Repérer un phishing avant de vous faire piéger

Tomber dans le phishing n'est pas une affaire de naïveté. C'est une affaire de précipitation. L'arnaque n'attaque pas votre intelligence, elle attaque votre moment : elle arrive quand vous êtes distrait, se fait passer pour quelqu'un de confiance et vous presse pour vous empêcher de réfléchir.

Ce qu'est exactement le phishing

C'est un message — e-mail, SMS, DM — qui prétend venir de quelqu'un de fiable (votre banque, une entreprise, même une connaissance) pour vous faire faire quelque chose : cliquer sur un lien, donner un mot de passe, payer. Il ne force aucune serrure. Il vous convainc de l'ouvrir.

Les signes qui ne trompent pas

Urgence et peur. "Votre compte sera bloqué dans 24 heures." La pression est l'arme : elle veut que vous agissiez avant de penser.

On vous demande des données ou de l'argent. Aucune banque sérieuse ne demande votre mot de passe par e-mail. Si on le demande, c'est déjà le signe.

L'expéditeur ne colle pas. Regardez l'adresse réelle, pas le nom affiché. Un caractère modifié suffit.

Le lien ne mène pas où il dit. Survolez-le (ou appuyez longuement sur mobile) et lisez la vraie URL avant de toucher quoi que ce soit.

Soyons honnêtes : ce n'est plus si évident

Le vieux conseil "méfiez-vous des fautes d'orthographe" est mort. Aujourd'hui un phishing peut être parfaitement écrit, avec le logo exact et un site cloné à l'identique. Se fier à l'apparence ne suffit plus. C'est pourquoi le seul signe vraiment fiable n'est pas dans le message.

La règle qui ne rate jamais : n'agissez jamais depuis le message. Si votre banque "vous écrit", ne touchez pas son lien : ouvrez vous-même l'application ou tapez l'adresse à la main. Si c'est réel, vous le verrez pareil en vous connectant par vos propres moyens.

Que faire

1. Ne cliquez pas. Allez à la source vous-même. Ouvrez l'application ou le site officiel par vos propres moyens, pas via le lien envoyé.

2. Vérifiez par un autre canal. Un message étrange d'un ami ou de la banque ? Appelez ou demandez par une voie que vous connaissiez déjà.

3. Activez la validation en deux étapes. Ainsi, même avec votre mot de passe volé, il manquerait la seconde étape pour entrer.

4. Si vous avez déjà cliqué, changez ce mot de passe au plus vite (et partout où vous l'avez réutilisé) et activez le second facteur.

Le principe de fond

Le phishing existe parce qu'il y a un message par lequel se faufiler. Moins il y a de canaux usurpables, et moins vos données sont éparpillées, moins on a de quoi vous tromper. C'est la même idée de réduire les points de défaillance : c'est pourquoi un second facteur, ne jamais réutiliser ses mots de passe, et choisir des outils qui ne demandent pas de données qui pourront ensuite servir contre vous comptent autant.

Il ne s'agit pas de se méfier de tout. Il s'agit de ne jamais décider dans la précipitation, à l'intérieur d'un message que vous n'avez pas demandé.