Se protéger en ligne,
sans être informaticien

Posez-vous ces cinq questions. Une seule réponse « oui » suffit pour s’arrêter.

1. Est-ce qu’on me presse ? « Dernier avis », « sous 24 h », « votre compte sera bloqué », « un paiement est en cours »…
2. Est-ce qu’on me fait peur ou qu’on me promet un gain ? Amende, dette, piratage, ou au contraire remboursement, cadeau, gain exceptionnel.
3. Est-ce qu’on me demande quelque chose d’inhabituel ? Un code, un mot de passe, un virement, une carte cadeau, d’installer une application, de garder le secret.
4. Est-ce que le contact vient de moi ? Si c’est eux qui vous ont contacté, vous ne savez pas vraiment qui ils sont.
5. Est-ce que le lien ou l’adresse est bizarre ? Un domaine inconnu, une faute, un lien raccourci, un numéro de mobile pour un « service client ».

Les organismes sérieux (banque, Ameli, impôts, CAF, police) ne vous demandent jamais vos codes ni un virement par téléphone, SMS ou mail.

D’où viennent-ils ?

• Les fuites de données. Chaque année, des boutiques, des opérateurs, des mutuelles ou des services publics se font voler leurs fichiers clients. Noms, mails, téléphones et parfois IBAN sont revendus. C’est pour ça que certains SMS frauduleux connaissent votre nom.
• La revente et le partage de fichiers. Jeux concours, cartes de fidélité, formulaires « gratuits » : la case « j’accepte de recevoir des offres des partenaires » alimente des fichiers revendus à des dizaines d’entreprises.
• La génération au hasard. Les robots composent des numéros à la chaîne ou essaient des adresses courantes (prenom.nom@…). Pas besoin de vous connaître.
• Votre adresse visible en ligne. Annonces, réseaux sociaux, sites associatifs : des robots aspirent tout ce qui ressemble à un mail ou un téléphone.
• Votre réponse. Répondre « STOP » à un SMS douteux, cliquer sur « se désinscrire » dans un faux mail ou décrocher puis parler confirme que le numéro est actif : il prend de la valeur et circule encore plus.

Comment en recevoir moins

• SMS indésirable : transférez-le gratuitement au 33700, puis supprimez-le. Sur iPhone, activez Réglages → Apps → Messages → Filtrer les expéditeurs inconnus. Sur Android, activez la protection anti-spam de votre application Messages.
• Mails : marquez-les comme « Indésirable » (votre messagerie apprend), signalez les arnaques sur signal-spam.fr. Ne vous désinscrivez que des newsletters d’entreprises que vous connaissez vraiment.
• Démarchage téléphonique : inscrivez-vous sur bloctel.gouv.fr (gratuit). Depuis août 2026, une entreprise doit en plus avoir obtenu votre accord avant de vous démarcher. Signalez les abus sur 33700.fr ou SignalConso.
• Utilisez une deuxième adresse mail pour les inscriptions, concours et boutiques, et gardez votre adresse principale pour vos proches et vos démarches importantes.
• Décochez les cases « offres des partenaires » et refusez les cookies publicitaires.

Lire une adresse en 3 secondes

Le plus important dans une adresse, c’est le nom de domaine : ce qui se trouve juste avant le premier « / ».

• https://www.ameli.fr/assure → domaine ameli.fr ✅
• https://ameli.fr.remboursement-assure.com/ → domaine remboursement-assure.com ❌ (le « ameli.fr » au début est un leurre)
• https://amel1-sante.info → faute volontaire et extension inhabituelle ❌

Beaucoup de sites publics se terminent par .gouv.fr (impots.gouv.fr, service-public.gouv.fr), mais pas tous : ameli.fr, caf.fr ou laposte.fr sont aussi officiels. En cas de doute, cherchez le site vous-même plutôt que de suivre le lien.

Le cadenas ne veut pas dire « fiable »

Le cadenas (HTTPS) prouve seulement que la connexion est chiffrée. Les faux sites en ont presque tous un. Il est nécessaire, pas suffisant.

Les bons réflexes

• Enregistrez en favoris les sites que vous utilisez souvent (banque, impôts, Ameli) et passez toujours par là.
• Méfiez-vous des publicités en haut des résultats de recherche : de faux sites achètent parfois des annonces au nom de vraies marques.
• Téléchargez uniquement depuis l’App Store, Google Play ou le site officiel de l’éditeur.
• Une fenêtre affolante vous dit d’appeler un numéro ? C’est une arnaque au faux support. Fermez le navigateur (ou redémarrez l’ordinateur). N’appelez pas.
• Gardez tout à jour : navigateur, système, applications. Activez les mises à jour automatiques.
• Wi-Fi public : pas de banque ni d’achat dessus ; utilisez plutôt la 4G/5G de votre téléphone.
• Cookies : cliquez « Tout refuser ». Le site fonctionne quand même.

• Un mot de passe différent pour chaque compte. C’est la règle la plus importante. Si un site se fait pirater, les escrocs testent le même mot de passe partout.
• Long plutôt que compliqué. Une phrase de 4 ou 5 mots (« Mon-chat-dort-sur-le-piano-bleu ») est plus solide et plus facile à retenir que « P@ssw0rd! ».
• Un gestionnaire de mots de passe retient tout pour vous : celui de votre téléphone (Trousseau iCloud, Google) ou Bitwarden, par exemple.
• Activez la double authentification (2FA) d’abord sur la messagerie, puis la banque, les réseaux sociaux et les sites marchands.
• Acceptez les clés d’accès (passkeys) quand un site les propose : connexion par empreinte ou visage, impossible à voler par un faux site.
• Vérifiez si vos données ont fuité sur haveibeenpwned.com, et changez les mots de passe concernés.
• Vos questions secrètes (« nom de votre premier animal ») se devinent souvent sur les réseaux sociaux : répondez par autre chose que la vérité, et notez-le dans votre gestionnaire.

Le numéro affiché ne prouve rien

Les escrocs peuvent afficher n’importe quel numéro, y compris celui de votre banque, de la gendarmerie ou d’un proche. Si l’on vous demande de l’argent, un code ou de valider une opération : raccrochez, puis rappelez vous-même le numéro officiel (au dos de votre carte, sur votre relevé ou le site officiel).

Ce que votre banque ne fera jamais

• Vous demander un code reçu par SMS ou de valider une opération dans votre application « pour l’annuler ».
• Vous demander de virer votre argent sur un « compte sécurisé ».
• Envoyer un coursier récupérer votre carte bancaire.
• Vous demander votre mot de passe ou d’installer une application de contrôle à distance.

Les SMS piégés les plus courants

• Faux colis (« frais de livraison de 1,99 € »), fausse amende ou faux péage, faux remboursement Ameli, CAF ou impôts, faux renouvellement de carte Vitale, faux compte CPF.
• « Coucou maman/papa, j’ai changé de numéro, écris-moi sur WhatsApp » : appelez votre enfant sur son numéro habituel.

Le bon geste : ne cliquez pas, transférez le SMS au 33700, puis supprimez-le.

Le démarchage

• Les numéros commençant par 0162, 0163, 0270, 0271, 0377, 0378, 0424, 0425, 0568, 0569, 0948, 0949 sont réservés au démarchage commercial.
• Vous pouvez raccrocher sans vous justifier. Inscrivez-vous sur Bloctel.
• Ne rappelez jamais un numéro inconnu qui n’a sonné qu’une fois (« ping call ») : il peut être surtaxé.

Avant d’acheter sur un site inconnu

• Prix trop beaux (−70 % sur des produits récents) : méfiance.
• Cherchez des mentions légales avec une vraie société (numéro SIREN vérifiable sur annuaire-entreprises.data.gouv.fr) et des avis en dehors du site.
• Payez par carte bancaire (vous pouvez contester) ; jamais par virement, carte cadeau, mandat ou cryptomonnaie pour un achat sur un site inconnu.

Petites annonces (Leboncoin, Vinted, Facebook…)

• Restez sur la messagerie et le paiement de la plateforme. L’acheteur qui veut passer par WhatsApp ou un « lien de paiement sécurisé » est presque toujours un escroc.
• Vendeur : vous n’avez jamais besoin de saisir votre carte bancaire pour recevoir de l’argent.
• Location : ne versez jamais d’argent pour un logement que vous n’avez pas visité, même si le « propriétaire » est à l’étranger.

Offres d’emploi

Une offre qui vous paie pour « aimer des vidéos », recevoir des colis chez vous ou faire transiter de l’argent sur votre compte est une arnaque, et peut faire de vous un complice malgré vous.

• Un ami vous demande de l’argent ou un code par message ? Son compte a peut-être été piraté. Appelez-le avant de faire quoi que ce soit.
• Ne transmettez jamais le code de vérification WhatsApp reçu par SMS : c’est la clé de votre compte.
• Vidéo d’une célébrité qui recommande un placement ? C’est une fausse vidéo (deepfake). Aucune personnalité ne vous rendra riche.
• Une rencontre en ligne qui finit par parler d’argent : c’est le scénario de l’arnaque aux sentiments.
• Limitez ce que vous publiez : date de naissance, adresse, absence en vacances, noms des enfants servent aux escrocs.
• Activez la double authentification sur chaque réseau social.

• Parlez-en sans infantiliser. « Moi aussi j’ai failli me faire avoir » ouvre la discussion mieux qu’un sermon.
• Une règle d’or à afficher près du téléphone : « Je ne donne jamais de code, je ne fais jamais de virement au téléphone. Je raccroche et j’appelle [prénom]. »
• Convenez d’un mot de passe familial à demander en cas d’appel ou de message urgent d’un « petit-enfant ».
• Activez les mises à jour automatiques et le filtrage des SMS inconnus sur leur téléphone.
• Inscrivez leur numéro sur Bloctel.
• Avec leur accord, proposez-leur d’activer des alertes de paiement dans l’application de leur banque.