Un SMS vous annonce un colis en attente, votre banque signale une opération suspecte, un mail vous invite à « confirmer vos informations ». À chaque fois, la même question :
ce lien est-il sûr, ou est-ce un piège ? Et la même tentation : cliquer juste pour voir.
C'est précisément ce qu'il ne faut pas faire. La bonne nouvelle, c'est qu'il existe une méthode simple, sans aucune compétence technique, pour
vérifier un lien avant de l'ouvrir. Elle tient en trois gestes : copier le lien sans l'ouvrir, le lire correctement, puis le passer dans un vérificateur gratuit. Voici comment faire, calmement, sur téléphone comme sur ordinateur.
La phrase à retenir : on ne clique jamais « juste pour voir ». On copie, on lit, on vérifie. Et dans le doute, on passe par le site officiel qu'on tape soi-même.
L'essentiel en 30 secondes
- Ne cliquez pas. Pour voir où mène un lien, il suffit de le copier : appui long sur mobile, clic droit sur ordinateur. Le lien ne s'ouvre pas.
- Lisez l'adresse de droite à gauche. Le vrai propriétaire du site est le dernier nom avant la première barre
/. Dans laposte.fr.suivi-colis.net/paiement, ce n'est pas laposte.fr, c'est suivi-colis.net : un faux.
- Collez le lien dans un vérificateur gratuit. Le nouveau Malwarebytes Scam Link Check (octobre 2026) affiche la vraie destination après redirections, la réputation du domaine et la marque éventuellement imitée.
- Deux limites à connaître : un lien jugé « inconnu » n'est pas un lien sûr ; et aucun outil ne remplace la vraie question : que vous demande-t-on de faire ? (payer, vous connecter, agir dans l'urgence = méfiance).
- Ces trois gestes valent pour les SMS, les mails, les messageries, les codes QR et même les résultats sponsorisés d'un moteur de recherche.
Sommaire
1. Pourquoi on ne clique jamais « juste pour voir »
On a longtemps dit « méfiez-vous des messages mal écrits, qui ne connaissent pas votre nom ». Ce conseil est
périmé. Les fuites de données ont livré aux escrocs votre nom, votre numéro, parfois le détail exact de vos commandes : les faux messages sont désormais bien rédigés, personnalisés, et citent la bonne référence. Le nom de l'expéditeur et le numéro peuvent même être
usurpés, si bien que le faux SMS se range dans le vrai fil de discussion de votre banque ou de votre transporteur.
Autrement dit :
le contenu du message ne prouve plus rien. Le seul point sur lequel vous gardez la main, c'est le lien. Avant de l'ouvrir, on peut savoir où il mène sans courir le moindre risque.
Un mot rassurant au passage : sur un téléphone à jour,
la simple ouverture d'une page web n'infecte presque jamais l'appareil. Le danger n'est pas la page elle-même, c'est ce qu'elle va vous demander de taper (identifiants, carte bancaire) ou d'installer. Mais puisqu'on peut vérifier avant, autant le faire.
2. Geste n° 1 : copier le lien sans l'ouvrir
Le réflexe de tout le monde est de
toucher le lien. Il suffit en réalité de le
copier, ce qui ne l'ouvre pas.
Sur téléphone (Android ou iPhone) : posez le doigt sur le lien et
maintenez l'appui une seconde, sans relâcher tout de suite. Un petit menu apparaît avec, selon les cas, l'adresse complète affichée en haut et une option
« Copier » (ou « Copier le lien »). Choisissez Copier. Rien ne s'ouvre, le lien est désormais en mémoire.
Sur mobile, cet appui long rend déjà un grand service : il affiche la destination réelle du lien, même quand le texte visible disait autre chose. Souvent, la supercherie saute aux yeux dès cette étape.
Sur ordinateur : faites un
clic droit sur le lien, puis choisissez
« Copier l'adresse du lien » (le libellé varie un peu selon le navigateur). Là encore, le lien n'est pas ouvert, juste copié.
Dans un
mail, ne vous fiez jamais au texte du bouton (« Suivre mon colis », « Confirmer »). Le texte affiché et la vraie adresse derrière sont deux choses différentes. C'est l'adresse derrière qu'on veut lire.
3. Geste n° 2 : lire l'adresse de droite à gauche
Une fois le lien sous les yeux, encore faut-il savoir le lire. C'est la compétence la plus utile qui soit, et elle s'apprend en une minute.
Le vrai propriétaire d'un site est le dernier nom situé juste avant la première barre oblique /, et on le lit de droite à gauche. Tout ce qui est écrit à gauche de ce nom est un décor que n'importe qui peut inventer.
Quelques exemples parlants :
| Adresse dans le message |
Le vrai site est... |
Verdict |
laposte.fr.suivi-colis.net/paiement |
suivi-colis.net |
❌ faux (ce n'est pas laposte.fr) |
www.laposte-livraison.com |
laposte-livraison.com |
❌ faux (le vrai, c'est laposte.fr) |
t-mobile.cugbjl.top/pay |
cugbjl.top |
❌ faux (la marque à gauche n'est qu'un préfixe) |
www.laposte.fr/suivi |
laposte.fr |
✅ vrai |
Le piège favori des escrocs est de
placer le nom d'une marque connue à gauche (
laposte.fr.autrechose.net) en pariant que vous vous arrêterez à ce que vous reconnaissez. Prenez l'habitude de chercher la première barre
/, et de regarder le nom qui la précède immédiatement.
Deux croyances à démonter au passage :
- Le cadenas et le « https » ne prouvent rien. Ces certificats sont gratuits et automatiques : la quasi-totalité des faux sites en ont un. Un cadenas signifie seulement que la liaison est chiffrée, pas que le site est honnête.
- Les mentions « Paiement 100 % sécurisé », « SSL 256 bits », « Connexion sécurisée » affichées sur une page ne sont que des images. Les escrocs les collent eux-mêmes. Elles ne certifient rien.
Et un signal simple : un
lien raccourci (bit.ly, tinyurl, et tous les liens courts incompréhensibles) dans un SMS prétendument « officiel » est
toujours suspect. Les vraies entreprises n'ont aucune raison de masquer leur adresse. C'est justement pour ces liens-là que l'étape suivante est précieuse : avec un lien raccourci, impossible de lire la destination à l'œil, il faut un outil pour la révéler.
4. Geste n° 3 : passer le lien dans un vérificateur gratuit
Les copies de sites sont devenues si parfaites, et les liens raccourcis si opaques, que la lecture à l'œil a ses limites. D'où l'intérêt d'un
vérificateur de lien : un service où l'on colle l'adresse copiée, et qui l'inspecte à votre place,
sans que vous l'ouvriez.
En octobre 2026, Malwarebytes a mis en ligne un outil gratuit et sans inscription,
Scam Link Check (
malwarebytes.com/scam-check/link). Son usage est à la portée de tous :
- Copiez le lien (geste n° 1).
- Ouvrez vous-même, dans votre navigateur, l'adresse
malwarebytes.com/scam-check/link.
- Collez le lien dans le champ prévu, et lancez la vérification.
L'outil vous indique alors :
- la destination finale du lien, une fois toutes les redirections suivies (c'est l'intérêt majeur pour les liens raccourcis) ;
- la réputation du domaine d'arrivée ;
- s'il imite une marque connue (banque, transporteur, administration) ;
- un aperçu du site sans que vous ayez à y aller ;
- une recommandation claire.
C'est exactement l'outil qu'il faut quand un lien raccourci cache sa destination, ou quand une page paraît trop parfaite pour qu'on tranche à l'œil.
5. Les deux limites à connaître absolument
Un vérificateur est une aide, pas un gilet pare-balles. Deux pièges guettent ceux qui lui font une confiance aveugle.
1. « Inconnu » ne veut pas dire « sûr ». Un domaine créé il y a trois heures pour une campagne d'arnaque n'a encore mauvaise réputation nulle part : l'outil le classera « inconnu », ce qui n'est
pas un feu vert. La règle en cas de doute ne change pas :
on ne clique pas, on va sur le site officiel en tapant soi-même l'adresse (ou via l'application officielle déjà installée).
2. Aucun outil ne remplace la vraie question : que vous demande-t-on de faire ? C'est le critère qui tranche tout, et il ne dépend d'aucune technologie. Un message, même venu d'un site qui existe vraiment, qui vous réclame
un paiement, un RIB, un mot de passe, un code reçu par SMS, ou l'installation d'une application, est frauduleux. L'urgence (« agissez dans l'heure », « votre compte va être bloqué ») est un signal d'alarme à elle seule : on cherche à vous empêcher de réfléchir.
À garder en tête : un lien peut passer tous les contrôles techniques et rester un piège à cause de ce qu'on vous demande une fois dessus. Vérifiez le lien, mais gardez toujours un œil sur l'action demandée.
6. La même méthode pour les QR codes et les résultats de recherche
Ces trois gestes ne servent pas qu'aux SMS et aux mails. Ils valent partout où l'on vous présente un lien que vous n'avez pas tapé vous-même :
- Codes QR (sur une affiche, un parcmètre, un faux courrier, un mail) : l'appareil photo du téléphone affiche l'adresse avant de l'ouvrir. Lisez-la (geste n° 2) au lieu d'appuyer machinalement. Les QR collés par-dessus les vrais, sur le mobilier urbain, sont une arnaque courante.
- Messageries (WhatsApp, Messenger, SMS d'un « proche ») : un lien envoyé même par un contact connu peut venir d'un compte piraté. Copiez, lisez, vérifiez.
- Résultats sponsorisés d'un moteur de recherche : les premières lignes marquées « Annonce » peuvent mener à un faux site qui imite une marque. Quand vous cherchez votre banque ou un service administratif, préférez l'adresse officielle tapée directement, ou le résultat naturel, pas la publicité.
Questions fréquentes
Est-ce que copier un lien peut déclencher quelque chose de dangereux ?
Non. Copier un lien le met simplement en mémoire, exactement comme copier un bout de texte. Rien ne s'ouvre, rien ne s'installe. C'est précisément pour ça qu'on copie au lieu de cliquer.
Et si j'ai déjà cliqué sur le lien, sans rien taper ?
Le risque est faible. Fermez la page, ne revenez pas dessus, et surveillez vos comptes les jours suivants. Sur un téléphone à jour, ouvrir une page n'infecte quasiment jamais l'appareil. Le danger n'apparaît que si vous avez
saisi des informations (identifiants, carte bancaire) ou
installé une application : là, il faut réagir vite (changer le mot de passe sur le vrai site, faire opposition sur la carte).
Faut-il installer une application pour vérifier les liens ?
Non, et c'est même à éviter. Le vérificateur de Malwarebytes fonctionne directement dans le navigateur, sans inscription ni installation. Méfiez-vous au contraire des applications « anti-arnaque » proposées par un SMS ou une publicité : c'est parfois le piège lui-même.
Le lien vient d'un numéro que je connais, dans le fil habituel de ma banque. C'est forcément vrai ?
Non. Le nom d'expéditeur et le numéro peuvent être usurpés, et le faux message se glisse alors dans la conversation habituelle. Ne vous fiez jamais à l'apparence du fil : fiez-vous à la méthode (copier, lire, vérifier) et à l'action demandée.
Le vérificateur me dit que le site est « inconnu ». Je peux y aller ?
Non, « inconnu » n'est pas « sûr ». Un site d'arnaque tout neuf est toujours « inconnu » au début. Dans le doute, n'ouvrez pas le lien : rendez-vous sur le site officiel en tapant vous-même son adresse.
7. Nous pouvons vous aider
Nous sommes à Hyères, 18 avenue Olbius Riquier, et les arnaques par lien (faux colis, faux conseiller, fausses connexions) font partie des cas que nous voyons le plus souvent chez les particuliers.
/ / atelier au
18 avenue Olbius Riquier, 83400 Hyères.
Selon votre situation :
- Vous avez un doute sur un message et vous préférez une réponse humaine ? Appelez-nous, ou écrivez-nous. Nous regardons le lien avec vous, nous vous expliquons comment le lire, et nous faisons le point si vous avez déjà cliqué ou saisi quelque chose.
- Vous avez cliqué, saisi vos identifiants ou votre carte, ou installé une application à la demande du message ? Ne restez pas seul avec ça : nous vérifions l'ordinateur ou le téléphone, nous retirons ce qui a pu s'installer, et nous vous indiquons les bons réflexes (changement de mots de passe, opposition, signalement au 33 700).
- Vous préférez être accompagné chez vous, ou vous aidez un parent qui n'est pas à l'aise avec ces vérifications ? intervient à domicile chez les particuliers, agréé service à la personne, pour vous montrer la méthode pas à pas sur vos propres appareils.
- Votre ordinateur a été touché et doit être remis en état (nettoyage, réinstallation propre, matériel) ? s'en charge en atelier.
- Des fichiers ont été perdus ou chiffrés à la suite d'un piège ? est spécialisé dans la récupération de données.
En résumé
- On ne clique jamais « juste pour voir ». On copie le lien (appui long sur mobile, clic droit sur ordinateur) : il ne s'ouvre pas.
- On lit l'adresse de droite à gauche : le vrai site est le dernier nom avant la première
/. Tout ce qui est à gauche est un décor.
- Le cadenas, le « https » et les logos « paiement sécurisé » ne prouvent rien. Un lien raccourci dans un SMS « officiel » est toujours suspect.
- On passe le lien dans un vérificateur gratuit comme Malwarebytes Scam Link Check, qui révèle la vraie destination, la réputation du domaine et la marque imitée, sans l'ouvrir.
- Deux limites : « inconnu » ne veut pas dire « sûr » ; et aucun outil ne remplace la vraie question, que vous demande-t-on de faire ? Un paiement, un code SMS, un mot de passe, une installation = arnaque.
- La méthode vaut pour les SMS, mails, messageries, codes QR et résultats sponsorisés.
La phrase qui résume tout : vous n'avez pas besoin d'être expert pour ne pas vous faire piéger. Vous avez besoin de trois gestes et d'une seule question.
Sources : fiche interne BSC Sécurité « Faux SMS (smishing) » (campagnes 2026 : faux colis, droits de douane, faux contrôle d'identité par la caméra) ; Malwarebytes, lancement du vérificateur gratuit Scam Link Check (octobre 2026) et Malwarebytes Labs (lecture d'URL, liens raccourcis) ; plateforme de signalement 33 700 pour les SMS et appels frauduleux.
Pour aller plus loin : ·