LA RÉPONSE COURTE
Séparez l’affirmation du message de sa destination réelle. Si un message inattendu vous demande de vous connecter, de payer ou de fournir des informations sur votre compte, vérifiez la demande via un itinéraire auquel vous faites déjà confiance avant de continuer.
1. Identifiez ce que le message veut que vous fassiez
Une offre, une mise à jour de livraison et une demande d’assistance de compte peuvent se ressembler à première vue. Lisez l'action demandée : ouvrez un produit, connectez-vous, téléchargez un fichier, fournissez des informations ou effectuez un paiement. L'action demandée compte plus que le fait que le message utilise un logo familier.
La FTC décrit les messages de phishing qui utilisent des problèmes de compte, des problèmes de paiement ou des offres attractives comme raison de cliquer. Ce sont des raisons de vérifier, et non une preuve que chaque message concernant un problème ou un coupon est faux. Cet article fournit une routine de vérification ; il ne classe pas un expéditeur ou un site Web particulier.
Référence : FTC : Reconnaître et éviter le phishing
2. Lisez l'adresse réelle, pas seulement l'étiquette
Les mots affichés d’un lien peuvent différer de la destination. Lorsque votre navigateur ou votre application de messagerie le permet, inspectez ou copiez le lien sans le suivre. Lisez attentivement le nom d'hôte complet plutôt que de reconnaître un mot familier quelque part dans l'adresse. Si un lien raccourci masque la destination, laissez-le non vérifié jusqu'à ce que vous puissiez déterminer où il va.
L'exemple fictif ci-dessous utilise des adresses .example réservées et n'est délibérément pas cliquable. Le mot officiel dans un chemin ou un sous-domaine n'est qu'un texte choisi par celui qui contrôle cette adresse. Un verrou ou une connexion HTTPS décrit la connexion ; il n’établit pas de manière indépendante que l’entreprise est bien celle que vous aviez l’intention de contacter.
| Adresse illustrative | Ce que montre réellement le texte |
|---|---|
| shop.example/help | Nom d'hôte : shop.example ; chemin : /help |
| shop.example.other.example/login | Le nom d'hôte appartient à other.example. |
| other.example/official-shop | Le nom familier apparaît uniquement dans le chemin |
| Une URL raccourcie inconnue | La destination finale n'est pas établie ici |
Référence : RFC 2606 : noms DNS de premier niveau réservés · Aide Google Chrome : Vérifier une connexion
3. Utilisez un itinéraire de contact indépendant du message
Si la demande concerne un compte que vous utilisez, revenez via un favori enregistré, l'application que vous utilisez habituellement ou une adresse que vous avez déjà établie de manière indépendante. Ouvrez la zone de compte correspondante ou contactez l'assistance ici. N'utilisez pas le même message inattendu comme affirmation et comme preuve de son authenticité.
La FTC recommande de vérifier la demande à l’aide de coordonnées que vous savez authentiques, plutôt que celles du message. La question pratique est la suivante : la demande apparaît-elle aussi dans le compte, ou l’assistance jointe par un canal indépendant peut-elle l’expliquer ? Laissez la demande non résolue si vous ne pouvez pas établir ce lien.
Référence : FTC : Reconnaître et éviter le phishing
4. Résolvez la demande avant d'entreprendre une action sensible
Évitez de saisir des informations d'identification ou de compte simplement pour voir ce que fait ensuite une page inconnue. Une demande nécessitant une vérification peut attendre pendant que vous utilisez la route indépendante. N'envoyez pas de mots de passe, de codes de connexion à usage unique ou de codes de récupération à une personne prétendant être une assistance dans un chat.
Si un véritable processus de compte nécessite des informations, utilisez le flux de compte vérifié et lisez exactement ce qui est demandé. Un auteur sur un forum public ne peut pas approuver cette demande à votre place sur la base d'une capture d'écran recadrée. Vous pouvez décrire publiquement le problème général sans publier de comptes privés.
5. Enregistrez ce que vous avez vérifié et ce qui reste ouvert
Conservez une brève note privée de la date du message, de l'objet revendiqué, de la destination inspectée et de la vérification indépendante que vous avez effectuée. Le résultat peut être confirmé, incohérent ou encore inconnu. Inconnu est un résultat utile : cela signifie que vous n'avez pas suffisamment établi pour passer par ce lien.
Si vous avez déjà divulgué des informations, utilisez le processus de sécurité de compte du service réel et le fournisseur approprié pour les informations impliquées. La référence FTC comprend les prochaines étapes générales après une suspicion de phishing. Ce site Web ne peut pas inspecter votre compte ni confirmer l’authenticité d’un message, et il n’a pas besoin de vos informations privées pour expliquer la routine.
Référence : FTC : Reconnaître et éviter le phishing
Votre liste de contrôle
- Identifiez l’action demandée par le message.
- Inspectez le nom d’hôte et la destination réels si possible.
- Vérifiez via un itinéraire indépendant du message.
- Conservez les informations d’identification et les codes de récupération hors des discussions d’assistance.
- Enregistrez les détails confirmés et laissez les demandes non résolues ouvertes.
Questions courantes
HTTPS prouve-t-il qu'un site est le service officiel ?
Non. Une connexion cryptée et l’identité de l’entreprise sont des questions différentes. Vérifiez la destination de manière indépendante.
Chaque lien de parrainage ou de coupon est-il suspect ?
Non. Vérifiez sa destination et son contexte. Cet article ne qualifie pas tous les liens promotionnels de frauduleux.
Puis-je envoyer à ce site Web une capture d'écran de mon compte privé pour vérification ?
Ce site Web ne fournit pas de vérification de compte. Utilisez la voie d'assistance vérifiée indépendamment du service pour une demande spécifique à un compte.
Sources et portée
Cet article éditorial original utilise les références ci-dessous pour le contexte. Les listes enregistrées et les exemples hypothétiques sont identifiés dans le texte. Il ne décrit pas un achat ou un essai en conditions réelles effectué par ce site Web.
- FTC : Reconnaître et éviter le phishing
Conseils généraux pour vérifier indépendamment les messages inattendus. Il ne détermine pas si un message, un domaine ou un expéditeur Oopbuy particulier est authentique.
- RFC 2606 : noms DNS de premier niveau réservés
Réserve .example pour les exemples de documentation. Les adresses illustratives sur cette page sont du texte brut et ne constituent pas des destinations de service.
- Aide Google Chrome : Vérifier une connexion
Explique les connexions sécurisées et conseille de vérifier le nom du site même lorsque la connexion est sécurisée.