Comment reconnaître une URL piégée sans être technicien

Un lien peut sembler normal et vous conduire au mauvais endroit

Vous recevez un message qui semble venir d'une boutique, d'une banque ou d'un service public. Le logo est familier. Le texte vous appelle par votre nom. Le lien paraît court et propre. Vous cliquez, puis une page vous demande de vous connecter ou de régler quelques euros. À ce moment-là, le danger ne vient pas seulement du message. Il peut se trouver dans l'adresse du site.

Un site frauduleux peut reprendre les couleurs, les images et le vocabulaire d'une organisation connue. Il peut même afficher une page très bien faite. Cela ne prouve pas qu'il est légitime. Le site officiel est identifié par son adresse exacte, son domaine et le chemin qui suit ce domaine. C'est cette adresse qu'il faut apprendre à lire avant de saisir un mot de passe, un numéro de carte ou une pièce d'identité.

Ce contrôle ne demande pas de connaissances techniques. Il demande surtout de ralentir avant l'action demandée. Les escrocs cherchent souvent à vous faire passer directement du message à la connexion ou au paiement.

Commencez par le vrai nom du domaine

Dans une adresse comme connexion.exemple.fr, le domaine principal est exemple.fr. Le mot placé tout à gauche, ici « connexion », est un sous-domaine. Dans une adresse comme exemple.fr.securite.com, le domaine principal est securite.com. Le mot « exemple.fr » n'est alors qu'une partie du nom choisi par le propriétaire de securite.com.

C'est le piège le plus important à retenir. L'adresse doit être lue de droite à gauche, en remontant jusqu'à l'extension. Pour un service connu, comparez le domaine affiché avec celui que vous utilisez habituellement. Une lettre ajoutée, un mot déplacé, un tiret inhabituel ou une extension différente suffit à créer un autre site.

Les fraudeurs utilisent aussi des noms qui ressemblent visuellement au bon domaine. Ils peuvent remplacer une lettre, ajouter un mot comme « verification » ou « assistance », ou utiliser une extension différente. Le fait qu'une adresse contienne le nom d'une marque ne signifie pas que cette marque contrôle le site.

Le cadenas et HTTPS ne valident pas le site

Une adresse qui commence par https:// chiffre la connexion entre votre navigateur et le site. Le cadenas indique que le certificat de connexion est accepté pour cette adresse. Ces éléments sont utiles pour protéger le transport des données, mais ils ne disent pas qui exploite le site.

Un escroc peut donc créer un faux site avec HTTPS. Le cadenas peut apparaître sur une page qui imite une banque, une boutique ou un service public. Il ne transforme pas cette page en site officiel. Avant de vous connecter, vérifiez le domaine lui-même. Avant de payer, vérifiez aussi que vous êtes bien parti du site officiel et non d'une publicité ou d'un message reçu.

Cybermalveillance.gouv.fr recommande de vérifier l'adresse du site et de rejoindre le site officiel en saisissant directement son adresse dans le navigateur, plutôt que de suivre le lien reçu. Cette habitude réduit fortement le risque de confondre une copie avec le service attendu. Voir les conseils de Cybermalveillance.gouv.fr.

Ne cliquez pas pour vérifier un lien reçu

Sur ordinateur, placez le curseur sur le lien sans cliquer. L'adresse complète peut apparaître en bas de la fenêtre. Sur téléphone, un appui long peut afficher l'adresse ou un menu de partage. Ces méthodes donnent un premier indice, mais elles ne remplacent pas la vérification du domaine.

Ne copiez pas automatiquement l'adresse dans un moteur de recherche. Une publicité placée en tête des résultats peut elle aussi conduire vers un site trompeur. Pour une banque, un service public ou une grande boutique, tapez vous-même l'adresse connue, utilisez votre favori déjà enregistré ou passez par l'application officielle.

Si vous avez un doute, fermez le message et cherchez le numéro ou le service client depuis une facture, une carte bancaire ou le site officiel saisi manuellement. N'utilisez pas le numéro affiché dans le message suspect. Le même principe vaut pour un QR code : il contient un lien, même si son apparence ne permet pas de le lire immédiatement.

Les signaux qui doivent vous faire arrêter

Un seul signal ne suffit pas toujours à conclure. Plusieurs signaux réunis doivent cependant vous conduire à interrompre la démarche et à vérifier par un autre canal. Les recommandations de Service-Public.fr et de Cybermalveillance.gouv.fr citent notamment les adresses inhabituelles, les fautes, les demandes inattendues et les messages alarmistes.

• Le domaine ne correspond pas exactement au service annoncé.
• Le message vous demande de vous connecter alors que vous n'avez lancé aucune démarche.
• La page réclame un code reçu par SMS, un mot de passe ou une copie de pièce d'identité sans explication claire.
• Une urgence vous empêche de vérifier : compte bloqué, livraison interrompue ou remboursement à confirmer.
• Le lien contient une longue suite de caractères, une redirection ou un nom qui mélange plusieurs marques.
• Le site affiche des coordonnées différentes de celles publiées sur le site officiel.
• Le paiement doit être réalisé par un moyen inhabituel ou vers un bénéficiaire différent.

Ces indices ne sont pas une preuve isolée. Ils servent à déclencher une pause. La bonne réaction n'est pas de chercher à deviner si la page est assez bien faite. C'est de quitter la page et de recommencer depuis une source indépendante.

Une adresse exacte ne suffit pas toujours

Un domaine peut être authentique tout en affichant une page trompeuse à la suite d'un piratage, d'une redirection ou d'une publicité malveillante. Cela reste moins fréquent que la copie d'un domaine, mais la vérification ne doit pas s'arrêter au nom.

Regardez le contexte de la page. Le service demandé correspond-il à ce que vous étiez en train de faire ? Les coordonnées affichées sont-elles cohérentes ? Les conditions de vente, les mentions légales et le moyen de paiement correspondent-ils à l'entreprise annoncée ? Pour une boutique inconnue, recherchez le nom de domaine séparément et comparez les coordonnées avec plusieurs sources.

Le site officiel d'une entreprise peut aussi contenir une page de contact ou une aide permettant de confirmer une demande. Utilisez cette page en ouvrant vous-même le domaine, pas en répondant au message initial. Une vérification hors du message est plus fiable parce qu'elle ne dépend pas des informations fournies par la personne qui vous sollicite.

Avant de transmettre un document ou de payer

Faites une séparation simple entre trois moments : réception, vérification, action. Le message reçu appartient au premier moment. La vérification doit se faire dans une nouvelle fenêtre, avec une adresse connue ou un numéro trouvé indépendamment. Le paiement ou l'envoi d'un document ne vient qu'après cette étape.

Pour un document d'identité, demandez-vous qui le réclame, pourquoi, par quel canal et pendant combien de temps il sera conservé. Pour un paiement, vérifiez le bénéficiaire, le montant et la raison de la demande. Pour une connexion, ouvrez directement l'application ou le site officiel. Si l'on vous demande un code de sécurité pendant un appel entrant, raccrochez et rappelez le numéro officiel.

Vous pouvez aussi demander un second avis à une personne de confiance. Cette demande n'est pas une perte de temps. Elle permet de casser l'urgence et de voir ce que la pression vous empêchait de remarquer. Se faire tromper par une page bien construite n'est pas une question d'intelligence. Les campagnes de hameçonnage sont conçues pour vous faire agir vite.

Si vous avez saisi vos informations

Fermez la page et ne poursuivez pas la conversation avec l'expéditeur. Si vous avez donné un mot de passe, changez-le depuis le site officiel, puis changez-le partout où vous avez réutilisé ce mot de passe. Activez la double authentification quand le service la propose. Si votre boîte mail est concernée, sécurisez-la en priorité : elle peut servir à réinitialiser d'autres comptes.

Si vous avez communiqué des données bancaires ou constaté un paiement, contactez immédiatement votre banque par son numéro officiel. Service-Public.fr recommande d'alerter rapidement l'établissement bancaire en cas d'escroquerie et de faire opposition si nécessaire. Ne rappelez pas le numéro présent dans le message reçu.

Conservez le message, l'adresse complète du site, les captures d'écran, les reçus et les horaires. Ne renvoyez pas le lien à vos proches sans avertissement. Si vous avez téléchargé un fichier ou installé un logiciel, déconnectez l'appareil d'Internet et demandez conseil avant de supprimer des éléments utiles à l'analyse.

Les bons canaux pour signaler et être aidé

Le canal dépend de ce qui s'est passé. Pour un courriel ou un site de phishing, Service-Public.fr oriente vers les services de signalement adaptés, dont Signal Spam et les dispositifs spécialisés. Pour un SMS ou un appel frauduleux sur mobile, le 33700 est le canal prévu pour les spams vocaux et les SMS. Consulter la fiche officielle sur le hameçonnage.

Si vous avez commandé sur un faux site commercial et que les conditions sont réunies, THESEE peut être utilisé pour porter plainte en ligne. Si une fraude concerne une carte bancaire utilisée alors que vous l'avez toujours et que vous avez fait opposition, Perceval peut recevoir le signalement correspondant. 17Cyber peut vous orienter selon votre situation.

Ne choisissez pas Pharos pour une simple escroquerie ou un faux site commercial. Service-Public.fr précise que Pharos concerne les contenus illicites sur Internet, tandis que les démarches et services compétents dépendent du type de fraude. En cas de doute, commencez par 17Cyber ou par la fiche officielle de Service-Public.fr, puis gardez le récépissé de chaque démarche.

La règle des trois minutes avant de cliquer

Avant toute action sensible, prenez trois minutes. Une minute pour lire le domaine principal. Une minute pour ouvrir le service depuis une source indépendante. Une minute pour comparer la demande : montant, bénéficiaire, document ou code demandé.

Si les trois étapes concordent, vous pouvez reprendre la démarche avec davantage de confiance. Si l'une d'elles ne concorde pas, arrêtez-vous. Un vrai service pourra être retrouvé depuis son site officiel. Une urgence inventée, elle, perd sa force dès que vous sortez du lien imposé.

Cette méthode fonctionne aussi pour les messages très bien écrits, les logos parfaits et les adresses qui semblent familières. Le bon réflexe n'est pas de reconnaître chaque nouvelle arnaque. C'est de ne jamais confier une donnée importante à une page que vous n'avez pas vérifiée par un autre chemin.