Le SMS arrive à 11 h 47, un mardi. « Votre colis est en attente de livraison, régularisez les frais de douane : 2,99 €. » Le lien ressemble à s'y méprendre à celui de La Poste. Ma belle-sœur clique. Vingt minutes plus tard, sa banque l'appelle pour lui signaler trois paiements en Espagne. Elle a perdu 1 840 €. Pas parce qu'elle est naïve : parce qu'elle était pressée, qu'elle attendait un vrai colis, et que le message tombait pile dans son contexte.
C'est ça, le cœur du problème. Les arnaques en ligne ne gagnent pas parce que leurs auteurs sont des génies de l'informatique. Elles gagnent parce qu'ils exploitent un état précis : la fatigue, l'urgence, la confiance. Et contre ça, aucune mise à jour de logiciel ne vous sauvera. Ce qui vous sauve, c'est une poignée de réflexes, dont quelques-uns que presque personne ne mentionne.
Points clés à retenir
- Un mot de passe unique par compte et un gestionnaire valent mieux que n'importe quelle gymnastique de mémoire.
- Le vrai danger n'est pas le lien bizarre : c'est le lien crédible reçu au mauvais moment.
- En cas de fraude, l'ordre des actions compte : banque d'abord, signalement ensuite, plainte en dernier.
- La double authentification bloque une grande partie des piratages de comptes, à condition de choisir la bonne méthode.
- Vérifier un expéditeur prend dix secondes. Récupérer un compte piraté prend trois semaines.
Se protéger contre les arnaques en ligne : les 5 conseils qui changent vraiment la donne
On m'a posé cette question des dizaines de fois, sous cette forme exacte : « quels sont les 5 conseils pour se protéger sur Internet ? » La plupart des réponses qu'on trouve répètent les mêmes évidences. Je vais les donner aussi, parce qu'elles restent vraies. Mais je vais surtout vous dire ce qui, dans la pratique, fait basculer la balance.
1. Un gestionnaire de mots de passe, pas un carnet
Franchement, l'époque du « mot de passe fort que vous retenez de tête » est révolue. Vous avez aujourd'hui entre 80 et 150 comptes actifs. Personne ne mémorise 150 chaînes de 16 caractères. Alors soit vous réutilisez le même mot de passe partout, soit vous en avez cinq qui tournent, soit vous trichez avec des variantes du type MonMotDePasse2026!. Les trois sont des failles.
Le déclic, pour moi, c'est quand j'ai compris le vrai risque : le piratage ne se joue pas compte par compte. Il se joue en cascade. Une fuite sur un forum oublié, un vieux site e-commerce, et les identifiants partent dans une base revendue. Les attaquants testent ensuite ces mêmes identifiants sur votre boîte mail. Réussite fréquente. Et votre boîte mail, c'est le passe-partout de tout le reste : elle contient les liens de réinitialisation de votre banque, de vos réseaux, de vos assurances.
Un gestionnaire règle ce problème d'un coup. Vous en mémorisez un seul, long, et il génère les autres. J'ai mis quatre mois à convaincre mon père. Le jour où il a fallu changer 40 mots de passe après un piratage de sa messagerie, il a cédé.
2. La double authentification, mais la bonne version
Activer la double authentification, tout le monde le dit. Ce qu'on ne dit pas assez : le SMS est la version la plus faible. Pas inutile, hein. Mais un attaquant qui arrive à détourner votre carte SIM, ou qui vous soutire le code pendant un appel frauduleux, passe outre.
Privilégiez une application d'authentification, ou mieux, une clé physique pour vos comptes critiques : messagerie principale, banque, coffre-fort de mots de passe. Sur mon compte de messagerie, c'est la clé physique qui m'a évité une intrusion que j'ai vue échouer en direct, une notification à 3 h du matin sur un appareil inconnu.
3. Vérifier l'expéditeur, pas seulement le message
C'est le conseil que je donnerais si je ne devais en garder qu'un. Les gens scrutent le contenu du message. Ils devraient scruter l'adresse et le lien.
Concrètement :
- Survolez le lien sans cliquer, sur ordinateur, pour voir l'URL réelle s'afficher en bas.
- Regardez le domaine, pas le nom affiché. laposte-livraison[.]info n'est pas laposte.fr.
- Méfiez-vous des lettres remplacées : un « rn » qui ressemble à un « m », un « 0 » à la place d'un « o ».
- Un expéditeur institutionnel qui vous écrit depuis une adresse gmail.com : poubelle.
Le point que presque personne ne mentionne : le domaine technique des liens de suivi. Les vraies entreprises de livraison utilisent des sous-domaines propres et cohérents. Une URL de suivi qui pointe vers un hébergeur générique, un domaine à rallonge, ou un raccourcisseur, c'est un drapeau rouge.
4. Mettre à jour, mais pas seulement le téléphone
Les failles de sécurité corrigées par les mises à jour sont réelles et exploitées. Mais on pense toujours au système d'exploitation. On oublie le routeur, la box, les objets connectés, les extensions de navigateur, l'application bancaire elle-même.
J'ai une règle simple. Une fois par trimestre, je fais le tour des appareils connectés à mon réseau domestique. À chaque fois, il y a au moins un logiciel qui n'a pas été mis à jour depuis des mois. Ce n'est pas spectaculaire, mais c'est exactement le genre de négligence qui laisse une porte ouverte.
5. Ralentir, surtout quand on vous presse
Les cinq conseils techniques tiennent sur une page. Celui-ci est le seul qui demande un effort mental, et c'est le plus efficace.
Les arnaques ne vendent pas un produit : elles vendent un état d'urgence. Un compte qui va être suspendu. Un colis qui repart. Un conseiller bancaire qui a détecté une fraude et qui vous demande d'agir maintenant, tout de suite, sans raccrocher. Cette pression, c'est la signature. Un vrai organisme ne vous demande jamais de faire une opération urgente en cachant votre écran à votre entourage.
Les arnaques qui marchent le mieux en ce moment
Les faux conseillers bancaires ont pris une ampleur qu'on sous-estime. Le numéro affiché est celui de votre banque. Le discours est préparé, rassurant, professionnel. On m'a raconté cette scène au moins cinq fois de la même manière : l'appelant explique qu'une opération suspecte a été détectée, propose de « sécuriser » le compte, et demande un code reçu par SMS. Ce code, c'est la validation du virement qu'il effectue pendant l'appel.
Le faux conseiller au placement est l'autre grand classique. Crypto, énergie, métaux précieux. Une plateforme impeccable, des premiers retraits qui fonctionnent pour instaurer la confiance, puis une demande d'augmenter la mise pour « débloquer » un gain. Quand la victime veut retirer, il faut payer une taxe. Puis une autre. La boucle ne s'arrête jamais.
Et il y a les arnaques aux sentiments, qui durent des semaines. Le scénario est long, patient, presque tendre. La demande d'argent arrive tard, toujours justifiée par une urgence plausible.
| Type d'arnaque | Signal d'alerte principal | Réflexe immédiat |
|---|---|---|
| Faux conseiller bancaire | Appel entrant qui vous presse, demande de code par téléphone | Raccrocher, rappeler le numéro officiel de la banque |
| Faux colis / douane | Petit montant à payer en urgence, lien raccourci | Ne pas cliquer, ouvrir le site officiel à la main |
| Faux placement crypto | Rendements anormaux, retraits bloqués | Arrêter tout versement, documenter les échanges |
| Arnaque aux sentiments | Demande d'argent après des semaines de contact | Aucun transfert, quel que soit le prétexte |
Vous êtes victime : l'ordre des actions compte
L'erreur que je vois le plus souvent, c'est de vouloir tout faire en même temps, et de paniquer. L'ordre change le résultat, parfois de plusieurs milliers d'euros.
- Appelez votre banque immédiatement. Pas demain. Elle peut bloquer le virement, faire opposition, lancer une procédure de contestation. Chaque heure compte.
- Changez vos mots de passe depuis un appareil propre, en commençant par votre messagerie principale.
- Signalez sur la plateforme publique de signalement de la cybermalveillance. C'est le point d'entrée recommandé par les autorités, et cela alimente les enquêtes.
- Déposez plainte. Nécessaire pour toute démarche d'indemnisation ou de contestation ultérieure.
- Conservez tout : captures d'écran, numéros, adresses mail, horodatages. Même ce qui vous semble anodin.
Ce qui m'a le plus surpris en accompagnant des proches dans cette situation : la honte. Beaucoup de victimes n'osent pas en parler pendant des jours, ce qui laisse le temps aux attaquants d'exploiter le compte. Si on m'avait dit, plus jeune, qu'on pouvait se faire avoir en toute bonne foi, j'aurais haussé les épaules. Aujourd'hui, je sais que le profil type n'existe pas. J'ai vu des informaticiens se faire piéger.
Questions fréquentes
Comment reconnaître un faux site de paiement ?
Trois signaux se combinent presque toujours. L'URL ne correspond pas exactement à la marque, avec une lettre ou un tiret en trop. La page de paiement demande des informations qu'une vraie banque ne demande jamais sur un site marchand, comme le code complet de votre carte ou votre identifiant bancaire. Enfin, le site affiche des prix anormalement bas et un compte à rebours agressif. Dans le doute, quittez la page et tapez l'adresse officielle à la main.
La double authentification par SMS suffit-elle ?
Elle protège contre une bonne partie des piratages, mais pas contre les attaques par détournement de carte SIM ni contre l'ingénierie sociale pendant un appel. Sur vos comptes les plus sensibles, une application d'authentification ou une clé physique est nettement préférable. Sur les comptes secondaires, le SMS reste un progrès par rapport à rien.
Comment savoir si un appel de ma banque est authentique ?
La règle est simple et sans exception : raccrochez et rappelez le numéro figurant au dos de votre carte bancaire ou sur votre relevé. Une vraie banque ne s'offusquera jamais que vous fassiez cela. Elle ne vous demandera jamais non plus de valider une opération par un code reçu par SMS pendant l'appel. Si on vous demande ce code, c'est terminé : vous n'êtes pas face à votre banque.
L'angle mort dont personne ne parle
On protège son ordinateur, son téléphone, ses mots de passe. On oublie l'humain autour de nous. La majorité des piratages que j'ai vus dans mon entourage sont passés par un proche : un enfant qui installe un jeu douteux, un parent qui clique sur une promotion, une personne âgée qui répond à un faux support technique.
Se protéger contre les arnaques en ligne n'est donc pas qu'une affaire individuelle. C'est aussi une conversation à avoir en famille, sans donner de leçon, en montrant des exemples réels. Ma belle-sœur, celle du SMS à 2,99 €, a depuis mis en place une règle avec son père : aucun paiement ne se fait sans un appel de vérification à l'autre. Depuis, zéro problème.
Alors, la vraie question n'est peut-être pas « comment éviter de me faire avoir ». C'est plutôt : si cela arrivait demain, sauriez-vous exactement quoi faire dans la première heure ? Si la réponse est non, vous savez par où commencer.
