le site est honnête. Un site de piège a le sien. Le nom du site est juste avant la première barre oblique : c’est là qu’on regarde.
Personne de sérieux ne me presse
Ni menace, ni compte à rebours, ni secret à garder. Et demander de l’aide est un réflexe, pas un échec : le dire à voix haute à quelqu’un fait tomber la plupart des arnaques.
Deux questions pour vérifier
Rien n’est noté, rien n’est enregistré ailleurs que dans votre navigateur.
Un email affiche « Service client » comme expéditeur. Que faut-il regarder pour savoir qui écrit vraiment ?
Voir la réponse
L’adresse complète de l’expéditeur, celle avec l’arobase
Le nom affiché est un libellé choisi par celui qui envoie, comme la signature d’une lettre. L’adresse complète, elle, désigne un domaine précis : c’est la seule chose qui dise d’où part réellement le message.
Un email contient un bouton « Confirmer mes informations ». Comment savoir où il mène, sans prendre de risque ?
Voir la réponse
Je pose le curseur dessus sans cliquer, la destination s’affiche en bas de la fenêtre
Le texte d’un bouton est écrit par l’expéditeur, il ne prouve rien du tout. Poser le curseur dessus sans cliquer affiche la destination réelle en bas de la fenêtre, et l’on décide ensuite, sans avoir rien ouvert.
Je l’ai fait
Cochez quand vous savez refaire ce geste seul.
Votre progression reste dans votre navigateur.