Le vrai problème : se rendre compte qu'on est attaqué
Dans le milieu de la sécurité informatique, une phrase revient sans cesse : la question n’est pas de savoir si vous serez attaqué, mais quand. Et la difficulté principale, que l’on soit novice ou très à l’aise avec le numérique, n’est pas technique du tout : c’est de réaliser que quelque chose est en train de se passer.
Une attaque prend des formes très différentes. Vol de données personnelles stockées chez un site tiers, application malveillante installée sur un téléphone ou un ordinateur, écoute d’une connexion wifi publique, mail d’hameçonnage, chantage à la webcam, ou simple prise de contact directe par un escroc qui se fait passer pour un acheteur intéressé. Rien de tout cela ne s’accompagne d’une alarme sonore.
Ce qu’il faut apprendre à repérer, ce sont les signaux faibles : un ordinateur devenu subitement très lent, des transactions que vous ne reconnaissez pas sur un relevé bancaire, un mail d’alerte de sécurité inattendu envoyé par un fournisseur de services, un enfant qui change de comportement et se renferme d’un coup. Ces signes ne sont pas forcément le symptôme d’une attaque, mais ils méritent qu’on s’y arrête au lieu de les balayer.
Et en cas de doute, le bon réflexe est simple : demander conseil à une personne de confiance qui s’y connaît un peu. Gérer une fausse alerte en dix minutes coûte toujours moins cher, en temps comme en argent, que de réparer les dégâts d’une attaque qui a eu tout le loisir de se dérouler.
"Je n'intéresse personne" : l'erreur de départ
C’est la croyance la plus répandue, et la plus utile aux escrocs : les cyberattaques n’arriveraient qu’aux autres, aux entreprises, aux gens riches ou célèbres. Se dire qu’on n’est pas une cible intéressante, c’est méconnaître complètement la façon de travailler des cybercriminels.
Premièrement, une escroquerie n’exploite pas forcément une faille technique dans votre matériel. Elle repose sur la crédulité, sur la confiance, sur l’émotion. Autrement dit, avoir un téléphone à jour et un antivirus actif ne vous met pas à l’abri d’un faux conseiller bancaire au bout du fil. Deuxièmement, la vie quotidienne passe de plus en plus par des services numériques opérés par des tiers : un incident ou un vol de données chez l’un de ces prestataires peut toucher absolument n’importe qui, sans que vous ayez commis la moindre erreur.
Il ne faut pas non plus sous-estimer ce qui se joue autour de nous : le cyberharcèlement en milieu scolaire est massif, et des cas de chantage aux images intimes surviennent aussi dans le cadre familial ou amical. Ce ne sont pas des histoires lointaines.
L’objectif n’est pas de sombrer dans la paranoïa et de voir une attaque partout. C’est simplement de se débarrasser d’une certaine naïveté. Et l’un des meilleurs outils reste la conversation : parler régulièrement de ces risques en famille, avec les enfants comme avec les aînés, crée le climat de confiance qui permettra à quelqu’un de dire « il m’arrive un truc bizarre » avant qu’il ne soit trop tard.
Le ratissage à l'aveugle : comment les escrocs trouvent leurs victimes
Le fonctionnement typique n’est pas celui du film d’espionnage. Le cybercriminel ne choisit pas une victime identifiée à l’avance : il ratisse large et à l’aveugle, envoie le même message à des milliers de personnes quelconques, puis concentre ses efforts sur celles qui répondent. Ce n’est qu’ensuite qu’il va chercher des informations sur vous pour rendre l’échange crédible.
Pour trouver ses cibles, il utilise les réseaux sociaux devenus une véritable porte d’entrée aux arnaques, les sites de vente ou d’échange entre particuliers, du spam en masse, ou encore des bases d’adresses mail achetées. Plus rarement, l’arnaque touche au monde réel, avec par exemple un faux avis de passage du facteur déposé dans une boîte aux lettres et contenant un lien piégé – mais c’est peu fréquent, car cela suppose la présence physique d’un complice.
Et c’est là que vivre sur une île ne protège de rien. L’escroc opère presque toujours à distance, depuis l’étranger, sans jamais approcher sa victime : votre code postal ne l’intéresse pas, seule votre réactivité l’intéresse. En revanche, cet éloignement joue contre vous quand il faut faire cesser les agissements d’un réseau, car cela suppose une coopération judiciaire entre pays.
Nota Bene : ce que l’on appelle ingénierie sociale regroupe toutes les techniques par lesquelles un fraudeur installe une relation de confiance avec sa cible pour la manipuler, lui soutirer des informations confidentielles ou lui faire exécuter une action. Aucun code informatique là-dedans, juste de la psychologie appliquée.
Les grands classiques : toujours les mêmes scénarios, à peine maquillés
Les fraudeurs ont de l’imagination, mais ils ne réinventent presque jamais la roue. Frauder est une occupation à plein temps, et l’objectif est de maximiser le rapport gain sur temps passé : plusieurs escroqueries menées en parallèle, des phrases toutes faites, des scénarios recyclés. C’est du prêt-à-porter, pas de la haute couture, ce qui explique que beaucoup de tentatives soient reconnaissables avec un peu d’entraînement.
Les grands schémas sont au nombre de quelques-uns : fraude au paiement en ligne, faux ordre de virement, loterie et faux gain, arnaque à l’achat ou à la vente, escroquerie aux sentiments, rançon et chantage. Dans ce dernier registre, on trouve l’individu qui prétend avoir retrouvé votre animal perdu après avoir lu votre annonce (il ne l’a pas, mais il demande des frais de transport), ou le chantage après avoir convaincu quelqu’un de se dénuder devant sa caméra.
Pour l’achat-vente, retenez surtout que l’arnaque est rarement directe. Les cybercriminels veulent de l’argent liquide, pas un objet à revendre : ils réclament donc des frais de port, des frais de douane, ou le remboursement d’un prétendu trop-versé. Le scénario type : un véhicule mis en vente au prix du marché à 8 700 €, un acheteur qui accepte sans négocier et sans le voir, dit être à l’étranger pour son travail, annonce un transporteur, verse 9 600 € dont 900 € pour le transport… puis explique avoir trouvé un transporteur à 550 € et demande le remboursement de 350 €. Le virement de 9 600 € finit par échouer et disparaît du compte, mais les 350 € envoyés sur un compte à l’étranger, eux, sont bien réels et irrévocables.
Ce scénario du transporteur mérite une vigilance particulière ici : comme on expédie régulièrement du matériel hors de l’île ou qu’on en fait venir, l’histoire de l’acheteur absent qui envoie un transporteur passe pour parfaitement normale. C’est justement ce qui la rend efficace.
Fraude au paiement en ligne : le code reçu par SMS ne se donne jamais
Quand un fraudeur a récupéré votre numéro de carte bancaire, le nom du titulaire, la date d’expiration et le code à trois chiffres au dos, il peut passer commande sur Internet et faire débiter votre compte. La loi impose désormais aux commerçants en ligne, sous certaines conditions, une authentification à deux facteurs : concrètement, un code de confirmation vous est envoyé par SMS.
D’où une arnaque en pleine expansion, dont le mécanisme est très simple à comprendre. Le fraudeur, qui a déjà volé vos coordonnées bancaires et votre numéro de téléphone, lance la transaction puis vous appelle en se présentant comme le service anti-fraude de votre banque. Il annonce un paiement suspect détecté sur votre compte, explique qu’il doit d’abord vous authentifier et qu’il va pour cela vous envoyer un code par SMS que vous devrez lui communiquer. Le SMS arrive bien, il vient bien de la banque… mais il sert à valider l’achat de l’escroc.
La règle ne souffre aucune exception : on ne communique jamais un mot de passe, un code secret ou un code de confirmation reçu par SMS, à personne, par aucun canal, même à quelqu’un qui se présente comme votre conseiller bancaire. Un vrai conseiller n’a pas besoin de ce code. Et notez que le fraudeur peut viser autre chose qu’un achat : réaliser un virement, relever le plafond de votre carte, ou modifier le second facteur d’authentification pour prendre la main durablement.
Dernier point, souvent négligé : recevoir un appel ou un SMS d’un numéro qui semble légitime, voire d’un numéro déjà enregistré dans votre répertoire, ne prouve rien. Usurper un numéro de téléphone fait aujourd’hui partie de l’arsenal courant des fraudeurs.
Faux ordre de virement : la fraude qui vise les entreprises
L’arnaque au faux ordre de virement international, souvent abrégée FOVI, consiste à faire réaliser un virement par une victime vers le compte d’un cybercriminel. Elle cible particulièrement les entreprises et porte sur des montants qui donnent le vertige : selon le ministère de l’Économie, on compte depuis 2010 quelque 4 500 escroqueries ou tentatives visant des sociétés implantées en France ou leurs filiales à l’étranger, pour un préjudice dépassant le milliard d’euros.
Le mode opératoire le plus connu est la fraude au président. Le fraudeur se fait passer pour le dirigeant, un directeur ou un prestataire, contacte la personne autorisée à faire des virements, et déploie tout son talent : flatterie, confidentialité de l’opération, parfois menaces, et surtout urgence pour empêcher toute vérification. Une comptable reçoit ainsi l’appel d’un prétendu avocat mandaté par son PDG pour un rachat de sociétés, puis un mail de confirmation du PDG lui-même – dont l’adresse a été usurpée. Une variante consiste non pas à demander un virement mais à faire modifier des coordonnées bancaires dans le système de l’entreprise : le fraudeur se présente alors comme un salarié qui change de banque, ou comme un technicien de maintenance informatique. En 2023, le parquet de Paris a annoncé l’interpellation de huit personnes en France et en Israël, soupçonnées d’avoir participé en 2021 à une fraude au président contre le promoteur immobilier Sefri-Cime : plus de 40 virements en quelques semaines, plus de 38 millions d’euros.
La parade s’appelle le contre-appel, et elle est à la portée de la plus petite structure. Face à toute demande touchant aux finances, on prévient sa hiérarchie et on rompt la chaîne de communication : on ne répond pas au mail, on n’appelle pas le numéro fourni dans le message, on rappelle la personne sur un mail ou un numéro déjà connu de l’entreprise, ou trouvé dans un annuaire public.
Pour une petite entreprise réunionnaise dont les fournisseurs, le siège ou le comptable sont à des milliers de kilomètres, tout se traite par mail et personne ne se croise dans un couloir : impossible de vérifier une demande d’un coup d’oeil. Raison de plus pour instaurer le contre-appel comme une règle écrite, et pour se méfier d’office d’une demande urgente impliquant un compte à l’étranger.
Faux gains et loteries : le petit montant qui rapporte gros
Le scénario est rudimentaire. On vous annonce que vous avez gagné un lot, il ne reste plus qu’à régler les frais de port pour le recevoir. Vous ne verrez évidemment jamais le cadeau, mais les frais, eux, seront bien débités. Le gain pour le fraudeur est faible à chaque coup, sauf qu’il joue sur un très grand nombre de victimes : au total, c’est extrêmement rentable.
Cette mécanique du petit paiement à avancer se retrouve partout, et c’est justement ce qui doit alerter. Voici les signaux à connaître :
- on vous demande de payer, de rembourser un trop-payé, des droits de douane ou des frais de transport,
- on vous pousse vers un moyen de paiement anonyme et rapide, transfert d’argent immédiat ou cryptomonnaies,
- l’offre est anormalement attractive, ou promet de gagner de l’argent très vite, par exemple en encaissant des chèques pour le compte d’un tiers,
- votre interlocuteur est pressé de conclure,
- il donne beaucoup trop de justifications alors que rien ne l’y oblige, et ne répond jamais clairement aux questions précises,
- il se dit professionnel mais utilise une adresse mail gratuite, ou vous réclame des copies de documents officiels.
Nota Bene : une cryptomonnaie est une monnaie numérique dont les transactions sont inscrites dans un registre distribué, consultable par tous. Si les mouvements sont en général traçables, les identités restent cachées derrière des pseudonymes : c’est pour cette rapidité et cette forme d’anonymat que les cybercriminels en ont fait leur moyen de paiement favori, notamment pour les rançons. Quand on vous demande de payer en cryptomonnaie, considérez que l’argent est perdu.
Mail, SMS, liens piégés : les gestes qui changent tout
Comme l’escroquerie ne dépend pas d’une faille technique, elle passe par les canaux les plus banals : les sites web, le courrier électronique et le téléphone. La grande majorité des tentatives arrivent par mail ou messagerie instantanée, mais le SMS et l’appel vocal progressent vite.
Sur les liens, la règle est de ne pas cliquer. Quand sa longueur le permet, recopiez le lien à la main dans le navigateur. Deux pièges expliquent cette précaution. D’abord, une adresse peut être visuellement quasi identique à l’originale : au premier coup d’oeil, difficile de voir que www.courir-ville.fr, www.courrir-ville.fr et www.courir.ville.fr sont trois adresses différentes. Ensuite, si votre messagerie affiche les mails en HTML, le texte affiché peut très bien pointer vers une autre adresse : un lien libellé « mabanque.com » peut mener n’importe où. En passant simplement la souris dessus sans cliquer, la véritable destination s’affiche en bas de la fenêtre. Si le lien est trop long pour être retapé, surlignez-le à la souris et faites un simple copier-coller du texte affiché – et non pas « copier le lien » : la comparaison entre les deux révèle l’incohérence.
Pour les pièces jointes : on n’ouvre pas un document attaché à un mail d’inconnu, ni à un mail suspect même s’il semble venir d’un ami, car un escroc a pu usurper son identité ou pirater sa messagerie. Avant de double-cliquer sur une pièce jointe non sollicitée, assurez-vous que l’expéditeur est bien celui qu’il prétend être et vérifiez la nature réelle du fichier, un programme exécutable pouvant se déguiser en vidéo. Les formats à surveiller de près sont les documents bureautiques contenant des macros, les fichiers ZIP et les PDF.
Enfin, deux interdits qui évitent bien des ennuis : ne transmettez jamais de photocopie de carte d’identité, de permis ou de passeport par mail, et ne rappelez pas un numéro inconnu communiqué dans un message, surtout s’il est étranger – certains sont surtaxés. Un numéro qui commence par 00225 ou 00229, par exemple, n’a rien à faire dans un échange avec votre banque.
Où s'informer sérieusement, gratuitement
Se former demande peu de temps et beaucoup moins d’efforts qu’on ne l’imagine. Le site cybermalveillance.gouv.fr publie des fiches détaillées sur les escroqueries et les attaques les plus courantes, téléchargeables librement depuis sa page de ressources. Chaque fiche décrit un type d’arnaque, ses signes distinctifs et les mesures à prendre.
L’intérêt de ces documents est très pratique : ils sont faits pour être partagés. Vous pouvez en imprimer une et l’afficher près du poste de la personne qui gère les paiements dans votre structure, en envoyer une à vos parents, ou en parcourir une avec un adolescent. C’est ainsi qu’on transforme une information lue une fois en réflexe collectif.
À garder en tête tout de même : les modes opératoires évoluent, et aucune fiche ne remplacera votre sens critique. L’hygiène numérique fonctionne comme une formation au secourisme, elle demande des mises à jour régulières. Relire ce genre de contenu une fois ou deux par an suffit largement à rester à niveau.
La honte, cette alliée des escrocs
Deuxième grand piège, et peut-être le plus destructeur : lorsqu’une personne comprend qu’elle a été piégée, son premier réflexe est la honte. Elle a le sentiment de s’être fait avoir naïvement, elle craint le jugement des autres, alors elle se tait, n’en parle pas à ses proches, ne demande pas d’aide, parfois nie l’évidence. Résultat : l’arnaque continue, et le préjudice grossit.
Les conséquences d’une escroquerie ne sont d’ailleurs pas seulement financières, même s’il y a bien une perte d’argent, par transaction frauduleuse ou par chantage. Il y a aussi ce sentiment de réputation abîmée, aussi réel pour un particulier que pour une entreprise. Dans les cas les plus graves, notamment après la diffusion de photos intimes, cette honte a conduit à des drames, y compris des suicides. Il faut le dire clairement, parce que cela change la façon dont on doit accueillir la parole d’une victime.
Le geste utile est donc à l’opposé du silence. Dès qu’un échange avec un inconnu débouche sur une transaction, même pour un petit montant, posez les éléments sur la table et passez-les en revue froidement. Puis demandez l’avis d’un ami ou d’un proche. Une personne qui n’a aucun intérêt dans l’affaire verra en trente secondes ce qui vous échappe depuis trois jours.
Et si c’est un proche qui semble concerné, sachez que vous devrez peut-être insister un peu : la personne piégée est souvent la dernière à l’admettre. Aborder le sujet sans reproche, sans se moquer, est ce qui permet à quelqu’un d’oser en parler.
Arnaque aux sentiments : quand l'émotion aveugle
Il faut comprendre une chose : l’escroc ne compte pas seulement sur son scénario, il compte sur votre état émotionnel. Une personne qui désespère de vendre sa voiture depuis trois mois, parce que cette vente conditionne d’autres projets, ne verra pas les incohérences dans les messages de l’acheteur. Même en ayant des doutes, elle se dira toujours « et si ce n’était pas une arnaque ? », là où un tiers indifférent n’aurait aucune hésitation.
Sur les sites de rencontre, ce mécanisme atteint son maximum. Quelqu’un qui cherche à rompre une solitude installée depuis des années n’acceptera pas d’entendre que la personne rencontrée en ligne deux mois plus tôt est probablement un escroc situé à l’étranger. Puis vient la demande : de l’argent pour soigner une petite soeur gravement malade, ou pour payer le voyage de la première rencontre. Il y a toujours un empêchement de dernière minute, et la personne ne vient jamais.
Depuis La Réunion, cette histoire de billet d’avion est un levier redoutablement efficace. Un vol pour venir jusqu’ici représente une somme importante, ce qui rend la demande crédible et justifie d’emblée un montant élevé – puis des frais supplémentaires, une taxe, un problème de visa. Si votre correspondant à distance en arrive au sujet du billet, considérez que le compte à rebours a commencé.
Dernier point : pour achever d’annuler votre lucidité, l’escroc met la pression sur le temps. L’argent doit partir tout de suite, aujourd’hui, avant ce soir. L’urgence est le signal d’alarme le plus fiable de toute la liste. Une victime sous emprise psychologique est souvent la dernière à comprendre, alors que tout son entourage a déjà saisi ce qui se passait.
Vous avez repéré une tentative : la marche à suivre
Le premier réflexe est le plus simple et le plus efficace : ne répondez pas à la sollicitation. Ne rappelez pas, ne cliquez pas, ne demandez pas d’explications. Si l’échange a commencé sur une plateforme de vente entre particuliers, restez sur sa messagerie sécurisée jusqu’au bout et refusez de terminer la transaction par mail ou par SMS – c’est d’ailleurs une demande très fréquente chez les escrocs. Et n’hésitez pas à renoncer purement et simplement à une vente ou à un achat si des éléments suspects apparaissent : aucune transaction ne vaut ce risque.
Si le mal est fait, il faut agir vite pour limiter l’impact. Les premières mesures :
- faire barrage à l’escroquerie, notamment en faisant opposition auprès de votre banque si vous avez communiqué vos coordonnées bancaires,
- changer tous vos mots de passe sans attendre,
- si vous pensez que votre appareil a été touché, désinstaller les applications suspectes, lancer un antivirus, supprimer les cookies du navigateur,
- conserver toutes les preuves : mails, SMS, annonces, en faisant des captures d’écran avec votre téléphone.
L’espoir de récupérer les sommes versées est mince, mais dans certains cas la banque peut procéder au retour des fonds, voire doit rembourser. Ne renoncez donc pas à la démarche.
Ensuite, il faut signaler. En France, deux voies existent et il est utile de connaître la différence : la plainte vous engage nommément, vous devrez peut-être répondre aux questions des enquêteurs, mais elle vous permet de demander une indemnisation et d’être informé des suites. Le signalement consiste à informer les autorités qu’une escroquerie a eu lieu, sans forcément donner son identité. Les deux peuvent se faire en ligne via le service THESEE, accessible depuis le portail de signalement du ministère de l’Intérieur. À noter que les enquêteurs peuvent désormais mener des investigations sous pseudonyme dans les affaires d’escroquerie en bande organisée.
Faire l'inventaire des dégâts, puis reprendre la main sur ses accès
Une fois l’urgence passée, vient une étape qu’on saute trop souvent : établir l’inventaire précis de ce qui a été touché. Plus cet inventaire est complet, plus la réparation sera rapide et moins elle coûtera. Quelques cas concrets pour vous guider.
Si le mot de passe compromis était réutilisé chez plusieurs services, il faut créer de nouveaux accès chez chacun d’eux, un par un. Si vous avez donné un accès complet à votre appareil à un escroc, par exemple lors d’un faux dépannage informatique, cet appareil n’est plus digne de confiance et les données qu’il contenait ont pu être copiées. Si quelqu’un a usurpé votre identité sur un réseau social pour extorquer de l’argent à vos contacts en se faisant passer pour vous, prévenez vos proches : ce sont eux les prochaines cibles. Et dans un cas de harcèlement en ligne autour de l’école de votre enfant, dites-vous que les harceleurs s’en sont probablement pris à d’autres enfants dont les parents ignorent tout.
Vient enfin la réparation. Pour un appareil contaminé, ou qui est passé entre les mains d’une personne malveillante, la seule solution vraiment fiable est la réinstallation complète : un antivirus nettoie, mais il ne donne jamais la certitude que tout a été rétabli. On change les mots de passe des services concernés, on recopie les données manquantes depuis ses sauvegardes, et selon les cas, on laisse la main à la justice, ou à son assurance si une garantie contre les cyberattaques avait été souscrite.
Ce qui décide de la réussite de cette étape se joue avant l’incident. Deux préparations valent de l’or, surtout quand on habite loin de tout support constructeur et qu’attendre un aller-retour se compte en semaines : garder une sauvegarde à jour de ses données importantes sur un support détaché de l’appareil, et paramétrer les méthodes de récupération de ses comptes essentiels, par exemple une adresse mail secondaire de confiance. Avec ces deux filets, vous restaurez tout vous-même sur place, en quelques heures. Sans eux, récupérer un compte ou des fichiers chiffrés devient une bataille perdue d’avance.
En résumé : la vigilance est votre meilleur antivirus
Retenez le fil conducteur : l’escroquerie en ligne ne vise pas votre matériel, elle vise votre confiance et votre émotion. Un logiciel à jour et un antivirus actif sont nécessaires, mais c’est votre sens critique qui fait la différence quand un faux conseiller bancaire vous réclame un code, ou quand un acheteur trop parfait parle de transporteur et de trop-versé.
Les réflexes à emporter tiennent en quelques lignes : ne jamais donner un mot de passe ni un code reçu par SMS, ne pas cliquer sur les liens des mails mais les recopier ou vérifier leur vraie destination, refuser les paiements anonymes et rapides, se méfier de toute urgence, rester sur les messageries sécurisées des plateformes, et pratiquer le contre-appel sur un numéro déjà connu dès qu’il est question d’argent.
Et puis parlez-en. À un ami, à un collègue, à vos enfants, à vos parents. La honte est ce qui fait grossir les préjudices, alors qu’un avis extérieur suffit très souvent à démonter une arnaque en quelques minutes. Prenez dix minutes cette semaine pour deux gestes simples : vérifier que vos comptes importants disposent bien d’une méthode de récupération, et lancer une sauvegarde de vos données sur un support que vous rangerez ailleurs que dans le sac de l’ordinateur.
