Comment repérer un SMS frauduleux et vérifier le lien en toute sécurité

Un SMS est très probablement une arnaque s'il crée un sentiment d'urgence au sujet d'un colis, d'un paiement, d'un compte ou d'un remboursement, puis vous demande de cliquer sur un lien, d'appeler un numéro ou d'envoyer de l'argent ou un code. La bonne attitude consiste à ne pas toucher au lien, à vous rendre sur le site de l'entreprise par une adresse que vous connaissez déjà, et à signaler le message. Vous pouvez d'abord coller le texte dans le vérificateur d'arnaques pour voir les signaux d'alerte et le vrai domaine de chaque lien.

Vérificateur de message frauduleuxCe message est-il une arnaque ?Essayer gratuitement

Les schémas les plus fréquents

La plupart des SMS frauduleux suivent un petit nombre de scénarios. La Federal Trade Commission (FTC) des États-Unis en recense plusieurs, notamment les fausses notifications de livraison de colis, les fausses alertes d'activité suspecte sur un compte ou de problème de paiement, les fausses factures d'achats que vous n'avez pas faits, et les fausses offres de lots, de cartes cadeaux ou de réductions qui n'existent pas.

• Faux frais de livraison. Un colis est « retenu » et on vous demande des frais de nouvelle livraison, souvent quelques livres ou quelques dollars. Le montant est faible, ce qui vous pousse à payer sans réfléchir, et la page demande ensuite les coordonnées de votre carte.
• Compte bloqué. « Votre compte a été limité. Vérifiez maintenant. » Le lien mène à une copie d'une page de connexion.
• Remboursement de péage ou d'impôt. Un message au sujet d'un péage impayé, ou d'un remboursement qui vous serait dû, avec un lien pour le « réclamer ».
• « Hi Mum » depuis un nouveau numéro. Quelqu'un prétend avoir perdu son téléphone et avoir besoin d'argent immédiatement, sur un nouveau compte.
• Offres d'emploi. Payer un kit de démarrage, acheter du matériel ou des cryptomonnaies pour commencer, ou « aimer » des publications contre de l'argent.
• Fausse romance ou faux investissement après un mauvais numéro. Un message amical en apparence, puis une invitation à rejoindre une plateforme d'investissement qui ne verse des gains qu'après de nouveaux dépôts.

Tous ces cas ont un point commun : on vous demande de l'argent, des codes ou des informations, et on vous donne une raison d'agir avant de vérifier.

Comment lire le vrai domaine d'un lien

Une adresse web a la forme https://hôte/chemin. L'hôte est le texte situé entre // et le premier slash simple. Tout ce qui précède un signe @ correspond à un identifiant de connexion, pas à la destination. Ainsi, https://[email protected]/ ouvre une adresse numérique, et non votre banque.

Quatre pièges trompent souvent :

• Une marque dans le sous-domaine. Dans votrebanque.com.verification-securite.net, le vrai domaine est verification-securite.net. La partie qui semble familière est un nom choisi par l'expéditeur. Le domaine enregistré correspond généralement aux deux dernières parties de l'hôte, ou aux trois dernières dans certains cas comme .co.uk.
• Des adresses numériques. Un lien bancaire ou de livraison qui pointe vers une suite de chiffres est un signal d'alerte.
• Des lettres trompeuses. Les noms internationalisés sont stockés avec un préfixe xn--, et un nom peut utiliser des lettres d'un autre alphabet qui ressemblent presque à des lettres latines. Lisez l'adresse, pas le logo.
• Les raccourcisseurs. Des services comme bit.ly ou tinyurl masquent la destination. Vous ne pouvez pas juger le lien en le lisant.

L'outil Nettoyer les liens retire les enveloppes de redirection, comme google.com/url?q=, et supprime les paramètres de suivi, pour que vous voyiez l'adresse réelle vers laquelle mène un lien. Il ne vous dit pas si cette adresse est sûre.

Que faire avec un SMS suspect

1. Ne cliquez pas sur le lien et ne répondez pas au message. Une réponse confirme que votre numéro est actif.
2. Si le message prétend venir d'une entreprise, ouvrez son application ou saisissez vous-même son adresse, puis vérifiez votre compte depuis là.
3. Si vous avez déjà saisi les coordonnées de votre carte ou un mot de passe, contactez votre banque ou l'émetteur de votre carte au numéro figurant au dos de la carte, et changez le mot de passe.
4. Signalez le message (voir ci-dessous).

Où le signaler

États-Unis. Transférez le message au 7726 (SPAM), comme le demande la FTC. Signalez l'arnaque à la FTC sur ReportFraud.ftc.gov. Votre application de messagerie propose peut-être aussi une option « signaler comme indésirable ».

Royaume-Uni. Transférez un SMS suspect au 7726, service gratuit. Transférez un e-mail suspect à [email protected], le Suspicious Email Reporting Service du National Cyber Security Centre. Si vous avez perdu de l'argent, signalez-le à Report Fraud (anciennement Action Fraud) sur reportfraud.police.uk.

Le transfert aide les opérateurs mobiles et les autorités à bloquer les numéros et à faire fermer les sites. Vous n'avez pas besoin d'avoir la preuve qu'un message est une arnaque pour le signaler.

Cas particuliers

• Le message arrive dans la même conversation que de vrais SMS de votre banque. Les noms d'expéditeur peuvent être falsifiés, donc un nom familier ne prouve rien. Vérifiez via une adresse que vous connaissez déjà.
• Le message vient d'une entreprise que vous utilisez réellement. Une vraie livraison peut être suivie d'une fausse. Vérifiez le suivi dans l'application de l'entreprise elle-même.
• Vous n'êtes pas sûr. Demandez à une personne de confiance, ou consultez le site de l'entreprise pour voir la liste de ses messages authentiques.
• Un résultat positif du vérificateur. Le vérificateur d'arnaques repose sur des règles de signaux d'alerte, donc l'absence d'alerte ne prouve pas qu'un message est sûr. Considérez comme suspect tout message qui demande de l'argent ou des codes, dans tous les cas.

Réponses rapides

Un SMS venant du numéro d'une vraie entreprise peut-il être une arnaque ? Oui. Les numéros et les noms d'expéditeur peuvent être usurpés, et les escrocs envoient parfois leurs messages dans une conversation existante. Jugez la demande, pas le nom.

Faut-il répondre « STOP » pour se désabonner d'un SMS frauduleux ? En général, non. Une réponse confirme que votre numéro est actif. Transférez le message, puis supprimez-le.

Et si j'ai cliqué sur le lien ? N'entrez rien sur la page. Fermez-la, effacez l'historique du navigateur si vous le souhaitez, et vérifiez vos comptes bancaires et de carte. Si vous avez saisi des informations, suivez les étapes ci-dessus.