⚠ AVIS — TRADUCTION NON VÉRIFIÉE
Traduit par intelligence artificielle, pas encore relu par un locuteur natif. Ne l'imprimez pas et ne le distribuez pas pour l'instant.
Vous parlez français ? Une heure de votre temps suffit à le relire. Écrivez à [email protected]
(NOTICE — unvalidated AI translation, not reviewed by a native speaker. Please do not print or distribute this yet.)
«Il y a un problème avec votre compte»
C'est l'arnaque la plus signalée par les Américains de plus de soixante ans. Ce n'est pas la plus coûteuse, mais c'est celle qui arrive le plus souvent, et sous le plus grand nombre de déguisements.
Comment elle arrive
Un texto, un courriel ou un message vocal au sujet d'un problème :
- Un débit que vous n'avez pas fait. Répondez OUI ou NON
- Votre compte est bloqué ou suspendu
- Votre mot de passe va expirer
- Un paiement a échoué et votre service va être coupé
- Votre colis n'a pas pu être livré
- Un péage impayé
- Vérifiez vos informations pour conserver vos prestations
- Votre antivirus s'est renouvelé automatiquement pour 499 dollars. Appelez pour annuler
Ils se font passer pour ce que vous avez le plus de chances d'avoir : Amazon, votre banque, Netflix, la poste, Apple, Medicare, Microsoft, votre compagnie d'électricité, PayPal.
Ce qu'ils veulent
Une chose parmi trois, et n'importe laquelle leur convient :
- Votre mot de passe, par un lien vers une fausse page de connexion à l'apparence parfaite
- Votre code de vérification, les six chiffres que votre banque vous envoie
- Un appel venant de vous, qui se transforme en l'une des arnaques plus importantes de ce site
La troisième version est celle qui progresse le plus vite, et la plus sournoise. Il n'y a aucun lien à examiner et aucun faux site à repérer. Juste un numéro de téléphone et une histoire. Les conseils de sécurité qui se résument à «ne cliquez pas sur les liens» ne vous servent à rien ici.
Les formes qu'elle prend
La même arnaque, des véhicules différents. Chaque forme a sa propre manière de paraître inoffensive.
Le faux courriel «vérifiez votre compte»
Le plus ancien, et toujours le plus courant. Un message qui ressemble exactement à celui d'une entreprise que vous utilisez, avec un bouton indiquant Vérifier, Confirmer, Consulter ou Mettre à jour. Le bouton mène à une copie de la vraie page de connexion. Vous tapez votre mot de passe dans la copie, et la copie leur appartient.
La copie est souvent parfaite. Les logos, les polices, le texte du bas, jusqu'au petit lien de désabonnement tout en bas, sont repris tels quels d'un vrai courriel. Qu'une page ait l'air correcte n'est pas une preuve. Avoir l'air correcte est justement tout leur produit.
Le texto
La même chose, en plus court, et plus difficile à examiner parce que l'écran du téléphone cache la plus grande partie de l'adresse. Le colis, le péage et le rappel de produit sont les trois que vous recevrez le plus souvent, et ils ont leur propre page (en anglais).
L'expéditeur usurpé
Le nom que vous voyez n'est pas l'adresse d'où le message est parti. Les logiciels de courrier affichent un nom lisible, et ce nom, c'est l'expéditeur qui le choisit lui-même. «Alerte fraude Chase» peut se poser au-dessus d'une adresse du genre [email protected].
Sur un téléphone, cela compte davantage, parce que le nom lisible est en général tout ce qu'on vous montre. C'est en touchant le nom de l'expéditeur que l'adresse en dessous apparaît, et presque personne ne le touche.
Le lien face à la pièce jointe
Un lien vous emmène quelque part. Une pièce jointe vous apporte quelque chose. Les deux sont utilisés, et la pièce jointe est celle à laquelle les gens s'attendent le moins.
Elle arrive sous forme de facture, de reçu, de fax, de message vocal, d'étiquette d'expédition ou d'avis de tribunal, en PDF, en document Word ou en fichier ZIP. Certaines pièces jointes contiennent simplement le même faux lien à l'intérieur, ce qui fait passer le message devant les filtres qui n'examinent que les liens. D'autres vous demandent d'activer la modification ou d'activer le contenu à l'ouverture, et c'est ce deuxième clic qui installe quelque chose.
Vous n'avez pas commandé une facture que vous n'attendiez pas. Un document qui arrive de nulle part se traite comme un lien : laissez-le fermé, joignez l'entreprise par vos propres moyens, et demandez si elle vous a envoyé quelque chose.
Le code QR
Plus récent, et il fonctionne parce qu'un carré de points ne vous donne rien à lire. Il n'y a aucune adresse à scruter, donc rien d'anormal à remarquer.
On les trouve sous forme d'autocollants collés par-dessus le vrai code d'un horodateur ou d'une borne de recharge, imprimés sur des prospectus et de faux avis de coupure, et à l'intérieur des courriels sous forme d'image, ce qui leur permet d'échapper aux logiciels qui n'examinent que les liens.
Votre téléphone vous montre en général l'adresse avant d'ouvrir quoi que ce soit. Lisez cette adresse avant d'appuyer sur Ouvrir. Si ce n'est pas l'entreprise que vous attendiez, fermez. Et un code arrivé dans un message que vous n'avez pas demandé n'est rien d'autre qu'un lien dans un message que vous n'avez pas demandé. Ne l'utilisez pas du tout.
L'alerte «était-ce vous ?»
La plus rusée de toutes, parce qu'elle emprunte la forme même du message censé vous protéger.
«Alerte de sécurité : votre compte a été consulté depuis un nouvel appareil à Dallas, au Texas. Si ce n'était pas vous, sécurisez votre compte ici.»
Il ne s'est rien passé. Il n'y a eu aucune connexion. L'alarme est l'appât, et «Non, ce n'était pas moi» est le bouton qu'ils espèrent, parce qu'il mène à une page de connexion qui est la leur.
La même ruse arrive sous forme de réinitialisation de mot de passe que vous n'avez jamais demandée, et sous forme de demande de vérification sur votre téléphone qui continue de vibrer jusqu'à ce que vous acceptiez simplement pour qu'elle s'arrête.
N'approuvez jamais une demande que vous n'avez pas lancée vous-même. Une réinitialisation que vous n'avez pas demandée n'est pas une tâche, c'est un avis. Ignorez le message, ouvrez le compte comme vous l'ouvrez toujours, et regardez vous-même.
Les signes
Chacun d'eux est une raison de ralentir et de regarder. Aucun n'est une preuve, dans un sens comme dans l'autre. Un message qui porte trois de ces signes peut très bien être votre vraie banque un mauvais matin, et un message qui n'en porte aucun peut très bien être une arnaque. Un signe est un signal pour aller vérifier vous-même. Ce n'est jamais un verdict, et ce n'est jamais une raison de vous sentir bête d'avoir cru quelque chose de bien fait.
Le lien est faux, et l'erreur est minuscule. Vrai : chase.com. Faux : chase-secure-alerts.com, chase.verify-account.net, chasebank-support.co.
Meilleure règle encore : n'examinez pas les liens du tout. Ne devenez pas expert en détection de faux. Ne vous en servez simplement jamais. Tapez l'adresse vous-même, ou utilisez votre propre favori, ou l'application de votre banque.
La formule d'appel est générique. «Cher client», «Cher titulaire». Votre banque connaît votre nom.
De l'urgence avec une échéance. 24 heures. Immédiatement. Sinon votre compte sera fermé.
De petites erreurs. Une grammaire bizarre, une espace étrange avant la ponctuation, un logo d'une couleur légèrement fausse. Attention : les bons n'en ont plus aucune. L'intelligence artificielle écrit proprement désormais. L'absence d'erreurs ne prouve rien.
Le seul chemin possible passe par l'intérieur du message. Toutes les voies qu'il vous propose, le bouton, le numéro, le code, la pièce jointe, vivent à l'intérieur du message lui-même. Les vraies entreprises sont ravies que vous les joigniez par vos propres moyens. Un message qui a besoin que vous restiez à l'intérieur de lui est en train de vous dire quelque chose.
Il est arrivé de nulle part. Vous n'attendiez aucun colis. Vous ne prenez pas cette route à péage. Vous n'avez pas cet abonnement. Même s'il vous arrive de l'avoir : ils en envoient des milliers et certains tombent juste.
Comment regarder sans rien toucher
Vous n'avez pas besoin de cette partie. La règle plus bas règle tous les cas sans aucun examen. Mais les gens aiment regarder, et regarder est sans danger tant que vous ne touchez jamais.
Sur un ordinateur, survolez. Posez le pointeur sur le lien sans cliquer. L'adresse réelle apparaît dans le coin inférieur de la fenêtre, ou dans une petite boîte à côté du pointeur.
Sur un téléphone, appuyez longuement. Gardez le doigt sur le lien une seconde au lieu d'appuyer. Un panneau s'ouvre en affichant l'adresse complète, avec une option Copier et une option Annuler. Lisez, puis Annuler.
Pour voir le vrai expéditeur, touchez le nom de l'expéditeur. Le nom lisible s'ouvre et montre l'adresse réelle en dessous.
Lisez une adresse par la droite, pas par la gauche. Trouvez la première barre oblique seule. Les deux mots juste avant elle sont le propriétaire de la page, et rien d'autre :
- chase.com/login, c'est Chase
- secure.chase.com/alerts, c'est Chase
- chase.secure-login.net/verify, c'est secure-login.net, pas Chase
- chase-com.info/account, c'est chase-com.info, pas Chase
Tout ce qui se trouve à gauche de ces deux mots peut raconter absolument n'importe quoi. C'est là toute la ruse, et c'est pour cela que les faux se lisent si bien.
Maintenant, rangez tout cela. Savoir examiner un lien est un tour de salon. Ne jamais s'en servir est une défense. Ceux qui se font avoir ne sont pas ceux qui n'auraient pas pu voir. Ce sont ceux qui étaient fatigués, occupés ou pressés, et qui y ont consacré une seconde au lieu de cinq.
Que faire
N'utilisez jamais le lien. N'utilisez jamais le numéro du message.
À la place :
- Ouvrez l'application de votre banque, ou tapez l'adresse que vous connaissez déjà
- Appelez le numéro au dos de votre carte
- Connectez-vous comme vous vous connectez toujours
Si l'alerte est vraie, elle vous attendra à l'intérieur de votre compte. S'il n'y a rien, c'est qu'il n'y avait rien.
Ne lisez jamais un code de vérification à qui que ce soit. Votre banque l'envoie pour tenir les autres à l'écart. Aucun organisme légitime ne vous demandera jamais de le dire à voix haute ni de le taper dans une conversation. Celui qui le demande se tient devant la porte de votre banque et essaie de vous faire lui remettre la clé.
Ne répondez pas STOP à un texto d'arnaque. Cela confirme qu'une vraie personne lit ce numéro. Supprimez-le, ou signalez-le en le transférant au 7726 (SPAM), gratuit chez tous les opérateurs américains.
Les trois étapes, appliquées à un message
Ce site a une seule méthode, et elle fonctionne ici exactement comme pour un appel téléphonique.
Cherchez vous-même.
Pas le lien. Pas le numéro du message. Pas l'adresse dans la signature. Ouvrez l'application que vous avez déjà, ou tapez l'adresse que vous connaissez déjà, ou servez-vous du numéro au dos de votre carte.
Joignez l'entreprise vous-même.
Fermez d'abord le message, puis prenez contact par vos propres moyens, et demandez clairement : «J'ai reçu un message disant qu'il y a un problème avec mon compte. Est-ce qu'il vient de vous ?» Si l'alerte est vraie, elle vous attendra à l'intérieur de votre compte. S'il n'y a rien, c'est qu'il n'y avait rien.
Attendez un jour.
Presque rien à l'intérieur d'un vrai compte n'exige une réponse ce soir. Un vrai blocage pour fraude, une vraie facture en retard et un vrai rappel de produit survivent tous à une nuit de sommeil. L'échéance annoncée dans le message est la seule partie dont on est certain qu'elle est fausse.
Le message veut que les trois étapes se déroulent à l'intérieur de lui : son lien, son numéro, son horloge. En sortir une seule suffit à y mettre fin.
Si vous avez cliqué et saisi votre mot de passe
- Changez ce mot de passe immédiatement, sur le vrai site, en tapant l'adresse vous-même
- Si vous utilisez ce mot de passe ailleurs, changez-le là aussi. C'est là le vrai dégât. Un seul mot de passe réutilisé ouvre toute une vie.
- Changez d'abord le mot de passe de votre courriel si c'était le même
- Activez la double authentification partout où elle est proposée
- Surveillez vos relevés pendant trois mois
Vous n'avez pas d'ennuis. Vous avez tapé quelque chose dans une case. Des millions de gens le font chaque année, y compris des gens dont le métier est la sécurité informatique.
Si vous avez ouvert une pièce jointe
Ouvrir le fichier n'est généralement pas le moment du dégât. Le dégât vient de ce qu'il vous a demandé de faire ensuite.
- Si vous l'avez ouvert, refermé, et que rien d'autre ne s'est produit, vous allez très probablement bien. Supprimez-le.
- Si vous avez activé la modification, activé le contenu, autorisé un téléchargement, ou si un programme s'est installé, lancez une analyse avec le logiciel de sécurité déjà présent sur votre ordinateur et faites regarder par quelqu'un de confiance.
- Si vous avez tapé un mot de passe pour voir le document, traitez cela exactement comme la section ci-dessus. Changez ce mot de passe, et changez-le partout où vous l'avez réutilisé.
Le changement qui fait que tout cela cesse d'avoir de l'importance
Réutiliser le même mot de passe partout, voilà pourquoi un seul mot de passe volé devient dix comptes volés. Un gestionnaire de mots de passe règle cela définitivement : il invente un mot de passe différent et plus difficile pour chaque site et les retient tous, si bien que vous n'avez plus qu'à en retenir un seul.
Vous en avez très probablement déjà un, gratuit, dans un appareil qui vous appartient. Apple («Mots de passe» sur iPhone et Mac), Google («Gestionnaire de mots de passe» dans Chrome et Android) et Microsoft (dans Windows et Edge) en comprennent tous un. Vous n'avez rien à acheter ni à installer. Demandez à quelqu'un de confiance de vous aider à l'activer et à y transférer vos mots de passe les plus importants, le courriel et la banque d'abord.
L'habitude qui met fin à toute cette catégorie
N'utilisez jamais un lien ni un numéro qui est venu à vous. Joignez l'entreprise par vos propres moyens, à chaque fois, sans exception.
Ce n'est pas de la vigilance et cela ne vous demande d'examiner quoi que ce soit. C'est une habitude, et une fois que vous l'avez, toute cette catégorie d'arnaque cesse simplement de fonctionner sur vous : la version d'aujourd'hui et toutes celles qu'ils inventeront ensuite.
À lire aussi : Les trois étapes · Toutes les pages en anglais