Séparer réception, vérification et paiement : la méthode anti-arnaque

Le message arrive, mais la décision doit venir d'ailleurs

Vous recevez un courriel qui semble venir de votre banque, un SMS qui annonce un colis, ou un message d'un proche qui demande un service urgent. Le texte vous pousse à agir maintenant. Il parle d'un paiement, d'un compte bloqué, d'un remboursement ou d'un document à transmettre. Dans cette situation, le premier réflexe est souvent de répondre au message. C'est précisément ce que l'escroc cherche à obtenir.

La méthode la plus solide consiste à séparer trois moments : recevoir, vérifier, puis agir. Vous pouvez lire le message sans lui faire confiance. Vous pouvez vérifier l'information sans utiliser le lien ou le numéro fourni. Vous pouvez enfin payer, transmettre ou répondre seulement après cette vérification. Ce découpage paraît simple, mais il retire au message son pouvoir d'imposer le rythme.

Ce n'est pas une question d'intelligence. Les escrocs utilisent des logos, des mots exacts, des informations personnelles et une urgence bien choisie. Leur objectif est de vous faire prendre une décision avant que vous ayez le temps de vérifier.

Un message peut contenir une vraie information et rester dangereux

Un message frauduleux n'est pas toujours faux de bout en bout. Il peut reprendre le nom d'une entreprise réelle, une adresse connue, le montant d'une facture attendue ou le prénom d'un proche. Le fait qu'un détail soit exact ne prouve pas que la demande est légitime. Les données personnelles circulent, les comptes peuvent être piratés, et les escrocs copient les échanges réels.

Le hameçonnage consiste justement à se faire passer pour un organisme, un site ou un contact afin d'obtenir des données personnelles ou bancaires. Service-Public rappelle qu'un message contenant un lien ne doit pas être utilisé pour accéder à un service : il faut passer par le site ou l'application habituels. La CNIL conseille aussi de contacter un proche sur un autre canal lorsqu'un message semble venir de lui.

La bonne question n'est donc pas : « Le message a-t-il l'air vrai ? » Elle est : « Comment puis-je vérifier cette demande sans utiliser les coordonnées qu'elle m'impose ? »

Première étape : recevoir sans répondre

À la réception, ne cliquez pas, ne répondez pas et ne rappelez pas. Ne transmettez pas non plus un code reçu par SMS, une copie de document ou des coordonnées bancaires. Si le message contient une pièce jointe, laissez-la fermée tant que vous n'avez pas vérifié l'expéditeur par un autre moyen.

Vous pouvez conserver le message pour l'examiner. Notez l'heure, l'adresse d'envoi, le numéro affiché, le nom du compte et la demande exacte. Ces éléments seront utiles si vous devez signaler la tentative. Ils permettent aussi de ne pas oublier un détail lorsque la pression retombe.

Si une personne vous demande de garder la conversation secrète, de ne pas raccrocher ou d'agir avant une heure précise, ralentissez encore davantage. L'urgence n'est pas une preuve. C'est souvent le mécanisme qui empêche la vérification.

Deuxième étape : vérifier par un canal que vous choisissez

La vérification doit commencer en dehors du message. Pour une banque, ouvrez vous-même l'application ou composez le numéro figurant au dos de la carte. Pour une administration, tapez vous-même l'adresse du site officiel dans le navigateur. Pour une livraison, ouvrez l'application ou le compte client que vous utilisez habituellement. Pour un proche, appelez son numéro enregistré dans votre téléphone.

Ne choisissez pas le canal proposé dans le message. Un lien peut conduire vers une copie du site. Un numéro peut aboutir chez l'escroc. Une adresse de réponse peut être contrôlée par l'attaquant. La vérification doit partir d'une information que vous possédiez déjà, pas d'une information que le message vient de vous donner.

Cybermalveillance.gouv.fr recommande de vérifier l'adresse réelle d'un site et de contacter l'expéditeur par un autre moyen en cas de doute. Cette règle fonctionne pour un mail, un SMS, une messagerie instantanée et un appel vocal.

Troisième étape : vérifier la demande, pas seulement l'identité

Même si vous avez bien joint l'organisme ou la personne, posez une deuxième question : cette demande est-elle normale ? Un vrai compte peut avoir été compromis. Un vrai fournisseur peut avoir une boîte mail piratée. Une vraie conversation peut être détournée.

Demandez ce qui est attendu, pourquoi c'est nécessaire et dans quel espace la démarche doit être faite. Une banque ne vous demandera pas de déplacer votre argent vers un compte de sécurité. Un service sérieux ne vous demandera pas de communiquer un mot de passe ou un code de validation. Un proche qui demande un virement peut être appelé directement avant toute action.

Pour une facture, comparez le montant, le bénéficiaire et l'historique connu. Pour un RIB, ne validez jamais un changement sur la seule base d'un courriel. Pour un document, vérifiez le destinataire et l'usage précis. La vérification porte donc sur la demande elle-même, pas uniquement sur le logo ou le nom affiché.

Les indices qui doivent vous faire sortir du message

• Le message vous demande de cliquer pour éviter une fermeture, un frais ou une pénalité.
• Le numéro de téléphone à appeler apparaît dans le SMS ou le courriel.
• On vous demande un code reçu par SMS, un mot de passe, un RIB ou une copie de pièce d'identité.
• La demande modifie un bénéficiaire, une adresse de livraison ou une procédure habituelle.
• Le message contient une adresse qui ressemble au nom officiel sans être exactement celle que vous utilisez d'habitude.
• L'interlocuteur vous empêche de vérifier, vous presse ou vous demande de garder la conversation secrète.
• Un proche écrit depuis un nouveau compte et refuse un appel vocal ou vidéo.

Aucun de ces indices ne suffit toujours à établir une fraude. Ensemble, ils justifient une pause. Vous n'avez pas besoin de prouver immédiatement que le message est faux. Vous avez seulement besoin de refuser d'agir tant que la demande n'est pas vérifiée.

La séparation réception, vérification, paiement

Pour les opérations sensibles, créez une règle fixe. Un message peut annoncer un paiement, mais il ne doit jamais être le lieu où vous confirmez ce paiement. Vous recevez l'information dans un canal. Vous vérifiez dans un deuxième canal. Vous payez ou transmettez dans l'espace officiel, après avoir comparé les détails.

Cette séparation est utile pour un achat en ligne, une facture professionnelle, un changement de coordonnées bancaires, un remboursement ou une demande administrative. Elle réduit le risque de suivre automatiquement le chemin préparé par l'escroc. Elle donne aussi un temps de réflexion entre l'émotion et l'action.

Dans une entreprise, cette règle peut devenir une procédure écrite : tout changement de RIB fait l'objet d'un contre-appel vers un numéro déjà connu, et tout paiement inhabituel est vérifié par une seconde personne. À titre personnel, vous pouvez appliquer la même logique à un proche : aucune urgence financière ne dispense d'un appel direct.

Si vous avez cliqué, répondu ou transmis une information

Ne vous reprochez pas votre réaction. Commencez par arrêter l'échange et conservez les preuves. Faites des captures, gardez l'adresse du site, le numéro, le message, la date et les documents envoyés. Ne supprimez pas la conversation avant d'avoir sauvegardé ces éléments.

Si vous avez donné un mot de passe, changez-le depuis le site officiel et changez-le partout où il était réutilisé. Activez la double authentification lorsque le service la propose. Si vous avez transmis des coordonnées bancaires ou validé une opération, contactez immédiatement votre banque par son canal habituel. Si un compte de messagerie est concerné, vérifiez les règles de transfert et les appareils connectés.

Si un document d'identité a été envoyé, notez exactement lequel, à qui et quand. Si vous constatez une usurpation ou une utilisation frauduleuse, rassemblez les preuves et déposez plainte. Le fait d'avoir répondu ne signifie pas que tout est perdu. Il indique seulement quelles mesures doivent être prises maintenant.

Les bons canaux pour signaler et demander de l'aide

Pour une escroquerie commise sur Internet ou par téléphone, THESEE peut être utilisé pour une plainte en ligne. Pour une fraude à la carte bancaire alors que vous avez toujours la carte, Perceval est le service adapté. Un SMS frauduleux peut être transféré au 33700. Un litige avec une entreprise identifiée peut être orienté vers SignalConso. Le service 17Cyber peut vous aider à identifier la démarche adaptée.

Ne dirigez pas une escroquerie vers Pharos : ce service traite les contenus illicites, pas les fraudes ordinaires. Dans tous les cas, la banque doit être contactée directement lorsqu'une opération ou des données bancaires sont en jeu. Les recommandations officielles de Service-Public, de la CNIL et de Cybermalveillance.gouv.fr donnent les étapes de base.

La phrase à retenir avant toute action

Avant de cliquer, payer, rappeler ou transmettre un document, dites-vous : « Je vais vérifier cette demande hors du message. » Cette phrase ne demande aucune compétence technique. Elle suffit à remettre la décision de votre côté.

Un interlocuteur légitime acceptera que vous raccrochiez, ouvriez l'application vous-même ou rappeliez un numéro connu. Si quelqu'un vous empêche de vérifier, cette réaction devient une information importante. Ralentir n'est pas manquer une occasion. C'est protéger votre compte, votre argent et vos documents.

Si vous accompagnez une personne qui vient de répondre à un message suspect, commencez par l'aider à faire l'inventaire et à contacter le bon service. Les reproches ferment la discussion. Une méthode calme permet de prendre les mesures utiles plus vite.