Déjouer les arnaques en ligne

Cassons d’abord une idée reçue tenace : se faire arnaquer n’a rien à voir avec l’intelligence. Des ingénieurs, des avocats, des profs de maths tombent dans le panneau. Pourquoi ? Parce qu’une arnaque bien conçue ne s’adresse pas à ton cerveau logique — elle le court-circuite en visant tes émotions.

Cette technique porte un nom, et il vaut le coup de le connaître : l’ingénierie sociale. L’idée : manipuler quelqu’un pour qu’il agisse contre son propre intérêt — cliquer, payer, donner un code — sans lui laisser le temps de réfléchir. Les arnaqueurs ne sont pas des génies du code : ce sont des pros de la manipulation. Leur matière première, ce n’est pas la technologie, c’est la psychologie humaine.

La bonne nouvelle : leurs techniques sont toujours les mêmes. Le décor change — colis, banque, crypto, job d’été — mais le squelette ne bouge pas. Une fois que tu le connais, tu les vois venir de loin. C’est tout le programme de ce cours.

Tu tiens là le réflexe qui te protège le mieux, quelle que soit l’arnaque — même celles qui n’existent pas encore : ralentir.

Un message qui te presse est un message suspect. Les vraies institutions fonctionnent rarement au compte à rebours : une banque, une plateforme, une administration te laissent généralement le temps de vérifier et te contactent par leurs canaux officiels. L’urgence artificielle, c’est la signature de l’arnaque — souvent visible avant même la faute d’orthographe ou le lien douteux.

Le phishing (« hameçonnage ») est l’arnaque la plus répandue en ligne. Le principe : un message déguisé — SMS, e-mail, DM — imite un expéditeur de confiance pour te faire cliquer sur un lien. Derrière : une fausse page, copie quasi parfaite de la vraie. Tu tapes ton mot de passe ou ton numéro de carte… et tu viens de les offrir à l’arnaqueur.

Les déguisements tournent en boucle : colis en attente, amende à régler, remboursement à valider, abonnement qui expire, compte à sécuriser. Mais la cible est toujours la même : tes identifiants, tes coordonnées bancaires, ou les codes de validation reçus par SMS. Ce chapitre t’apprend à démasquer un phishing en trente secondes — et quoi faire si tu as déjà mordu.

Trois réflexes démasquent la quasi-totalité des phishings, en trente secondes.

1. L’expéditeur. Regarde l’adresse exacte, pas seulement le nom affiché. « Chronopost » peut s’afficher en gros alors que l’adresse derrière n’a rien à voir. Sur un SMS, un numéro de mobile classique qui se fait passer pour une entreprise, c’est déjà un signal.

2. Le lien. Le geste le plus sûr : ne clique pas sur le lien envoyé, ouvre toi-même l’application ou tape l’adresse officielle à la main. Si tu veux quand même l’examiner avant de cliquer (appui long sur mobile, survol à la souris sur ordinateur), repère le nom d’hôte juste après « https:// » — et après un éventuel « @ » s’il y en a un — jusqu’au premier « / ». « chronopost.fr/suivi » appartient à Chronopost. « chronopost.fr.suivi-colis.net/payer » appartient à… suivi-colis.net, qui a juste glissé « chronopost.fr » dans son adresse pour te piéger. Cette lecture aide, mais elle ne suffit pas toujours à elle seule : le réflexe le plus fiable reste de ne jamais suivre un lien reçu.

3. La demande. Aucune banque, aucune plateforme sérieuse ne te réclame ton mot de passe, ton code de carte ou un code reçu par SMS via un message. Jamais. Cette demande, à elle seule, classe le message : arnaque.

Le phishing a un cousin par téléphone : le faux conseiller bancaire. Quelqu’un appelle — toi ou tes parents — en se présentant comme le « service anti-fraude » de la banque. Des paiements suspects seraient en cours, il faut « agir tout de suite » : valider une opération dans l’appli, dicter un code reçu par SMS, ou virer l’argent vers un « compte sécurisé ».

Ce qui rend l’arnaque redoutable : le numéro affiché peut être maquillé pour ressembler à celui de la vraie banque — ça s’appelle l’usurpation de numéro, et c’est techniquement facile. L’appelant est calme, professionnel, connaît parfois ton nom. Tout sonne vrai… sauf la demande.

Le réflexe qui sauve : raccroche, puis rappelle toi-même la banque à son numéro officiel (dos de la carte, appli). Jamais le numéro qui vient d’appeler. Et si tu as déjà cliqué ou saisi quelque chose ? Pas de panique : agir vite réduit les conséquences et augmente tes chances de limiter les dégâts, sans garantie totale : change le mot de passe concerné (et partout où tu l’utilises), préviens le parent dont c’est la carte pour faire opposition, puis signale — 33700 pour un SMS frauduleux, cybermalveillance.gouv.fr pour tout le reste.

Vinted, Leboncoin, Marketplace : acheter et vendre d’occasion, c’est malin et plutôt sûr… à une condition. La règle d’or : tout ce qui te fait sortir de la plateforme doit t’alerter.

La messagerie intégrée, le paiement sécurisé, les évaluations : tout ça existe pour te protéger — et l’arnaqueur le sait. Son premier objectif est donc de t’emmener ailleurs : « continue sur WhatsApp », « paie par virement », « scanne ce QR code ». Hors de la plateforme, plus aucune protection : l’argent part, l’objet n’arrive jamais, le compte disparaît.

Ça marche dans les deux sens : il existe des faux vendeurs, mais aussi des faux acheteurs. On va voir les deux.

Passe maintenant côté vendeur, car les pièges y sont tout aussi rodés. Le grand classique : le faux paiement en attente. Tu vends une veste ; un « acheteur » prétend avoir payé et t’envoie une capture ou un faux e-mail imitant la plateforme : « L’argent est bloqué tant que tu n’as pas validé tes infos » — ou pire, « paie d’abord des frais de déblocage ». Grave-le dans ta mémoire : recevoir de l’argent ne demande jamais d’entrer un numéro de carte. Ta carte sert à payer, pas à encaisser. Sur une vraie plateforme, le paiement arrive tout seul.

Dernier point que peu de gens connaissent : tes droits changent selon le statut réel du vendeur, pas selon la plateforme. Face à un professionnel, un achat en ligne t’ouvre en principe un délai légal de rétractation de 14 jours après réception, pour la plupart des achats de biens à distance : tu peux changer d’avis et renvoyer le produit sans avoir à te justifier — sous réserve des exceptions prévues par la loi (produit personnalisé, descellé, contenu numérique déjà commencé…), à vérifier sur service-public.fr. Entre particuliers — le cas de la plupart des ventes sur Vinted ou Leboncoin, mais pas de toutes : certains comptes y vendent à titre professionnel —, ce droit n’existe pas. Tu n’es pas non plus totalement démuni ensuite : la garantie des vices cachés s’applique aussi entre particuliers, si un défaut caché rendait l’objet impropre à l’usage (service-public.fr). Raison de plus pour tout vérifier avant — le prix, le profil, le statut du vendeur et l’objet lui-même.

On arrive à la famille la plus rentable pour les arnaqueurs, et la plus taillée pour ton âge : les promesses d’argent facile. « Gagne 500 € par semaine depuis ton tel », « je transforme 50 € en 500 € en sept jours », captures d’écran de comptes bien remplis, « mentors » autoproclamés, groupes Telegram « privés ».

La mécanique est huilée : on te montre des gains (fabriqués en deux minutes avec un éditeur d’images), on te fait déposer une petite somme, parfois on te laisse même « gagner » un peu au début pour te mettre en confiance — puis, le jour du retrait : frais surprise, compte bloqué, interlocuteur envolé.

Une règle simple à graver : un rendement élevé, garanti et sans risque, proposé par un acteur non vérifié ou en démarchage, c’est un signal majeur d’arnaque. Même les professionnels de la finance ne peuvent pas garantir un tel rendement — seule l’épargne réglementée (Livret A, LEP…) est garantie par l’État, à un taux fixé officiellement, jamais démarchée en DM avec la promesse de « tout doubler ». Si l’occasion était réelle, elle n’aurait pas besoin de te chercher, toi, en DM.

Deux variantes à connaître absolument. La vente pyramidale : on te promet des gains si tu recrutes d’autres personnes. Tu ne gagnes rien en vendant un vrai produit, seulement en faisant entrer tes potes — qui perdront à leur tour. Un système de Ponzi est distinct : les anciens investisseurs sont rémunérés avec l’argent des nouveaux, sans exiger de recruter. Les deux s’effondrent toujours, mécaniquement, faute de nouveaux entrants.

Et la plus grave, parce qu’elle vise directement les jeunes qui cherchent un job : quelqu’un te propose de « prêter » ton compte bancaire contre une commission — recevoir des virements et en reverser une partie ailleurs. Ça s’appelle devenir une mule financière. Ton compte sert à faire circuler de l’argent volé (c’est du blanchiment), et devant la banque comme devant la loi, le titulaire du compte — toi — risque d’en répondre, dès lors que tu savais ou aurais dû te douter que cet argent était volé. Aucune commission ne vaut ce risque.

Récapitulons. Tu as vu défiler des décors très différents : le faux compte « suspendu », le colis fantôme, la console à moitié prix, le faux conseiller, le trader miracle, le « job » de mule. Mais tu l’as sûrement remarqué : le squelette ne change jamais — une émotion forte, de l’urgence, et une demande inhabituelle (un code, un paiement bizarre, une sortie de plateforme, un secret).

C’est ça, ta vraie protection : inutile de connaître chaque arnaque par cœur, il suffit de reconnaître le squelette. Les arnaques de demain — voix clonées, visages truqués par IA, de plus en plus crédibles — utiliseront exactement les mêmes leviers, parce qu’ils visent le cerveau humain, pas la technologie.

Voici ton plan, en deux listes à garder pour la vie.

Et si, malgré tout, tu te fais avoir un jour ? D’abord : aucune honte. Ces pièges sont conçus par des gens dont c’est le métier à plein temps, et ils tombent souvent pile au mauvais moment — tu attends un colis, tu vends un truc, tu es fatigué. Ça arrive aux adultes les plus prudents.

Ce qui compte, c’est la vitesse de réaction : change les mots de passe concernés, fais opposition sur la carte avec un parent si de l’argent est en jeu, et signale via les bons canaux. Puis parles-en autour de toi — chaque arnaque racontée, c’est une arnaque qui marchera moins bien sur la personne d’à côté. Garde précieusement les ressources ci-dessous : officielles, gratuites, et elles couvrent presque toutes les situations de ce cours.