Comment vérifier un lien suspect sans l’ouvrir

Comment vérifier un lien suspect sans l’ouvrir

Pour vérifier un lien suspect sans l’ouvrir, examinez son adresse réelle, comparez son nom de domaine avec celui du site officiel et confirmez la demande dans une application officielle ou auprès d’un contact connu. Un outil d’analyse peut vous aider à repérer des signaux d’alerte, mais un résultat rassurant ne prouve pas que le lien est sûr.

Le premier réflexe le plus prudent consiste à laisser le lien de côté et à accéder au service par vos propres moyens. Si un message signale un problème avec votre compte bancaire, ouvrez votre application bancaire. S’il concerne une livraison, consultez votre commande auprès du commerçant ou du transporteur que vous utilisez déjà.

Vous n’avez pas besoin de visiter un site inconnu pour choisir une façon plus sûre de vérifier la demande.

1. Affichez l’adresse réelle du lien

Le texte affiché dans un message ne correspond pas nécessairement à l’adresse qui se cache derrière. Un bouton « Suivre mon colis » ou un lien affichant le nom d’un site connu peut mener ailleurs.

Sur un ordinateur

Placez le pointeur de votre souris sur le lien sans cliquer. Plusieurs navigateurs et logiciels de courriel affichent sa destination au bas de la fenêtre ou dans une petite infobulle.

Lisez cette adresse attentivement. Si elle est tronquée ou disparaît trop rapidement, vous pouvez parfois faire un clic droit et sélectionner Copier l’adresse du lien ou Copier le lien hypertexte. Collez ensuite l’adresse dans un éditeur de texte local, comme le Bloc-notes.

Évitez de la coller dans la barre d’adresse de votre navigateur : une pression accidentelle sur Entrée pourrait ouvrir le site. Assurez-vous aussi de copier l’adresse de destination, plutôt que simplement les mots affichés.

Le Bureau de la concurrence du Canada recommande de survoler les liens pour examiner leur adresse avant de cliquer.

Sur un téléphone ou une tablette

Les applications mobiles ne traitent pas toutes les liens de la même façon. Certaines proposent une option pour copier l’adresse. D’autres affichent un aperçu de la page lorsque vous maintenez votre doigt sur le lien.

Un aperçu peut communiquer avec le site pour en charger le contenu. Ne supposez donc pas qu’il permet d’examiner le lien sans contacter sa destination.

Si vous ne savez pas comment copier l’adresse sans l’ouvrir ou déclencher un aperçu, passez cette étape. Ouvrez plutôt l’application officielle de l’organisation ou contactez l’expéditeur par un autre moyen fiable.

2. Repérez le nom de domaine

Une URL est une adresse Web. Son nom de domaine aide à identifier le site demandé. Les éléments qui suivent servent généralement à désigner une page ou à transmettre des renseignements au site.

Prenons cet exemple fictif, volontairement rendu non cliquable :

https://comptes.example[.]com/facturation?avis=123

Voici ses principales parties :

• https:// indique le mode de connexion.

• comptes.example[.]com est le nom d’hôte.

• example[.]com est le domaine principal dans cet exemple.

• /facturation désigne le chemin de la page.

• ?avis=123 transmet un renseignement au site.

La présence de mots comme « facturation », « sécurité » ou « vérification » dans le chemin ne permet pas de savoir qui exploite le site. Le guide de MDN sur la structure des URL explique la différence entre le domaine, le chemin et les paramètres.

Méfiez-vous des noms familiers placés au mauvais endroit

Imaginons qu’une banque fictive appelée Banque Érable utilise le domaine banqueerable[.]example.

Comparez ces adresses :

Les deuxième et troisième adresses contiennent le nom de la banque, mais cela n’en fait pas des adresses appartenant à cette banque.

Ces exemples illustrent la structure d’une adresse. Aucun ne prouve qu’une destination est sûre. Certaines terminaisons de domaine comportent aussi plusieurs parties, comme .co.uk. La règle consistant à lire seulement les deux derniers éléments ne fonctionne donc pas dans tous les cas.

Si vous n’arrivez pas à identifier le domaine avec confiance, utilisez un autre moyen de vérification.

3. Examinez l’orthographe et le contexte

Comparez le domaine avec une adresse que vous savez authentique, par exemple celle d’un favori fiable ou d’un relevé de compte.

Cherchez notamment :

• Des lettres manquantes, ajoutées ou inversées.

• Des chiffres utilisés à la place de lettres.

• Des mots supplémentaires accolés au nom d’une marque.

• Une terminaison de domaine différente.

• Une adresse inconnue pour une demande inattendue de connexion ou de paiement.

Mozilla décrit des techniques d’hameçonnage qui consistent à remplacer des caractères dans un domaine pour imiter une adresse légitime.

Une différence mérite votre attention, mais elle ne prouve pas automatiquement une fraude. Certaines organisations utilisent des services externes pour leurs communications et leurs paiements. Il faut alors confirmer la demande indépendamment.

Examinez aussi ce qu’on vous demande de faire. Un acheteur sur une plateforme de petites annonces veut-il vous envoyer sur un autre site pour « recevoir votre paiement »? Un collègue vous demande-t-il soudainement de vous connecter pour consulter un document inattendu?

Une adresse plausible ne suffit pas à confirmer la légitimité de la demande. Les messages d’hameçonnage peuvent même contenir des renseignements personnels pour rendre l’usurpation d’identité plus convaincante.

4. Ne considérez pas HTTPS comme une preuve de fiabilité

Une adresse commençant par https:// indique une connexion chiffrée lorsqu’elle est correctement établie. Elle ne prouve pas que le site appartient à l’organisation mentionnée dans le message.

Un site frauduleux peut lui aussi utiliser HTTPS.

Google explique qu’une connexion sécurisée protège les échanges entre vous et le site, tout en recommandant de vérifier le nom du site avant de transmettre des renseignements sensibles.

Vous n’avez pas besoin d’ouvrir une destination suspecte pour chercher un cadenas. La présence de « https » ne permet pas, à elle seule, de décider si vous pouvez faire confiance à la demande.

5. Restez prudent avec les liens raccourcis et les redirections

Un lien raccourci masque sa destination derrière une adresse plus courte. Des entreprises et des particuliers les utilisent légitimement, mais l’adresse visible fournit moins d’information sur le site où vous arriveriez.

Un lien plus long peut également passer par un ou plusieurs sites intermédiaires avant d’atteindre sa destination.

Si vous souhaitez éviter de contacter cette destination, n’ouvrez pas le lien pour découvrir où il mène. Faites aussi attention aux outils qui révèlent les destinations des liens raccourcis : selon leur fonctionnement, ils peuvent contacter l’adresse à votre place.

Pour une alerte de compte, une facture ou une demande de paiement inattendue, il est généralement inutile de suivre les redirections. Accédez au service par vos propres moyens et vérifiez la situation directement.

Une destination masquée justifie de choisir un autre moyen de vérification. La longueur du lien ne prouve pas qu’il est malveillant.

6. Utilisez un outil de vérification en comprenant ses limites

Un outil de vérification de liens suspects peut fournir des indices supplémentaires. Selon le service, il peut consulter des bases de réputation, comparer les résultats de fournisseurs de sécurité ou analyser d’autres signaux d’alerte.

Avant de soumettre une adresse, vérifiez comment le service traite les URL et si les soumissions ou les rapports sont partagés.

Par exemple, VirusTotal indique que ses rapports d’analyse sont partagés avec sa communauté publique et que des informations sont communiquées à ses partenaires d’analyse. Ne supposez pas qu’un service public de vérification constitue un espace privé.

Ne soumettez pas de liens privés

Évitez de transmettre des URL contenant :

• Des jetons de réinitialisation de mot de passe ou de connexion.

• Des invitations à des documents privés.

• Des liens donnant accès à un compte.

• Des renseignements financiers ou médicaux.

• Des renseignements personnels inutiles à l’analyse.

Certains liens donnent accès à une ressource simplement parce qu’une personne possède l’adresse. Si vous ne savez pas si un lien contient des informations d’accès privées, ne le soumettez pas à un service public.

Vérifier seulement le domaine peut limiter les renseignements transmis, mais cela ne permet pas d’évaluer le lien complet. Retirer une partie de l’adresse change ce que vous faites analyser.

Interprétez le résultat avec prudence

« Aucune menace détectée » signifie que l’outil n’a pas identifié de menace dans le cadre de ses vérifications. Ce résultat ne constitue pas une garantie de sécurité.

À l’inverse, un avertissement justifie d’arrêter et de vérifier, mais un outil automatisé peut aussi signaler un contenu légitime. VirusTotal décrit explicitement ces faux positifs dans sa documentation.

Si les résultats se contredisent ou restent difficiles à interpréter, laissez le lien fermé et confirmez la demande par un autre moyen.

Comment SamFindr peut vous aider

SamFindr utilise l’intelligence artificielle pour aider à analyser des messages et des liens suspects afin d’en repérer les signaux d’alerte.

Avant de soumettre du contenu, retirez les mots de passe, les codes d’authentification, les coordonnées financières complètes et les renseignements personnels inutiles. Ne transmettez pas de liens d’accès privés.

Vous avez reçu un lien qui vous laisse perplexe? Utilisez SamFindr pour vous aider à repérer les signaux d’alerte. Considérez le résultat comme une aide supplémentaire : l’IA peut manquer une menace ou signaler un contenu légitime.

7. Confirmez la demande par un autre moyen

Examiner l’adresse vous aide à repérer ce qui mérite une vérification. Une confirmation indépendante vous aide à déterminer si l’action demandée est réelle.

Choisissez la méthode adaptée au message :

Utilisez un favori fiable, une adresse connue ou une application déjà installée provenant d’une source légitime. N’utilisez pas le numéro de téléphone ni les coordonnées fournis dans le message suspect.

La Federal Trade Commission recommande de contacter l’organisation à partir d’un site ou d’un numéro que vous savez authentique.

Si vous ne pouvez pas confirmer la demande, laissez le lien de côté. Vous n’avez pas à prouver qu’un site est malveillant pour décider de ne pas l’utiliser.

Exemple fictif d’un lien de livraison suspect

Imaginez recevoir ce texto :

Votre colis est retenu. Payez 1,95 $ dans les deux prochaines heures pour éviter son retour.
https://livraison.example[.]com/confirmer

Il s’agit d’une illustration fictive, et non d’un incident rapporté.

L’adresse se trouve sous le domaine example[.]com. Le mot « livraison » n’identifie aucun transporteur. Les frais inattendus et le court délai sont aussi des raisons de remettre la demande en question.

Ces observations ne permettent pas de savoir ce que contient le site. Elles indiquent que vous devriez vérifier la demande ailleurs.

Ouvrez votre compte chez le commerçant, retrouvez votre commande et consultez le suivi auprès du transporteur connu. Si la situation reste ambiguë, contactez le service à la clientèle à partir de coordonnées vérifiées.

Que faire si vous avez déjà ouvert le lien?

Cessez d’interagir avec la page. Les prochaines étapes dépendent de ce que vous avez fait.

Vous avez seulement ouvert la page

Fermez-la, n’acceptez aucune demande et n’ouvrez aucun fichier téléchargé. Vérifiez si vous avez accordé des autorisations ou téléchargé quelque chose.

Un clic ne prouve pas, à lui seul, qu’un compte a été compromis.

Vous avez saisi un mot de passe ou un code d’authentification

Accédez au véritable service pour modifier le mot de passe concerné, examiner la sécurité du compte et contacter le soutien.

Si vous utilisiez ce mot de passe ailleurs, changez-le également sur les autres comptes concernés. Activez l’authentification multifacteur lorsqu’elle est disponible.

Pensez cybersécurité recommande de modifier les mots de passe touchés et de renforcer la protection des comptes après un incident d’hameçonnage.

Vous avez téléchargé ou installé quelque chose

N’ouvrez pas les fichiers téléchargés. Si un logiciel malveillant a pu être installé, mettez à jour votre logiciel de sécurité et lancez une analyse.

Si vous utilisez un appareil professionnel, contactez votre équipe informatique.

Vous avez transmis des renseignements financiers ou envoyé de l’argent

Contactez rapidement votre institution financière ou votre fournisseur de paiement à partir de coordonnées vérifiées. Conservez le message et les preuves de transaction.

Le remboursement ou la récupération des fonds ne sont pas garantis.

Le Centre antifraude du Canada propose des démarches pour les victimes de fraude, notamment contacter les institutions financières et conserver les éléments de preuve.

Au Canada, consultez les instructions du Centre antifraude pour signaler une fraude ou un cybercrime. Aux États-Unis, vous pouvez signaler une tentative d’hameçonnage sur ReportFraud.ftc.gov.