Hameçonnage : lire un message en dix secondes

En 2 h 45, tu apprends à trancher sur un message douteux en dix secondes, sur cinq indices que tu vérifies toi-même — sans logiciel et sans rien connaître à l'informatique.

Durée de la séance : 2h 45 · Module 3 — Reconnaître la manipulation

À jour au 20 août 2026

Ici, on se tutoie : tu es dans le cours, pas sur la brochure. Cette séance est en accès libre, sans compte. Elle est complète : tu n'auras pas à t'inscrire pour lire la fin.

Ce que tu sauras faire à la fin

• lire un message suspect en moins de dix secondes, sur cinq indices dans un ordre fixe
• voir l'adresse réelle d'un lien sans cliquer dessus, sur ordinateur et sur téléphone
• lire un nom de domaine, c'est-à-dire savoir quel site se cache derrière une adresse
• reconnaître les six arnaques par message les plus courantes en France
• arrêter de te fier au cadenas, au logo et à l'absence de fautes d'orthographe

1. Le problème, montré

Tu l'as reçu. Tout le monde l'a reçu. Le voici :

Votre colis n a pas pu etre livre en raison de frais de
douane impayes (1,95 EUR).
Merci de regulariser sous 48h pour eviter le retour a
l expediteur :
http://suivi-colis-fr.livraison-track.xyz/r/2f9k

[CAPTURE 1] — Le faux SMS de livraison tel qu'il s'affiche sur un téléphone. Cadrage serré sur la bulle du message et le lien, numéro d'expéditeur masqué.

Demande-toi ce que tu aurais fait un mardi soir à 19 h, avec deux commandes en cours et le dîner à préparer. Ce message fonctionne sur des gens très prudents, et il fonctionne pour six raisons.

1. Il ne demande presque rien. 1,95 €, trop peu pour aller vérifier. Sauf que ce ne sont pas les 1,95 € qu'on veut : ce sont les seize chiffres de ta carte.

2. Il tombe juste. L'expéditeur ignore si tu attends un colis. Il envoie en masse, et il tombe juste assez souvent.

3. Il donne une raison plausible. Les frais de douane existent. Le motif est administratif et banal, donc rien ne déclenche la méfiance.

4. Il pose une horloge. « Sous 48 h. » Assez court pour que tu traites ça maintenant, au moment où tu es le moins attentif.

5. Il menace d'une perte, pas d'une punition. Le colis repart : tu perds quelque chose que tu as déjà. C'est un levier plus puissant qu'une amende, comme le montre la fiche 07.

6. Il n'a aucune faute grossière. Les accents manquent comme dans beaucoup de messages d'entreprise. Ça ne prouve rien, et on y revient en section 8.

Le seul indice qui tranche vraiment : ce message te demande de payer, par un lien, tout de suite. Ni le texte, ni les fautes, ni le logo n'ont servi. Tu as regardé ce qu'on te demande de faire.

Le geste qui neutralise tout ça tient en une phrase : tu n'utilises jamais le lien du message. Tu ouvres l'application ou le site du transporteur toi-même, et tu regardes ton suivi de commande. S'il y a des frais, ils y sont. Douze secondes, montre en main.

Ce que ce message vise, Alex, ce n'est pas ton argent immédiat. C'est ta page de paiement : les seize chiffres, la date, le code au dos, et souvent le code de validation envoyé ensuite par ta banque. Une fois ces éléments donnés, l'achat qui part n'est pas de 1,95 €.

Tu n'as rien à te reprocher si tu as déjà cliqué. Ce n'est pas de la naïveté, c'est de la vitesse : l'arnaque est construite pour attraper les gens pressés. Et si tu as saisi quelque chose, les fiches 12 et 17 traitent de la suite, remboursement compris.

2. Pourquoi cinq indices, et pourquoi dans cet ordre

L'hameçonnage — en anglais phishing, ça veut dire un message qui se fait passer pour quelqu'un d'autre afin de te faire agir — est la première menace numérique des particuliers en France. Selon le top 10 des cybermalveillances visant les particuliers, publié le 22 avril 2026 par Cybermalveillance.gouv.fr, il représente 32,9 % des demandes d'assistance des particuliers, en hausse de 71 % en un an. Un appel à l'aide sur trois. Le même dispositif a traité 504 810 demandes en 2025, soit 20 % de plus qu'en 2024 — rapport d'activité publié le 26 mars 2026.

La plupart des conseils publiés sur le sujet sont une liste de vingt points, sans ordre. C'est inutilisable un mardi soir. On fait l'inverse : cinq indices, dans un ordre fixe, du plus discriminant au moins discriminant. « Discriminant » veut dire : qui permet de trancher tout seul.

Douze secondes en additionnant tout. En pratique, les deux premiers indices règlent la grande majorité des cas.

Une précision honnête : ces cinq indices ne sont pas une liste officielle. C'est une méthode de lecture, bâtie sur les mécaniques que décrivent les organismes publics. Ce qui est officiel ici, ce sont les chiffres et les faits, cités avec leur date.

3. Indice n° 1 — ce qu'on te demande de FAIRE

Le plus important des cinq. Si tu ne devais en retenir qu'un, c'est celui-là.

Arrête de te demander si le message est vrai. Demande-toi ce qu'il attend de toi. Un message frauduleux a toujours un objectif d'action : il faut que tu fasses quelque chose, sinon l'attaquant n'a rien.

Ces quatre demandes couvrent l'écrasante majorité des messages frauduleux. Un message qui t'informe sans rien attendre de toi n'a presque aucun intérêt pour un attaquant.

Le cas du remboursement est le plus retors. « Vous avez droit à un remboursement de 47,80 €, cliquez pour en bénéficier. » On ne te demande pas de payer : on te promet de l'argent. Sauf que pour te rembourser, on réclame… ta carte. Un remboursement ne réclame jamais les données de ta carte. Cette phrase sert dix fois par an.

Le geste qui neutralise l'indice n° 1 : la demande, tu l'exécutes ailleurs. Tu ouvres toi-même l'application ou le site concerné. Si la demande est réelle, elle est dans ton espace personnel. Sinon, elle n'existe pas.

4. Indice n° 2 — l'adresse réelle du lien, et comment la voir sans cliquer

C'est le geste technique le plus rentable de toute cette formation. Quatre secondes, appris en une fois, utile pendant vingt ans. Deux temps : faire apparaître l'adresse, puis la lire.

Sur ordinateur

Tu poses le pointeur de la souris sur le lien, sans cliquer, et tu ne bouges plus. Après une demi-seconde, l'adresse complète s'affiche — en général dans un petit bandeau en bas à gauche de la fenêtre, parfois dans une bulle près du pointeur. Cette zone s'appelle la barre d'état. Son emplacement change d'un navigateur à l'autre ; la fonction, elle, ne change jamais.

[CAPTURE 2] — Le pointeur posé sur un lien, l'adresse complète visible dans la barre d'état. Cadrage sur le lien et sur le bandeau uniquement.

Le texte d'un lien et sa destination sont deux choses différentes : un lien peut afficher www.la-poste.fr et conduire ailleurs. Tu ne lis plus ce qui est écrit, tu lis où ça va.

Sur téléphone

Il n'y a pas de souris. Le geste équivalent, c'est l'appui long : tu poses le doigt sur le lien et tu le laisses posé une seconde, sans relâcher. Un menu apparaît, l'adresse complète s'affiche en haut, tu la lis, puis tu fermes le menu en appuyant à côté.

• L'appui long n'ouvre pas le lien. C'est un appui bref qui l'ouvre. Tant que ton doigt reste posé, rien ne part.

• L'adresse est parfois raccourcie, avec des points de suspension au milieu. La partie qui t'intéresse est au début, et elle reste visible.

[CAPTURE 3] — Le menu d'appui long sur un lien dans une application de messages, adresse complète visible en haut. Cadrage serré sur l'en-tête du menu.

Ce geste marche dans les SMS, les messageries, les courriels et les applications. Si tu ne retiens qu'une manipulation de cette séance : appui long, je lis, je ferme.

Lire un nom de domaine : la règle de la première barre oblique

Ce qui compte, c'est ce qui se trouve juste avant la première barre oblique isolée — le caractère /. Ce qui vient après ne dit rien du propriétaire du site. Et dans ce qui vient avant, le vrai nom est à la fin.

https://www.laposte.fr/suivre-un-envoi
https://laposte.fr.suivi-colis.xyz/reglement
https://laposte-fr-livraison.xyz/paiement

• Première. Avant le premier / : www.laposte.fr. Dernier morceau fr, celui d'avant laposte. Le site est laposte.fr. C'est cohérent.

• Deuxième. Avant le premier / : laposte.fr.suivi-colis.xyz. Le site est suivi-colis.xyz. Le « laposte.fr » du début est une décoration : n'importe qui peut écrire n'importe quoi devant son propre nom de domaine.

• Troisième. Avant le premier / : laposte-fr-livraison.xyz. Un seul point, donc un seul nom. Les tirets ne séparent rien : ils font partie du nom.

La règle pratique : lis de droite à gauche. Repère le premier /, recule d'un cran, prends les deux morceaux séparés par un point juste avant lui. C'est le vrai nom du site. Le texte affiché du lien, le début de l'adresse et tout ce qui suit le / sont choisis librement par l'expéditeur : ils ne prouvent rien.

[CAPTURE 4] — Schéma d'une adresse annotée : première barre oblique surlignée, les deux morceaux qui comptent encadrés, le décor grisé.

Une précision honnête : certaines organisations utilisent des adresses de campagne qui ne ressemblent pas à leur nom. Une adresse inconnue n'est donc pas une preuve de fraude — c'est une raison de ne pas cliquer et d'aller vérifier ailleurs.

5. Indice n° 3 — le canal utilisé

Chaque organisme a ses habitudes de contact, et elles sont stables. Un message qui arrive par un canal inhabituel est suspect avant même qu'on lise son contenu.

Le fait le plus utile de cette section : l'ANTAI, l'agence qui gère les avis de contravention en France, indique publiquement, sur sa page consacrée aux SMS, courriels et sites frauduleux, qu'elle ne réclame jamais de paiement par SMS avec un lien. Ce seul point élimine une famille entière d'arnaques.

La règle qui résume tout : une administration ou une banque ne t'envoie pas de lien de paiement par SMS. Elle te demande d'aller sur ton espace, un endroit que tu connais déjà.

Attention à un piège fréquent : un faux SMS peut apparaître dans le même fil de discussion que les vrais messages d'une marque, sous le même nom d'expéditeur. Ce nom est déclaré, pas vérifié, et le regroupement vient de lui. Le fil de conversation ne prouve rien. Même chose au téléphone : l'usurpation de numéro progresse de +517 % en un an selon le top 10 du 22 avril 2026 de Cybermalveillance.gouv.fr, et c'est le sujet de la fiche 09.

6. Indice n° 4 — la pression temporelle

Cherche l'horloge. Elle est presque toujours là. « Sous 48 h. » « Votre compte sera suspendu. » « Dernier rappel. » « Avant ce soir minuit. »

Pourquoi cette horloge est indispensable à l'attaquant : sans elle, tu remets à demain. Et demain, tu vérifies. Le délai n'est pas là pour t'effrayer, il est là pour t'empêcher de vérifier. Tu ne cherches donc pas une émotion : tu cherches une contrainte de temps.

Trois formes à reconnaître :

• Le compte à rebours explicite. Une durée chiffrée et courte. La plus fréquente.

• La menace de perte. Le colis repart, le remboursement expire, la place est donnée à quelqu'un d'autre.

• L'escalade. « Deuxième rappel », « dernier avertissement » : on simule un dossier déjà en cours, que tu aurais laissé traîner.

Le geste qui neutralise l'indice n° 4 est presque un jeu : quand tu vois une horloge, fais le contraire de ce qu'elle demande — attends. Pose le téléphone, et va vérifier par ton propre canal dans dix minutes. Aucune administration française ne clôture un dossier pour dix minutes : le vrai délai, quand il existe, se compte en jours, et il est écrit sur ton espace personnel.

7. Indice n° 5 — la cohérence avec ce que tu attendais vraiment

Dernier indice, et le plus personnel : est-ce que ce message correspond à quelque chose que tu attendais ? Trois questions, dans cet ordre.

1. Ai-je vraiment une commande en cours chez ce transporteur ? Pas « une commande » : celle-là, chez celui-là.

2. Suis-je vraiment client de cet organisme ? Un message de la banque X quand tu n'y es pas client tranche en une seconde.

3. Ce message correspond-il à une démarche que j'ai lancée moi-même ? Un remboursement que tu n'as pas demandé, un colis que tu n'as pas commandé, une réinitialisation de mot de passe que tu n'as pas déclenchée : trois signaux.

Le troisième cas mérite une réponse précise. Si tu reçois un message de réinitialisation de mot de passe que tu n'as pas demandé, ne clique pas sur le lien pour « annuler ». Va sur le site concerné par tes propres moyens et change ton mot de passe depuis ton compte. Le message est peut-être authentique — et il signifie alors que quelqu'un essaie d'entrer.

Cet indice a une limite : l'attaquant peut connaître des choses sur toi, ton nom, ta ville, parfois un achat récent. Ces éléments viennent des violations de données, 6,6 % des demandes d'assistance des particuliers et +107 % en un an, toujours selon le top 10 du 22 avril 2026. Un message qui t'appelle par ton nom n'est pas plus fiable : il est mieux renseigné. La fiche 02 traite de ce qui circule déjà sur toi.

8. Ce qui ne prouve rien

Voici les quatre repères qu'on a enseignés aux gens il y a dix ans, et qui ne valent plus. Aujourd'hui, des personnes se font avoir parce qu'elles les appliquent correctement.

Le cadenas et le « https ». Le cadenas affiché à côté d'une adresse signifie une seule chose : la liaison entre ton appareil et le site est chiffrée, donc illisible par quelqu'un qui l'intercepterait. Il ne dit rien de l'honnêteté du site. Un site frauduleux peut avoir un cadenas, et c'est devenu la norme : le certificat nécessaire est gratuit et automatique. Le cadenas dit que le tuyau est fermé. Il ne dit pas qui est au bout du tuyau.

Le logo et la mise en page. Un logo se copie en trois secondes : il est public. Un message frauduleux identique à un message authentique est le cas courant, pas l'exception.

Le nom de l'expéditeur. Le nom affiché en tête d'un SMS est déclaré, pas vérifié. Celui d'un courriel est libre lui aussi, et le numéro qui s'affiche lors d'un appel peut être usurpé. L'expéditeur affiché, c'est l'étiquette sur l'enveloppe. N'importe qui peut l'écrire.

L'absence de fautes d'orthographe. Le repère le plus dépassé de tous. « Les arnaques sont pleines de fautes » a été vrai, ça ne l'est plus : les outils de rédaction automatique produisent un français correct sans effort. Un message bien écrit n'est pas un message légitime.

Tu remplaces quatre impressions par cinq vérifications.

9. Les six grands classiques français, et ce qui les trahit

1. Le faux avis de contravention, qui usurpe l'ANTAI. Une amende, avec une majoration imminente. Ce qui le trahit : l'ANTAI ne réclame jamais de paiement par SMS avec un lien, elle le dit elle-même. Le geste : le site officiel des amendes, ouvert par toi, avec ton avis en main.

2. La fausse Assurance maladie. « Votre carte Vitale arrive à expiration », « confirmez vos coordonnées ». On vise des données très personnelles, parfois un IBAN. Ce qui le trahit : la carte Vitale n'expire pas comme une carte bancaire. Le geste : ton compte d'assuré, ouvert par toi-même.

3. Le faux compte de formation. « Vos droits vont être perdus », « vos heures expirent le 31 ». On vise un identifiant officiel et un numéro de sécurité sociale. Ce qui le trahit : le démarchage commercial sur ce dispositif est interdit. Le geste : le site officiel, à ton initiative.

4. Le faux colis. Le cas de la section 1 : frais de douane, frais de réexpédition, créneau à confirmer. Ce qui le trahit : un vrai transporteur ne t'envoie pas payer une somme dérisoire par un lien. Le geste : ton suivi de commande, chez le marchand.

5. Les faux impôts. « Il vous reste un impayé », ou « vous avez un remboursement à percevoir ». La seconde variante marche mieux, parce qu'elle fait plaisir. Ce qui le trahit : l'administration fiscale ne demande pas tes coordonnées bancaires par un lien reçu par message. Le geste : ton espace particulier et sa messagerie sécurisée.

6. Le faux remboursement, toutes marques confondues. Fournisseur d'énergie, opérateur, mutuelle, site marchand : un trop-perçu à te reverser. Ce qui le trahit : on te demande ta carte pour te donner de l'argent.

10. Le QR code piégé : ce qu'il est, et la place qu'il occupe vraiment

Le « quishing », mot fabriqué à partir de QR code et de phishing, désigne l'hameçonnage par QR code : un carré noir et blanc qui conduit vers une fausse page une fois scanné.

Ce que dit la source officielle française. Cybermalveillance.gouv.fr, sur sa page consacrée au sujet mise à jour le 10 août 2026, écrit que « leur développement reste toutefois encore marginal », et donne trois raisons : il faut un second appareil, donc une étape de plus qui fait chuter le nombre de personnes qui vont au bout ; la portée d'un QR code physique est faible, quelques dizaines de passants là où un SMS part par centaines de milliers ; et la rentabilité est médiocre pour l'attaquant, à cause des deux premiers points.

Tu liras beaucoup d'articles qui disent le contraire, souvent publiés par des gens qui vendent quelque chose. Ici, on cite la source française de référence avec sa date, et on en tire la conséquence : ce n'est pas là qu'il faut mettre ton attention.

Ce qui reste vrai, et qui suffit. Un QR code est une adresse web qu'on ne peut pas lire à l'œil nu : le seul risque est là.

• Après le scan, ton téléphone affiche l'adresse avant d'ouvrir la page. Lis-la avec la règle de la section 4 : c'est le même geste que pour un lien.

• Méfie-toi d'un QR code collé par-dessus un autre, sur un horodateur ou une affiche. Un autocollant qui se décolle se voit à l'œil nu.

• Un QR code qui mène à un paiement, c'est l'indice n° 1. Tu paies par le canal officiel.

Le sujet valait douze lignes, il les a eues. L'attention que tu retires d'ici, tu la remets sur les SMS et les courriels, qui font l'immense majorité des cas réels.

11. Un indice méconnu : le coffre-fort qui ne propose rien

Celui-ci ne figure sur aucune liste de conseils grand public, et il est excellent.

Si tu utilises un gestionnaire de mots de passe — le coffre-fort numérique de la fiche 04 — il remplit automatiquement tes identifiants sur une page de connexion enregistrée. Ce remplissage n'est pas déclenché par l'apparence de la page, mais par le nom de domaine.

Conséquence directe : sur un faux site, ton coffre-fort ne te proposera rien. La page ressemble trait pour trait à celle de ta banque, le logo est parfait, le cadenas est là — et le champ reste vide. Le domaine ne correspond pas, donc le coffre ne reconnaît pas le site.

C'est le seul indice de cette fiche qui ne dépend pas de ton attention. Les cinq autres demandent que tu regardes. Celui-là fonctionne pendant que tu es distrait ou pressé : une machine compare deux suites de caractères, et un logo ne l'impressionne pas.

Quand il ne propose rien alors qu'il le devrait, arrête-toi — et ne va pas chercher le mot de passe à la main dans le coffre pour le recopier, ce geste annule la protection que tu viens d'obtenir. Une limite, dite franchement : le remplissage échoue aussi pour des raisons banales, une page refaite ou un site qui a changé de domaine. Le silence du coffre n'est donc pas une preuve de fraude, c'est un signal d'arrêt qui te renvoie à l'indice n° 2.

12. Que faire du message, et le cas du doute

1. Ne réponds pas. Ni « STOP », ni un mot. Une réponse confirme que ton numéro est actif et lu par un humain. Ça vaut cher sur les listes qui circulent, et ça t'apporte davantage de messages.

2. Signale-le au bon endroit. Il existe en France plusieurs dispositifs officiels, et ils ne font pas la même chose. Pour les SMS et les appels frauduleux, le service national dédié est le 33700 : les signalements sont transmis quotidiennement aux opérateurs, qui coupent les numéros concernés. Ne le confonds pas avec le dispositif d'opposition à la publicité, qui est un autre service. La fiche 17 détaille les six dispositifs officiels français et ce que chacun déclenche réellement.

3. Supprime. Pour ne pas retomber dessus dans trois semaines, l'esprit ailleurs, et cliquer à ce moment-là. Si tu as saisi quelque chose, fais une capture d'écran avant de supprimer : elle servira pour une plainte ou une contestation.

Un mot sur les sites privés de signalement d'arnaques : ils ne sont référencés par aucune source officielle française et n'ont aucun effet juridique. Signaler chez eux ne remplace ni un signalement officiel ni une plainte.

Le cas du doute : la règle du canal choisi par toi

Il te restera des messages sur lesquels tu ne trancheras pas. C'est le cas sain : certains messages authentiques sont mal rédigés, et certains faux sont excellents.

Pour ceux-là, une seule règle : tu reprends contact par un canal que tu as choisi toi-même. Pas le lien du message, pas le numéro qu'il indique, pas le bouton « nous contacter » de la page ouverte depuis le message. L'application que tu as installée. Le site que tu tapes. Le numéro au dos de ta carte bancaire ou celui de ta dernière facture papier.

C'est le point d'arrêt universel de la fiche 07, et la seule chose à retenir de toute cette formation si tu ne devais en retenir qu'une : ne clique pas, raccroche, et reprends contact par un canal que tu as choisi. Il marche sur les messages, sur les appels, et sur les arnaques qui n'existent pas encore. Ce que ça coûte quand le message était vrai : deux minutes.

13. La démonstration, pas à pas

Tu peux demander à une IA de t'aider à décider sur un message douteux. Regarde comment ça se passe réellement, première réponse moyenne comprise. Avant de commencer : tu retires du message ton nom, ton numéro de commande et tes coordonnées, et tu ne cliques sur aucun lien pour « aller voir ».

Première consigne, telle que la plupart des gens l'écrivent :

Est-ce que ce SMS est une arnaque ?
"Votre colis n a pas pu etre livre, frais de douane 1,95 EUR,
regularisez sous 48h"

Ce qu'elle répond :

Ce message présente plusieurs caractéristiques typiques d'une tentative de phishing : sentiment d'urgence, petite somme demandée, absence d'accents. Il est probable qu'il s'agisse d'une arnaque. Restez vigilant, ne cliquez pas sur les liens suspects et vérifiez toujours l'expéditeur.

Réponse correcte, et à peu près inutile. Elle dit « probable », et elle conseille de « vérifier l'expéditeur » — ce qui, tu le sais maintenant, ne prouve rien. Ce n'est pas une mauvaise IA : la consigne était vague, elle a répondu par la moyenne de ce qui s'écrit sur le sujet.

On recommence en cadrant.

Tu es un formateur en sécurité numérique qui s'adresse à une personne sans
bagage technique. Analyse le message ci-dessous selon cinq indices, dans
cet ordre, deux lignes par indice au maximum :

1. ce qu'on me demande de FAIRE (payer, saisir, installer, rappeler)
2. le nom de domaine réel du lien : ce qui est juste avant le premier /
3. le canal : est-ce ainsi que cet organisme contacte les gens ?
4. la pression temporelle
5. la cohérence avec ce que j'attendais

Ne me dis pas de "faire attention" ni de "vérifier l'expéditeur".
Termine par UNE phrase : sûr, douteux ou frauduleux, et le geste à faire.

Le message : [COLLE ICI LE MESSAGE SANS TES DONNÉES PERSONNELLES]
Le lien affiché : suivi-colis-fr.livraison-track.xyz/r/2f9k

Ce qu'elle répond :

1. Ce qu'on vous demande de faire. Payer par un lien : la demande la plus fréquente dans les messages frauduleux, car elle conduit à une page où les données de carte sont saisies.

2. Le domaine réel. Avant la première barre oblique : suivi-colis-fr.livraison-track.xyz. Les deux derniers morceaux sont livraison-track.xyz : voilà le propriétaire du site, et ce n'est pas un transporteur.

3. Le canal. Un transporteur signale les frais éventuels dans l'espace de suivi de la commande, pas par un lien de paiement envoyé par SMS.

4. La pression temporelle. « Sous 48 h », avec menace de retour à l'expéditeur. Le délai sert à empêcher la vérification.

5. La cohérence. À vérifier de votre côté : avez-vous une commande en cours chez ce transporteur ? Le message ne mentionne ni numéro de commande ni nom de marchand.

Verdict : frauduleux. Geste à faire : ne pas ouvrir le lien, ouvrir vous-même le site du marchand et consulter le suivi de la commande.

Réponse exploitable : elle applique l'ordre, elle lit le domaine correctement, et elle termine par un geste. Note le point 5 : elle ne peut pas le trancher, parce qu'elle ignore ce que tu attendais. Le cinquième indice n'appartient qu'à toi.

Coller un message dans une IA prend deux à trois minutes ; les cinq indices en prennent dix secondes. L'objectif de la séance, c'est de ne plus avoir besoin de l'IA pour ça.

À toi : l'atelier

Le tri des dix messages. Compte 45 minutes. Tu as besoin d'un chronomètre — celui de ton téléphone convient — et d'une feuille.

Dix messages te sont fournis avec cette séance. Ils sont anonymisés et inoffensifs : aucun lien n'est actif. Parmi eux, il y a des messages authentiques. L'exercice n'est pas de tout déclarer frauduleux : c'est de trancher juste.

Manche 1 — à l'instinct, 5 minutes

Lis les dix messages et classe-les en trois piles, sans appliquer la méthode : sûr (j'agirais sans hésiter), douteux (je ne sais pas), frauduleux (je supprime). Note tes dix réponses en colonne et ne les modifie plus. C'est ton niveau d'avant la séance.

Manche 2 — avec la méthode, chronométrée

Reprends les dix messages dans le même ordre. Pour chacun : lance le chronomètre, applique les cinq indices dans l'ordre, arrête-toi dès qu'un indice tranche, puis note ta décision, le numéro de l'indice qui a tranché et le temps.

Objectif : moins de dix secondes par message. Si tu dépasses vingt secondes, note-le et passe au suivant. Le dépassement est une information utile, pas un échec.

Manche 3 — la correction, 20 minutes

La correction fournie donne, pour chaque message, la bonne pile et l'indice qui suffisait à trancher. Compare avec ta feuille et note trois choses : ton score sur dix en manche 2, l'écart avec la manche 1, et la liste des indices qui t'ont manqué — pour chaque erreur, celui que tu n'as pas regardé ou regardé trop tard.

Ce troisième point est le vrai livrable. Un score de 7 sur 10 ne t'apprend rien. « J'ai raté trois messages, et à chaque fois je n'avais pas vérifié le domaine » t'apprend quoi faire demain.

Ce que tu dois avoir à la fin

Une feuille avec ton score sur dix, ton temps moyen par message, et la liste des indices qui t'ont manqué. Garde-la : si tu suis la formation complète, elle rejoint ton classeur de sécurité à côté de la carte de poche des cinq indices, téléchargeable avec cette séance.

Les pièges

Piège 1 — « J'ai cliqué, tout est perdu. » Symptôme : tu as ouvert le lien, et la panique monte. Cause : on confond ouvrir une page et donner ses informations. Sortie de secours : ferme la page sans rien saisir. Ce qui compte, c'est ce que tu as tapé. Si tu as saisi un mot de passe, change-le tout de suite sur le vrai site. Si tu as saisi des données de carte, appelle ta banque et fais opposition — les fiches 12 et 17 détaillent la suite.

Piège 2 — Chercher les fautes d'orthographe. Symptôme : tu déclares un message fiable parce qu'il est bien écrit. Cause : un repère qui a été juste il y a dix ans, et qu'on a beaucoup répété. Sortie de secours : reprends la lecture par l'indice n° 1.

Piège 3 — Rappeler le numéro indiqué dans le message. Symptôme : « je préfère vérifier de vive voix », et tu composes le numéro du SMS. Cause : le réflexe de vérification est bon, le canal ne l'est pas. Le numéro fait partie du message, donc de l'arnaque. Sortie de secours : le numéro au dos de ta carte, celui de ta dernière facture, l'application que tu as installée toi-même.

Piège 4 — Se fier au fil de conversation. Symptôme : « ce SMS est dans la même discussion que les vrais, donc il vient d'eux ». Cause : le regroupement se fait sur le nom d'expéditeur affiché, déclaré et non vérifié. Sortie de secours : traite chaque message pour lui-même, avec les cinq indices.

Piège 5 — Tout déclarer frauduleux. Symptôme : après cette séance, tu supprimes tout, y compris une vraie relance. Cause : une méthode neuve rend méfiant, c'est normal la première semaine. Sortie de secours : tu ne réponds à aucun message, et tu vas voir sur ton espace personnel. Si la demande est réelle, elle y est.

Critères de réussite

• [ ] je fais apparaître l'adresse réelle d'un lien sans cliquer, sur ordinateur et sur téléphone
• [ ] je lis un nom de domaine : je repère les deux morceaux juste avant le premier /
• [ ] je tranche sur un message en moins de dix secondes, en nommant l'indice qui a tranché
• [ ] je ne me fie plus au cadenas, au logo, ni à l'absence de fautes d'orthographe
• [ ] je récite le point d'arrêt universel sans hésiter : je ne clique pas, et je reprends contact par un canal que j'ai choisi

Si tu veux aller plus loin

• Télécharge la carte de poche des cinq indices fournie avec cette séance, et pose-la près de l'endroit où tu ouvres tes courriels. Compte 2 minutes.

• Refais la manche 2 sur tes propres messages archivés, dans ton dossier de courriers indésirables. Ce sont de vrais cas, reçus par toi. Compte 15 minutes.

• Fais l'exercice avec un proche, en expliquant ton raisonnement à voix haute : c'est la meilleure façon de vérifier que tu as les cinq indices. Compte 20 minutes, et ça protège deux personnes.

Ce qu'on retient

Un message frauduleux veut toujours que tu fasses quelque chose : payer, saisir, installer, rappeler. C'est le premier indice, et il tranche seul dans la plupart des cas.

L'adresse réelle d'un lien se voit sans cliquer : pointeur posé sur ordinateur, appui long sur téléphone. Ce qui compte, ce sont les deux morceaux juste avant le premier /.

Une administration ou une banque ne t'envoie pas de lien de paiement par SMS. L'ANTAI le dit elle-même pour les avis de contravention.

Le cadenas, le logo, le nom de l'expéditeur et l'orthographe ne prouvent rien.

Le QR code piégé existe, et son développement reste marginal selon Cybermalveillance.gouv.fr au 10 août 2026. On lui donne la place qu'il mérite, pas plus.

Ton gestionnaire de mots de passe ne remplit rien sur un faux site : c'est le seul indice qui fonctionne quand tu es fatigué.

Et quand tu ne sais pas trancher : tu ne réponds pas, et tu reprends contact par un canal que tu as choisi toi-même.

Et maintenant ?

Tu viens de terminer une séance complète, Alex. Pas un extrait : la fiche 08 entière, telle que la suivent les élèves inscrits. Tu sais lire un message en dix secondes, voir où mène un lien sans y aller, et tu sais que quatre des repères qu'on t'a enseignés autrefois ne valent plus rien.

C'est une séance sur dix-huit. Les autres traitent de ce qui vient avant et de ce qui vient après : fermer les comptes qui comptent vraiment, reconnaître un faux conseiller bancaire qui appelle depuis le vrai numéro de ta banque, sécuriser ton téléphone, sauvegarder tes données et vérifier une fois par an que la restauration fonctionne.

Et un module entier sur ce que presque personne n'enseigne : tes droits. Ce que ta banque te doit quand un paiement part sans toi, dans quel délai, et quel dispositif officiel fait quoi parmi les six qui existent en France.

Rien ne t'oblige à continuer aujourd'hui. Les cinq indices, eux, sont à toi maintenant — et ils te serviront demain matin.