Déjouer les arnaques en ligne

Commençons par casser une idée reçue : se faire arnaquer n’a rien à voir avec l’intelligence. Des médecins, des profs, des ingénieurs en informatique se font piéger. Pourquoi ? Parce qu’une arnaque ne s’attaque pas à ton cerveau logique. Elle s’attaque à tes émotions.

Les arnaqueurs ne sont pas des génies du code. Ce sont des pros de la manipulation. Leur métier, c’est de te faire ressentir quelque chose de fort — peur, excitation, urgence — pour court-circuiter ta réflexion. Quand tu crois que ton compte Insta va être supprimé dans deux heures, ou que tu viens de gagner un iPhone, tu ne lis plus les détails. Tu cliques.

La bonne nouvelle, c’est que leurs techniques sont toujours les mêmes. Les arnaques changent de décor — colis, banque, concours, crypto — mais le squelette ne bouge pas. Une fois que tu le connais, tu les vois arriver de loin. C’est exactement le programme de ce cours.

Petite question au passage : comment se fait-il qu’un SMS de faux colis tombe pile la semaine où tu attends une commande ? Ou qu’un message frauduleux connaisse ton prénom ?

Première explication : le volume. L’arnaqueur envoie le même message à des milliers de numéros. Parmi tous ces destinataires, il y en a forcément qui attendent un colis à ce moment précis — et pour eux, le message semble taillé sur mesure. Ce n’est pas de la magie, c’est la pêche au filet du dessus : avec assez de lancers, certains hameçons tombent au bon endroit.

Deuxième explication : les fuites de données. Des sites se font pirater, et des listes d’adresses e-mail, de numéros de téléphone, parfois de noms circulent ensuite entre arnaqueurs. C’est pour ça qu’un message peut te saluer par ton prénom ou citer un site où tu as vraiment un compte. Retiens bien ceci : un message qui sait des choses sur toi n’est pas forcément légitime. Ce détail « personnel » est peut-être juste sorti d’une vieille base de données volée.

Tu viens de voir le réflexe qui te protège le mieux, quelle que soit l’arnaque — y compris celles qui n’existent pas encore : ralentir.

Un message qui te presse est un message suspect. Les vraies institutions fonctionnent rarement au compte à rebours : une banque, une plateforme ou une administration te laisse généralement le temps de vérifier, et te contacte par ses canaux officiels. L’urgence artificielle, c’est la signature de l’arnaque — c’est même souvent le premier indice visible, avant les fautes d’orthographe ou le lien bizarre.

Dans les chapitres suivants, on va passer chaque grande famille d’arnaques au scanner. Tu vas voir : une fois qu’on connaît le truc, c’est presque un jeu de les démasquer.

Le phishing (« hameçonnage » en français), c’est l’arnaque la plus répandue en ligne. Le principe : un message déguisé — SMS, e-mail, DM — imite un expéditeur de confiance pour te faire cliquer sur un lien. Derrière le lien : une fausse page, copie presque parfaite de la vraie. Tu tapes ton mot de passe ou ton numéro de carte… et tu viens de le donner directement à l’arnaqueur.

Les déguisements changent tout le temps : colis en attente, amende à régler, carte Vitale à renouveler, remboursement à valider, compte de jeu à sécuriser, abonnement qui expire. Mais l’objectif est toujours le même : tes identifiants, tes coordonnées bancaires, ou les codes de validation que tu reçois par SMS.

Ce chapitre va t’apprendre à démasquer un phishing en trente secondes — et quoi faire si tu as déjà mordu à l’hameçon.

Trois réflexes suffisent à démasquer la quasi-totalité des phishings. Ils prennent trente secondes.

1. L’expéditeur. Regarde l’adresse exacte, pas juste le nom affiché. « Chronopost » peut s’afficher en gros alors que l’adresse derrière est incompréhensible ou se termine par un domaine qui n’a rien à voir. Sur un SMS, un numéro de mobile classique qui se fait passer pour une entreprise, c’est déjà un signal.

2. Le lien. Le geste le plus sûr : ne clique pas sur le lien envoyé, ouvre toi-même l’application ou tape l’adresse officielle à la main. Si tu veux quand même l’examiner avant de cliquer (appui long sur mobile, survol avec la souris sur ordinateur), repère le nom d’hôte juste après « https:// » — et après un éventuel « @ » s’il y en a un — jusqu’au premier « / ». « chronopost.fr/suivi » appartient bien à Chronopost. « chronopost.fr.suivi-colis24.net/paiement » appartient en réalité à suivi-colis24.net, qui a juste mis « chronopost.fr » dans son nom pour te tromper. Attention : cette lecture aide, mais elle ne suffit pas toujours à elle seule à démasquer un lien piégé — c’est pour ça que le premier réflexe (ne pas suivre le lien) reste le plus fiable.

3. La demande. Aucune banque, aucune plateforme sérieuse ne te demande ton mot de passe, ton code de carte ou un code reçu par SMS via un message. Jamais. Cette demande, à elle seule, suffit à classer le message : arnaque.

Et si tu as déjà cliqué ? Pas de panique : ça arrive, et agir vite réduit les conséquences et augmente tes chances de limiter les dégâts, sans garantie totale.

Si tu as entré un mot de passe : change-le immédiatement, sur ce site et partout où tu utilises le même. Active la double authentification si ce n’est pas déjà fait. Si des coordonnées bancaires sont en jeu : préviens tout de suite le parent dont c’est la carte, pour faire opposition auprès de la banque.

Ensuite, signale. Un SMS frauduleux se transfère gratuitement au 33700 chez les opérateurs partenaires (ailleurs, le coût d’un SMS classique peut s’appliquer) : chaque signalement aide les opérateurs à couper ces campagnes. Pour un e-mail, un compte piraté ou n’importe quel doute, le site public cybermalveillance.gouv.fr pose quelques questions sur ta situation et te guide pas à pas. C’est fait pour ça, et c’est gratuit.

Le phishing a un cousin qui sévit par téléphone : l’arnaque au faux conseiller bancaire. Le scénario : quelqu’un t’appelle — ou appelle tes parents — en se présentant comme le « service anti-fraude » de la banque. Des paiements suspects seraient en cours, il faut « agir immédiatement » : valider une opération dans l’appli, communiquer un code reçu par SMS, ou virer l’argent vers un « compte sécurisé ».

Ce qui rend cette arnaque redoutable : le numéro qui s’affiche peut être maquillé pour ressembler à celui de la vraie banque — ça s’appelle l’usurpation de numéro, et c’est techniquement facile. L’appelant est calme, professionnel, connaît parfois ton nom. Tout a l’air vrai… sauf la demande.

Le réflexe qui sauve : raccroche, puis rappelle toi-même la banque à son numéro officiel — celui du dos de la carte ou de l’appli. Ne rappelle jamais le numéro qui vient de t’appeler, et méfie-toi du rappel immédiat : prends le temps de composer le numéro toi-même. Si l’alerte était réelle, le vrai conseiller te le confirmera. La plupart du temps, il te répondra qu’aucune alerte n’existe.

Vinted, Leboncoin, Marketplace : acheter et vendre d’occasion, c’est malin, économique et plutôt sûr… tant que tu respectes une règle d’or. La voici : tout ce qui te fait sortir de la plateforme doit t’alerter.

La messagerie intégrée, le paiement sécurisé, le système d’évaluations : tout ça existe pour te protéger, et l’arnaqueur le sait. Son premier objectif est donc de t’emmener ailleurs — « continue sur WhatsApp », « paie par virement », « prends des coupons de recharge », « scanne ce QR code ». Une fois hors de la plateforme, plus aucune protection : l’argent part, l’objet n’arrive jamais, et le compte disparaît.

Ça vaut dans les deux sens : il existe des faux vendeurs, mais aussi des faux acheteurs. On va voir les deux.

Un mot sur la remise en main propre, puisque c’est souvent la meilleure parade : choisis un lieu public et passant — l’entrée d’un centre commercial, une gare, jamais un parking isolé —, viens en journée, et accompagné d’un adulte ou d’un ami. Surtout, examine l’objet avant de payer : une console s’allume, un téléphone se déverrouille (et tu vérifies qu’il n’est pas verrouillé sur le compte de quelqu’un d’autre), des sneakers s’inspectent coutures comprises. C’est tout l’intérêt du face-à-face : tu vérifies avant que l’argent change de mains.

Dernier point, que peu de gens connaissent : tes droits ne sont pas les mêmes selon le statut réel du vendeur, pas selon la plateforme. Quand tu achètes en ligne auprès d’un professionnel, la loi t’accorde en principe un délai de rétractation de 14 jours après réception, pour la plupart des achats de biens à distance : tu peux changer d’avis et renvoyer le produit sans avoir à te justifier — sous réserve des exceptions prévues par la loi (produit personnalisé, descellé, contenu numérique déjà commencé…), à vérifier sur service-public.fr. Entre particuliers, ce droit n’existe pas — et certains comptes sur Vinted ou Leboncoin vendent en réalité à titre professionnel : c’est le statut affiché du vendeur qui compte, pas l’apparence de la plateforme. Tu n’es pas totalement sans recours pour autant : la garantie des vices cachés s’applique aussi entre particuliers, si un défaut caché rendait l’objet impropre à l’usage (service-public.fr). Mais autant tout vérifier avant — le prix, le profil, le statut du vendeur et l’objet lui-même : c’est plus simple qu’un recours après coup.

Maintenant, mets-toi côté vendeur, parce que les arnaques y sont tout aussi rodées.

Le grand classique : le faux paiement en attente. Tu vends une veste, un « acheteur » te dit avoir payé et t’envoie une capture d’écran ou un faux e-mail imitant la plateforme : « L’argent est bloqué tant que tu n’as pas validé tes informations » — ou pire, « paie d’abord des frais de déblocage ». Variante : un lien ou un QR code envoyé dans la discussion « pour recevoir ton argent », qui mène à une fausse page où on te demande… ton numéro de carte.

Grave ça dans ta mémoire : recevoir de l’argent ne demande jamais d’entrer un numéro de carte. Ta carte sert à payer, pas à encaisser. Sur une vraie plateforme, le paiement arrive tout seul dans ton porte-monnaie intégré ou sur ton compte, sans que tu remplisses quoi que ce soit. Toute demande contraire est une arnaque, sans exception.

Dernier signal côté vendeur : l’acheteur qui veut absolument basculer la conversation sur WhatsApp ou Telegram. La messagerie officielle garde des traces et permet à la plateforme d’intervenir — c’est exactement ce que l’arnaqueur veut éviter.

Les réseaux sociaux, c’est le terrain de chasse préféré des arnaqueurs : tout le monde y est, la confiance s’y fabrique vite, et un faux compte se crée en deux minutes.

Première famille : les faux concours. Un compte copie une marque ou un influenceur — même photo de profil, même bannière, pseudo presque identique avec un underscore, un point ou un chiffre en plus. Il commente ou t’écrit en DM : « Félicitations, tu as gagné ! » Pour « recevoir ton lot », il te demande de payer des « frais de livraison » ou de remplir un formulaire avec tes données perso, parfois ta carte.

La règle est simple : un vrai concours ne te demande jamais de payer pour recevoir un lot. Et avant de croire un message de gain, vérifie trois choses : le règlement du concours (comment les gagnants sont-ils prévenus ?), le compte exact qui t’écrit (certification, ancienneté, nombre d’abonnés, publications) et surtout l’absence de toute demande de paiement — recevoir un DM ne prouve rien en soi, mais la pression et la demande d’argent, si.

Deuxième famille : les boutiques fantômes et le dropshipping mensonger. Tu as forcément vu ces pubs : un gadget « révolutionnaire », une promo à -70 % avec compte à rebours, des avis cinq étoiles à la chaîne. Derrière, souvent : un objet banal acheté pour une bouchée de pain sur une plateforme de gros, revendu très cher, avec des semaines de livraison, une qualité décevante et un service client fantôme quand tu veux te faire rembourser.

Le dropshipping en soi n’est pas illégal — c’est le mensonge qui l’est : fausse promo, faux avis, fausses allégations (« approuvé par des dentistes », « stock presque épuisé » depuis six mois). Les signes qui trahissent : promo permanente, boutique sans mentions légales ni adresse, marque introuvable ailleurs que sur son propre site, avis tous identiques et dithyrambiques.

Le réflexe : avant de sortir la carte, croise plusieurs indices — cherche « nom de la boutique + avis » sur un moteur de recherche (en te méfiant des avis trop parfaits ou tous identiques, parfois faux ou achetés), regarde si les mentions légales et l’adresse existent, et compare le prix du produit ailleurs. Aucun de ces réflexes ne suffit seul, mais ensemble ils te donnent une bonne idée en quelques minutes : est-ce que tu paies le juste prix, ou bien plus cher ?

Troisième famille, la plus dangereuse : les promesses de gains faciles. « Gagne 500 € par semaine depuis ton téléphone », « je transforme 50 € en 500 € en sept jours », captures d’écran de comptes bien remplis, « mentors » autoproclamés, groupes Telegram « privés ».

La mécanique est bien huilée : on te montre des gains (fabriqués en quelques minutes avec un éditeur d’images), on te fait déposer une petite somme, parfois on te laisse même « gagner » un peu au début pour te mettre en confiance et te faire déposer plus gros. Puis, le jour où tu veux retirer : frais surprise, compte bloqué, interlocuteur envolé.

Deux variantes à connaître absolument. La pyramide : on te promet des gains si tu recrutes d’autres personnes — tu ne gagnes rien en vendant quoi que ce soit, seulement en faisant entrer tes potes, qui perdront à leur tour. Et la plus grave : quelqu’un te propose de « prêter » ton compte bancaire ou ta carte contre une commission. Ça s’appelle être une mule financière : ton compte sert à faire circuler de l’argent volé, et tu risques d’en répondre pénalement dès lors que tu savais — ou aurais dû te douter — que cet argent était volé. Aucune commission ne vaut ce risque.

On aborde ce chapitre calmement, parce que le sujet est sérieux mais qu’il a des solutions — de vraies solutions, qui fonctionnent.

La sextorsion, c’est quand quelqu’un menace de diffuser des images intimes de toi (réelles, ou fabriquées de toutes pièces) pour obtenir de l’argent, d’autres images, ou n’importe quoi d’autre. Le scénario le plus courant : une personne rencontrée en ligne, souvent derrière un faux profil, se montre charmante, gagne ta confiance, obtient une photo ou une vidéo — parfois en envoyant « les siennes » en premier, qui sont fausses — puis bascule d’un coup dans la menace.

Première chose à savoir, et c’est la plus importante de tout le chapitre : si ça arrive, la victime, c’est toi. Celui qui commet un délit, c’est l’auteur du chantage. La honte doit changer de camp — et la loi est très claire là-dessus, surtout quand la victime est mineure.

Deux variantes à connaître, parce qu’elles se démontent presque toutes seules une fois qu’on les connaît.

La première : l’e-mail du « pirate » qui prétend avoir filmé, via ta webcam, des images compromettantes de toi, et exige un paiement — souvent en crypto. Parfois, il « prouve » son pouvoir en citant un de tes anciens mots de passe. Impressionnant ? Non : du bluff envoyé en masse à des milliers d’adresses. Le mot de passe vient d’une vieille fuite de données, et le plus souvent, il n’y a aucune vidéo. Si ce mot de passe traîne encore quelque part, change-le. Ne réponds pas, ne paie pas, et ne supprime pas le message : garde-le en capture d’écran comme preuve, bloque l’expéditeur, et parles-en à un adulte (le 3018 si besoin).

La seconde : les images fabriquées. Avec l’IA, un visage peut aujourd’hui être plaqué sur des images qui n’ont jamais existé. Si ça t’arrive, retiens deux choses : les réflexes de ce chapitre s’appliquent exactement pareil — preuves, blocage, parole — et le fait que l’image soit truquée ne change rien à la gravité des faits : le chantage et la diffusion restent des délits, image fabriquée ou pas.

Vers qui te tourner, concrètement ?

D’abord, un adulte de confiance — et ça ne veut pas forcément dire tes parents, si c’est trop dur au début. Une grande sœur, un grand frère, l’infirmière scolaire, un CPE, un prof en qui tu as confiance, un entraîneur : n’importe quel adulte capable de t’écouter sans te juger et de t’aider à agir.

Ensuite, le 3018 : le numéro national pour les jeunes victimes de violences numériques. C’est gratuit, anonyme et confidentiel, et ça existe aussi en application et en tchat. Les personnes qui répondent sont des professionnels : ils peuvent te conseiller, t’accompagner dans les démarches et intervenir auprès des réseaux sociaux pour demander le retrait rapide de contenus.

Enfin, si le contenu est public (un compte, une publication, un groupe) : Pharos, la plateforme officielle de signalement des contenus illicites publics (internet-signalement.gouv.fr) — ce n’est pas un service d’urgence. Pour une menace qui te vise personnellement, la priorité reste le 3018 et, en cas de danger immédiat, la police ou la gendarmerie (17 ou 112). Et si tu veux aller plus loin, porter plainte est possible et légitime — le chantage est un délit, et un adulte peut t’accompagner au commissariat ou à la gendarmerie.

Et si l’angoisse prend trop de place — nuits blanches, boule au ventre, idées noires — ce n’est pas un détail : Fil Santé Jeunes t’écoute gratuitement et anonymement au 0 800 235 236, et le 3114 répond 24 h/24 en cas de pensées suicidaires. Si le danger est immédiat — passage à l’acte en cours ou imminent, ou vie en danger tout de suite —, appelle le 15 ou le 112 sans attendre, et ne reste pas seul si tu peux l’éviter. Prendre soin de toi fait partie de la solution, au même titre que le signalement.

Une dernière chose : ces réflexes valent aussi pour tes amis. Si quelqu’un te confie qu’il vit ça, ton rôle n’est pas de régler le problème toi-même, mais de l’aider à ne pas rester seul — et le 3018 répond aussi aux témoins.

Récapitulons. Tu as vu défiler beaucoup de scénarios : le faux support Instagram, le colis fantôme, la console à moitié prix, le faux concours, le trader miracle, le chantage. Des décors très différents — mais tu as sûrement remarqué que le squelette ne change jamais : une émotion forte, de l’urgence, et une demande inhabituelle (un code, un paiement bizarre, une sortie de plateforme, un secret).

C’est ça, ta vraie protection : tu n’as pas besoin de connaître chaque arnaque par cœur. Tu as besoin de reconnaître le squelette. Les arnaques de demain — et il y en aura, avec des voix clonées et des visages truqués de plus en plus crédibles — utiliseront exactement les mêmes leviers, parce que ces leviers visent le cerveau humain, pas la technologie.

Voici ton plan, en deux listes à garder pour la vie.

Et si malgré tout tu te fais avoir un jour ? D’abord : aucune honte. Ces pièges sont conçus par des gens dont c’est le métier à plein temps, et ils tombent parfois au moment exact où tu es vulnérable — tu attends un colis, tu vends un truc, tu es fatigué. Ça arrive aux adultes les plus prudents.

Ce qui compte, c’est la vitesse de réaction : changer les mots de passe concernés, faire opposition sur la carte avec un parent si de l’argent est en jeu, et signaler via les bons canaux. Puis en parler autour de toi — parce que chaque arnaque racontée, c’est une arnaque qui marchera moins bien sur la personne d’à côté.

Garde précieusement les quatre ressources ci-dessous : elles sont officielles, gratuites, et elles couvrent quasiment toutes les situations de ce cours.