Déjouer les arnaques en ligne

Première idée reçue à casser : se faire arnaquer n’a rien à voir avec l’intelligence. Des ingénieurs, des profs, des gens très prudents se font piéger. Pourquoi ? Parce qu’une arnaque ne s’attaque pas à ton cerveau logique. Elle s’attaque à tes émotions.

Les arnaqueurs ne sont pas des génies du code : ce sont des pros de la manipulation. Leur métier, c’est de te faire ressentir quelque chose de fort — peur, excitation, urgence — pour court-circuiter ta réflexion. Quand tu crois que ton compte Insta va sauter dans deux heures, tu ne lis plus les détails, tu cliques. La bonne nouvelle : leurs techniques sont toujours les mêmes. Le décor change (colis, banque, concours, crypto), le squelette ne bouge pas. Une fois que tu le connais, tu les vois venir de loin.

Le phishing (« hameçonnage » en français) est l’arnaque la plus répandue en ligne. Le principe : un message déguisé — SMS, e-mail, DM — imite un expéditeur de confiance pour te faire cliquer sur un lien. Derrière : une fausse page, copie presque parfaite de la vraie. Tu tapes ton mot de passe ou ton numéro de carte… et tu viens de le donner directement à l’arnaqueur.

Les déguisements changent tout le temps : colis en attente, amende à régler, remboursement à valider, compte de jeu à sécuriser, abonnement qui expire. Mais la cible est toujours la même : tes identifiants, tes coordonnées bancaires, ou les codes de validation que tu reçois par SMS.

Trois réflexes suffisent à démasquer la quasi-totalité des phishings. Ils prennent trente secondes.

1. L’expéditeur. Regarde l’adresse exacte, pas le nom affiché. « Chronopost » peut s’afficher en gros alors que l’adresse derrière n’a rien à voir. Sur un SMS, un simple numéro de mobile qui se fait passer pour une entreprise, c’est déjà un signal.

2. Le lien. Le geste le plus sûr : ne clique pas sur le lien envoyé, ouvre toi-même l’application ou tape l’adresse officielle. Si tu veux quand même l’examiner avant de cliquer (appui long sur mobile, survol avec la souris sur ordinateur), repère le nom d’hôte juste après « https:// » — et après un éventuel « @ » s’il y en a un — jusqu’au premier « / ». « chronopost.fr/suivi » appartient à Chronopost. « chronopost.fr.suivi-colis.net/paiement » appartient à… suivi-colis.net, un site qui a juste glissé « chronopost.fr » dans son nom pour te tromper. Cette lecture aide, mais elle ne suffit pas toujours à elle seule : le réflexe le plus fiable reste de ne jamais suivre un lien reçu.

3. La demande. Aucune banque, aucune plateforme sérieuse ne te réclame ton mot de passe, ton code de carte ou un code reçu par SMS via un message. Jamais. Cette demande suffit à elle seule à classer le message : arnaque.

Et si tu as déjà cliqué ? Pas de panique : ça arrive, et agir vite réduit les conséquences et augmente tes chances de limiter les dégâts, sans garantie totale.

Si tu as entré un mot de passe : change-le tout de suite, sur ce site et partout où tu utilises le même, puis active la double authentification. Si des coordonnées bancaires sont en jeu : préviens immédiatement le parent dont c’est la carte, pour faire opposition auprès de la banque.

Ensuite, signale. Un SMS frauduleux se transfère gratuitement au 33700 chez les opérateurs partenaires (ailleurs, le coût d’un SMS classique peut s’appliquer). Pour un e-mail, un compte piraté ou n’importe quel doute, le site public cybermalveillance.gouv.fr te pose quelques questions et te guide pas à pas. C’est fait pour ça, et c’est gratuit.

Vinted, Leboncoin, Marketplace : acheter et vendre d’occasion, c’est malin et plutôt sûr… tant que tu respectes une règle d’or. La voici : tout ce qui te fait sortir de la plateforme doit t’alerter.

La messagerie intégrée, le paiement sécurisé, le système d’évaluations : tout ça existe pour te protéger, et l’arnaqueur le sait. Son premier objectif est donc de t’emmener ailleurs — « continue sur WhatsApp », « paie par virement », « scanne ce QR code ». Une fois hors de la plateforme, plus aucune protection : l’argent part, l’objet n’arrive jamais, le compte disparaît. Et ça marche dans les deux sens : il existe des faux vendeurs, mais aussi des faux acheteurs.

Mets-toi maintenant côté vendeur, parce que les arnaques y sont tout aussi rodées. Le grand classique : le faux paiement en attente. Tu vends une veste, un « acheteur » prétend avoir payé et t’envoie une capture ou un faux e-mail imitant la plateforme : « L’argent est bloqué tant que tu n’as pas validé tes infos », ou pire, « paie d’abord des frais de déblocage ». Variante : un lien « pour recevoir ton argent » qui mène à une fausse page réclamant ton numéro de carte.

Grave ça dans ta mémoire : recevoir de l’argent ne demande jamais d’entrer un numéro de carte. Ta carte sert à payer, pas à encaisser. Sur une vraie plateforme, le paiement arrive tout seul, sans que tu remplisses quoi que ce soit. Un mot enfin sur tes droits, parce qu’ils dépendent du vendeur — regarde le schéma.

Les réseaux sociaux sont le terrain de chasse préféré des arnaqueurs : tout le monde y est, la confiance s’y fabrique vite, et un faux compte se crée en deux minutes.

Première famille : les faux concours. Un compte copie une marque ou un influenceur — même photo, pseudo presque identique avec un point ou un chiffre en plus. Il t’écrit : « Félicitations, tu as gagné ! » Pour « recevoir ton lot », il te demande de payer des « frais de livraison » ou de remplir un formulaire avec tes données, parfois ta carte. La règle est simple : un vrai concours ne te demande jamais de payer pour recevoir un lot. Avant de croire un message de gain, vérifie le règlement du concours, le compte exact qui t’écrit (certification, ancienneté, abonnés, publications) et surtout l’absence de toute demande de paiement — c’est ça le vrai signal, plus que le simple fait de recevoir un DM.

Deuxième famille, la plus dangereuse : les promesses de gains faciles. « Gagne 500 € par semaine depuis ton téléphone », « je transforme 50 € en 500 € en sept jours », captures de comptes bien remplis, « mentors » autoproclamés, groupes Telegram « privés ». La mécanique est huilée : on te montre des gains (fabriqués en quelques minutes avec un éditeur d’images), on te fait déposer une petite somme, parfois on te laisse même « gagner » un peu au début. Puis, le jour où tu veux retirer : frais surprise, compte bloqué, interlocuteur envolé.

Deux variantes à connaître. La pyramide : on te promet des gains si tu recrutes d’autres personnes — tu ne gagnes rien en vendant quoi que ce soit, seulement en faisant entrer tes potes, qui perdront à leur tour. Et la plus grave : quelqu’un te propose de « prêter » ton compte bancaire contre une commission. Ça s’appelle être une mule financière : ton compte sert à faire circuler de l’argent volé, et tu risques d’en répondre devant la loi dès lors que tu savais — ou aurais dû te douter — que cet argent était volé. Aucune commission ne vaut ce risque.

Récapitulons. Tu as vu défiler beaucoup de scénarios : le faux support Instagram, le colis fantôme, la console à moitié prix, le faux concours, le trader miracle. Des décors très différents — mais le squelette ne change jamais : une émotion forte, de l’urgence, et une demande inhabituelle (un code, un paiement bizarre, une sortie de plateforme, un secret).

C’est ça, ta vraie protection : tu n’as pas besoin de connaître chaque arnaque par cœur, juste de reconnaître le squelette. Les arnaques de demain — avec des voix clonées et des visages truqués de plus en plus crédibles — utiliseront exactement les mêmes leviers, parce qu’ils visent le cerveau humain, pas la technologie.

Et si malgré tout tu te fais avoir un jour ? D’abord : aucune honte. Ces pièges sont conçus par des gens dont c’est le métier à plein temps, et ils tombent parfois pile au moment où tu es vulnérable. Ce qui compte, c’est la vitesse de réaction : changer les mots de passe concernés, faire opposition sur la carte avec un parent si de l’argent est en jeu, et signaler via les bons canaux. Puis en parler autour de toi — chaque arnaque racontée, c’est une arnaque qui marchera moins bien sur la personne d’à côté.