Hameçonnage : courriel, texto, code QR

Capsules

1. 1

   Les signes qui trahissent un message

   2 min
   Capsule vidéo en tournage

   Les signes qui trahissent un message

   L’hameçonnage joue d’abord sur vos émotions, ensuite sur la technique. Quelques signes d’origine et de contenu aident à le repérer, mais l’urgence reste le plus fiable.

   Lire la capsule (transcription)

   Sophie travaille dans un cabinet comptable de Laval. Un mardi, à 16 h 50, un courriel arrive : « Facture impayée, votre service sera suspendu ce soir. » Le logo est là. Le ton est sérieux. Son cœur accélère et sa main va vers le lien. Arrêtons-nous ici. C’est exactement le moment où l’hameçonnage fonctionne.

   Voici l’idée centrale. L’hameçonnage est un message qui se fait passer pour quelqu’un de confiance, afin de vous faire cliquer, payer ou livrer un renseignement. Il joue d’abord sur vos émotions, ensuite seulement sur la technique. Le Centre canadien pour la cybersécurité, le CCC, publie les signes à surveiller. On peut les ranger en deux familles : d’où vient le message, et ce qu’il demande.

   Commençons par l’origine. L’expéditeur vous est inconnu, ou son nom est presque bon, avec une lettre changée. Le nom de domaine, la partie après l’arobase, n’existe pas ou ne ressemble pas à celui de l’entreprise. Les logos sont un peu flous ou déformés. La salutation est générique : « Cher client », « Bonjour utilisateur ». Un fournisseur qui vous facture chaque mois connaît votre nom.

   Passons au contenu. Le ton est pressant : tout de suite, avant ce soir, dernier avis. Ou la demande sort de l’ordinaire : un mot de passe, un renseignement sensible, une facture que personne ne reconnaît. On pense aux fautes de langue, mais attention. Avec l’intelligence artificielle générative, des messages piégés sont maintenant très bien écrits. Un français impeccable ne prouve donc rien. L’urgence et l’étrangeté de la demande, elles, doivent vous alerter.

   Pourquoi cela marche-t-il, même sur des gens très compétents ? Parce que l’urgence coupe la réflexion. À 16 h 50, on veut fermer ses dossiers, pas se poser des questions. Faites-en un signal : plus un message presse, plus il mérite une pause de dix secondes. Cette pause n’est pas de la lenteur. C’est du métier.

   À retenir : un message qui presse, qui surprend ou qui demande quelque chose d’inhabituel mérite une pause, même s’il est bien écrit.

   • Origine : expéditeur inconnu ou presque bon, nom de domaine invalide, logos altérés, salutation générique.
   • Contenu : ton urgent, demande inhabituelle (renseignement sensible, facture impayée).
   • Les fautes de langue ne sont plus un indice fiable : l’IA générative écrit très bien.
   • Plus un message presse, plus il mérite une pause.
2. 2

   Vérifier sans cliquer

   2 min
   Capsule vidéo en tournage

   Vérifier sans cliquer

   Devant le doute, on ne répond pas au message : on vérifie par un autre chemin. Pas de clic, pas de pièce jointe, un appel à un numéro qu’on connaît déjà, puis un signalement.

   Lire la capsule (transcription)

   Marc est réceptionniste dans une clinique dentaire de Sherbrooke. Il reçoit un courriel : « Votre relevé de paie a été mis à jour, ouvrez la pièce jointe. » Le message a l’air de venir de l’administration. Pourtant, l’administration n’envoie jamais les relevés ainsi. Que fait Marc ? L’idée centrale tient en une phrase : devant le doute, on ne répond pas au message, on vérifie par un autre chemin. Trois gestes suffisent.

   Premier geste : ne cliquez sur aucun lien et n’ouvrez aucune pièce jointe, même pour voir. Un lien peut afficher un nom et mener ailleurs. Si vous croyez que le message est réel, tapez vous-même l’adresse du site, ou passez par un moteur de recherche. Vous arrivez au bon endroit, et le message piégé ne vous a rien coûté. Cela vaut aussi pour un message qui promet un remboursement ou un colis : on passe par la porte d’entrée, jamais par la fenêtre.

   Deuxième geste : joignez l’expéditeur par un autre moyen. Marc téléphone à l’administration, à un numéro qu’il connaît déjà. Réponse : « Non, nous n’avons rien envoyé. » Trente secondes. Il n’utilise surtout pas le numéro écrit dans le courriel, ni le bouton « répondre ». Ce serait demander au fraudeur s’il est un fraudeur.

   Troisième geste : signalez. Transmettez le message à l’équipe de sécurité de votre organisation, ou à votre gestionnaire si rien n’est prévu. Ne l’envoyez pas aux collègues pour les avertir. Vous augmenteriez les chances que quelqu’un clique.

   Il reste deux pièges émotionnels. D’abord la curiosité : « Je vais juste regarder. » Ensuite la peur de déranger : « Ce n’est peut-être rien. » Un signalement pour rien ne dérange personne. Un clic de trop, lui, peut coûter cher à toute l’équipe. Et dites-vous que si vous hésitez, un collègue hésiterait aussi.

   À retenir : je ne clique pas, je ne réponds pas, je vérifie par un autre chemin et je signale.

   • Ne cliquer sur aucun lien et n’ouvrir aucune pièce jointe, même pour « juste voir ».
   • Atteindre le site en tapant soi-même l’adresse ou en passant par un moteur de recherche.
   • Joindre l’expéditeur par un autre moyen, comme un appel à un numéro déjà connu.
   • Signaler à l’équipe de sécurité, sans transférer le message aux collègues.
3. 3

   Textos et codes QR

   2 min
   Capsule vidéo en tournage

   Textos et codes QR

   Le texto et le code QR sont deux portes de plus pour le même piège. Les mêmes règles s’appliquent : urgence, vérification par un autre moyen, aucune adresse inconnue ouverte.

   Lire la capsule (transcription)

   Nathalie coordonne des bénévoles dans un OBNL de Trois-Rivières. Elle reçoit un texto : « Colis en attente, confirmez votre adresse. » Justement, elle attend un colis. Le texto s’est même glissé dans le fil où elle reçoit les vrais avis du transporteur. Elle appuie ?

   L’idée centrale : le texto et le code QR sont des portes de plus pour le même piège. Les règles ne changent pas. Seul le décor change, et sur un petit écran, on voit moins de choses.

   D’abord le texto. L’avis du CCC et de la GRC le dit : les numéros peuvent être usurpés, donc le nom affiché ne prouve rien. L’urgence est présente, et le message peut apparaître dans un vrai fil de discussion. Le fil familier ne garantit donc pas l’authenticité. Vous n’ouvrez pas le lien. Si vous attendez vraiment un colis, vous allez sur le site du transporteur en tapant l’adresse. Puis vous transférez le texto au 7726, qui épelle SPAM sur le clavier.

   Ensuite le code QR. C’est une adresse Web dessinée en petits carrés : l’œil ne peut pas la lire. Le CCC recommande de ne numériser aucun code QR reçu dans un message non sollicité. Un courriel du « service informatique » avec un code pour « réactiver votre accès » en est un bon exemple. Pour un code vu ailleurs, regardez l’adresse qui s’affiche avant de continuer. Si elle ne correspond pas à l’organisation, vous vous arrêtez.

   Et si Nathalie avait déjà donné des renseignements, ou perdu de l’argent ? Elle le signale au Centre antifraude du Canada et à la police locale. Au travail, elle en parle d’abord à son gestionnaire, tout de suite.

   À retenir : même règle partout. Un message qui presse se vérifie par un autre chemin, qu’il arrive par courriel, par texto ou par code QR.

   • Un texto peut venir d’un numéro usurpé, et même s’insérer dans un vrai fil de discussion.
   • Texto suspect : ne pas ouvrir le lien, le transférer au 7726 (SPAM).
   • Un code QR cache l’adresse : ne numérisez aucun code QR reçu dans un message non sollicité.
   • Renseignements donnés ou argent perdu : Centre antifraude du Canada et police locale.
4. 4

   Si vous avez cliqué

   2 min
   Capsule vidéo en tournage

   Si vous avez cliqué

   Un clic arrive à tout le monde. Ce qui coûte cher, c’est le silence. On coupe la connexion, on avertit tout de suite, on change les mots de passe depuis un autre appareil et on le dit sans honte.

   Lire la capsule (transcription)

   Étienne travaille au bureau d’une entreprise de construction de Saint-Jérôme. Il a cliqué sur un lien, puis tapé son mot de passe sur une page qui ressemblait à celle de son courriel. Une chaleur lui monte dans la nuque. Deux choix : fermer l’onglet et espérer, ou agir. Un seul est le bon. L’idée centrale : un clic arrive à tout le monde. Ce qui coûte cher, ce n’est pas le clic. C’est le silence qui le suit.

   Voici l’ordre des gestes, d’après le CCC. Restez calme. Cessez d’utiliser l’appareil. Coupez la connexion Internet, en débranchant le câble ou en désactivant le Wi-Fi. La fiche du CCC va jusqu’à suggérer d’éteindre l’appareil. Votre équipe des TI vous dira laquelle des deux. Puis avisez-la tout de suite si l’appareil appartient au travail.

   Ensuite, depuis un autre appareil, changez le mot de passe du compte visé, et celui de tout autre compte qui utilise le même. Un antimaliciel analysera le poste, par les TI ou selon leurs consignes. Et surveillez vos comptes : connexions étranges, messages que vous n’avez pas écrits.

   Qui prévenir ? L’équipe de sécurité de votre organisation. Pas vos collègues par courriel : transférer le message ne fait que le propager. Si le message était menaçant ou criminel, la police locale s’en occupe, et vous gardez le courriel sans le transférer. Le CCC et le Centre antifraude du Canada reçoivent aussi les signalements. Et si des renseignements de clients étaient accessibles, il peut s’agir d’un incident de confidentialité : l’organisation doit le savoir vite pour l’évaluer.

   Reste la honte. Elle fait taire des gens honnêtes pendant des jours, et c’est pendant ces jours que les dégâts grandissent. Un organisme sain remercie la personne qui signale. Il ne la blâme pas.

   À retenir : j’ai cliqué, je coupe, j’avise, je change mes mots de passe d’ailleurs. Signaler vite vaut toujours mieux que se taire.

   • Rester calme, cesser d’utiliser l’appareil, couper la connexion Internet.
   • Aviser les TI si l’appareil appartient au travail, avant de tenter quoi que ce soit seul.
   • Changer les mots de passe depuis un autre appareil, puis surveiller ses comptes.
   • Signaler sans honte à l’équipe de sécurité, pas aux collègues ; au besoin, police et Centre antifraude.

Le relevé de paie

Hameçonnage : l’aide-mémoire

Une pause de dix secondes, une vérification par un autre chemin, un signalement rapide.

En cas de doute : Appelez votre équipe des TI ou votre gestionnaire avant d’agir. Si de l’argent ou des renseignements ont été donnés : Centre antifraude du Canada et police locale.

Astuces de terrain

Ressources

• Centre canadien pour la cybersécurité : reconnaître les courriels malveillants (ITSAP.00.100)
• Centre canadien pour la cybersécurité : avez-vous été victime de cybercriminalité? (ITSAP.00.037)
• Centre canadien pour la cybersécurité : signaler un cyberincident
• Centre antifraude du Canada : signaler une fraude (1 888 495-8501)

Quiz