Comment reconnaître un lien raccourci piégé avant de cliquer ?

Pourquoi les liens raccourcis servent-ils aux escrocs ?

Un lien court masque l’adresse réelle. Les escrocs en profitent pour cacher un faux site de banque, de livraison ou d’administration derrière quelques lettres, dans un SMS ou un e-mail. C’est le principe de l’hameçonnage : vous attirer sur une fausse page pour vous faire saisir un mot de passe, un code ou un numéro de carte.

Le raccourcissement n’est pas dangereux en soi : la plupart des liens courts sont légitimes. Le risque tient à ce qu’on ne voit pas où l’on va. Il faut donc ajouter une étape de vérification.

Quels signes doivent vous alerter avant de cliquer ?

Le lien lui-même dit peu. C’est le contexte qui doit vous alerter.

• Un message inattendu qui vous presse : colis en attente, compte bloqué, amende à régler, gain à récupérer.
• Un expéditeur inconnu, ou un numéro ou une adresse qui ne correspond pas à l’organisme annoncé.
• Une demande de saisir un mot de passe, un code reçu par SMS ou des coordonnées bancaires.
• Des fautes, un ton inhabituel ou une offre trop belle.
• Un lien reçu sur une messagerie par une connaissance dont le message ne lui ressemble pas : son compte a peut-être été piraté.

Comment voir où mène un lien court sans cliquer ?

Plusieurs moyens existent. Sur ordinateur, passer la souris sur un lien affiche souvent l’adresse complète en bas du navigateur, mais cela ne montre que l’adresse courte si le lien est déjà raccourci. Un vérificateur de lien suit la redirection pour vous et affiche la destination finale sans que vous la visitiez.

Certains services offrent un aperçu intégré. Chez Qlynk, il suffit d’ajouter le signe + à la fin du lien : qlynk.eu/exemple+ affiche la destination complète, le site, la date de création du lien et l’état des signalements, sans compter de visite. Ce réflexe vaut pour tout lien Qlynk reçu.

Que vérifier dans l’adresse de destination ?

Une fois la destination connue, lisez le nom de domaine, c’est-à-dire la partie juste avant la première barre oblique simple.

• Le vrai domaine est la fin du nom, avant le premier /. Dans impots.gouv.fr.verification-compte.com, le site est verification-compte.com, pas impots.gouv.fr.
• Méfiez-vous des fautes d’orthographe volontaires (paypa1 avec un 1, par exemple) et des noms trop longs.
• Le cadenas ou le https:// ne prouvent pas que le site est honnête : de faux sites en ont aussi.
• En cas de doute sur une banque, un organisme ou un transporteur, ne suivez pas le lien : tapez vous-même l’adresse connue ou ouvrez l’application officielle.

Comment signaler un lien raccourci suspect ?

Signalez-le, cela protège les autres. Pour un lien Qlynk, utilisez la page de signalement de qlynk.eu : indiquez le lien et la raison (hameçonnage, logiciel malveillant, arnaque, spam, contenu illégal ou autre). Le signalement est examiné, en général dans la journée. Quand plusieurs personnes signalent le même lien, les visiteurs voient un avertissement avant la redirection. Si le lien est dangereux, il est coupé et son auteur suspendu. Qlynk refuse aussi à la création certaines adresses jugées dangereuses.

Pour une arnaque reçue par message, vous pouvez aussi transférer les SMS suspects au 33700, signaler les e-mails sur signal-spam.fr et les contenus illicites sur internet-signalement.gouv.fr. Le site cybermalveillance.gouv.fr propose en outre une aide pour les victimes.

Que faire si vous avez déjà cliqué ?

Restez calme et agissez vite. Si vous n’avez rien saisi, fermez la page : le simple fait d’avoir cliqué est rarement grave. Si vous avez entré un mot de passe, changez-le tout de suite sur le vrai site, ainsi que partout où vous l’utilisez. Si vous avez donné des coordonnées bancaires, appelez votre banque pour faire opposition. Si vous avez téléchargé un fichier, lancez une analyse antivirus. Gardez une capture du message, elle sert si vous déposez plainte.

Comment protéger vos propres visiteurs quand vous créez des liens ?

Si vous diffusez des liens courts, c’est aussi à vous de rassurer ceux qui les reçoivent. Un lien inconnu qui arrive sans contexte fait hésiter, et c’est une bonne chose : aidez vos lecteurs à hésiter moins.

Annoncez toujours ce que le lien ouvre dans le texte qui l’accompagne, et signez vos messages. Choisissez une fin de lien lisible, à votre nom, plutôt qu’une suite de lettres. Utilisez le même domaine court dans toutes vos communications pour que vos contacts s’habituent à le reconnaître.

Vous pouvez aussi indiquer à votre public qu’il peut vérifier un lien avant de l’ouvrir. Et n’utilisez jamais un lien court pour cacher une destination qui n’aurait pas été acceptée en clair : sur Qlynk, les liens signalés par plusieurs personnes affichent un avertissement, puis peuvent être coupés.