URL malveillante : comment vérifier un lien avant de cliquer

Une URL, c'est l'adresse d'une page sur internet, par exemple https://www.service-public.gouv.fr/. Elle est malveillante quand elle mène à un contenu conçu pour vous nuire. On parle aussi de lien malveillant, de lien piégé ou de lien frauduleux. On en distingue plusieurs familles :

• Les pages de phishing : des copies de sites de banques, d'administrations ou de boutiques, qui récupèrent ce que vous y tapez (identifiant, mot de passe, carte bancaire).
• Les pages de téléchargement piégé : le clic lance le téléchargement d'un fichier qui, une fois ouvert, installe un logiciel malveillant (virus, logiciel espion, rançongiciel).
• Les faux paiements : une page de « frais de livraison », d'amende ou de stationnement qui débite votre carte au profit de l'escroc.
• Les liens masqués : un lien raccourci, une redirection ou un QR code qui cache la vraie destination.

Dans une adresse, le nom de domaine est la partie située entre « https:// » et le premier « / » qui suit. Le vrai propriétaire du site est indiqué par les deux derniers morceaux de ce nom de domaine, séparés par un point. Tout ce qui est écrit avant peut être choisi librement par l'escroc.

• https://www.banque-exemple.fr/compte : le domaine est « banque-exemple.fr ».
• https://banque-exemple.fr.securite-compte.xyz/connexion : le domaine est « securite-compte.xyz ». Le nom de la banque n'est qu'un leurre placé devant.
• https://securite-compte.xyz/banque-exemple.fr/ : même chose, le nom de la banque est placé après le « / », il ne compte pas.

Ces adresses sont des exemples inventés.

DYLETH est une application gratuite, sur Android et iPhone. Elle n'analyse pas vos e-mails automatiquement et ne se connecte pas à votre messagerie.

• Navigation protégée (Android et iPhone) : si vous l'activez, un DNS sécurisé bloque les sites frauduleux connus dans toutes vos applications, y compris si vous ouvrez un lien reçu par e-mail, en Wi-Fi comme en 4G ou 5G.
• Vérifier un message (Android et iPhone) : collez ou partagez un message qui contient un lien. DYLETH signale notamment les liens qui ne mènent pas au site officiel de l'organisme cité. Sur iPhone seulement, vous pouvez aussi choisir une capture d'écran.
• Vérifier un QR code (Android et iPhone) : DYLETH lit l'adresse cachée dans un QR code et donne un verdict sans ouvrir la page.

La navigation protégée bloque les sites frauduleux connus : un site tout juste créé peut ne pas encore être répertorié. Lire l'adresse reste donc utile.

Qu'est-ce qu'une URL malveillante ?

C'est l'adresse d'une page piégée : un faux site qui vole vos identifiants ou vos coordonnées bancaires, une fausse page de paiement, ou une page qui télécharge un logiciel malveillant. Elle arrive souvent par e-mail, SMS, QR code ou fichier joint.

Comment vérifier un lien sans cliquer dessus ?

Sur ordinateur, survolez le lien avec la souris sans cliquer pour voir l'adresse réelle. Sur mobile, faites un appui long sur le lien. Vérifiez ensuite que le nom de domaine correspond exactement à celui de l'organisme officiel.

Comment lire une URL masquée ?

Une URL masquée est une adresse cachée derrière un texte (« Mon espace »), un bouton ou un lien raccourci. Pour voir l'adresse réelle, survolez le lien sans cliquer sur ordinateur, ou faites un appui long sur mobile, puis lisez le nom de domaine. Un lien raccourci ne montre pas sa destination : dans un message inattendu, ne l'ouvrez pas et passez par le site officiel.

Un lien en https est-il forcément sûr ?

Non. Le cadenas et le https indiquent seulement que la connexion est chiffrée. Un faux site peut aussi les afficher. C'est le nom de domaine qu'il faut vérifier.

Qu'est-ce qu'un fichier URL malveillant ?

Un lien piégé peut se cacher dans un fichier joint : un raccourci Internet Windows (.url), une page .html qui imite une page de connexion, une archive .zip ou un programme .exe. N'ouvrez pas les pièces jointes d'un message suspect ou d'un expéditeur inconnu.

J'ai cliqué sur un lien malveillant, que faire ?

Fermez la page sans rien saisir et n'ouvrez pas les fichiers téléchargés. Si vous avez donné un mot de passe, changez-le ; si vous avez donné votre carte, faites opposition. Si vous avez ouvert un fichier, déconnectez l'appareil d'internet et faites-vous aider par 17Cyber.