Un message vous annonce un remboursement, une régularisation ou une mise à jour de dossier. Il porte le nom d'un organisme que vous connaissez, et il vous donne une adresse. La question n'est pas de savoir si le message est bien écrit : les faux le sont souvent mieux que les vrais. La question est de savoir si cette adresse appartient réellement à l'organisme.
Lire une adresse dans le bon sens
Une adresse de site se lit de droite à gauche, et le nom qui compte est celui qui précède immédiatement l'extension finale, juste avant la première barre oblique.
ameli.fr/compte : le site est ameli.fr. C'est le vrai.
ameli-remboursement.info : le site est ameli-remboursement.info. Ce n'est pas ameli.fr.
ameli.fr.espace-verification.com : le site est espace-verification.com. Le début n'est qu'un décor.
Cette dernière forme est la plus trompeuse, parce que l'œil s'arrête sur les premiers mots. N'importe qui peut placer « ameli.fr » au début d'une adresse qui ne lui appartient pas. Personne ne peut se placer à la fin sans posséder le domaine.
La règle en une phraseLe nom qui compte est celui qui touche l'extension finale. Tout ce qui est écrit avant peut avoir été choisi par un escroc.
Le .gouv.fr, et son piège
L'extension .gouv.fr n'est pas ouverte à la vente : elle est réservée aux services de l'État. Une adresse qui se termine par .gouv.fr est donc authentique, et c'est une règle sûre.
Le piège est qu'elle ne vaut que si l'adresse se termine par là. Comparez :
- impots.gouv.fr se termine par .gouv.fr : c'est le vrai site des impôts.
- impots.gouv.fr.paiement-securise.com se termine par .com : ce n'est pas un site de l'État, malgré les apparences.
- impots-gouv.fr se termine par .fr, pas par .gouv.fr : un tiret change tout, et cette adresse a pu être achetée par n'importe qui.
Les adresses des organismes les plus imités
Voici les adresses réelles, celles que vous pouvez taper vous-même dans votre navigateur plutôt que de suivre un lien reçu.
- Assurance maladie : ameli.fr
- Impôts : impots.gouv.fr
- Allocations familiales : caf.fr
- URSSAF : urssaf.fr
- Amendes : amendes.gouv.fr et antai.gouv.fr
- Carte grise et permis : ants.gouv.fr
- Assurance retraite : lassuranceretraite.fr
- Renseignements administratifs : service-public.fr
Aucun de ces organismes ne vous demandera vos coordonnées bancaires par SMS, ni un code reçu par téléphone. Un remboursement de l'Assurance maladie arrive sur le compte qu'elle connaît déjà, sans que vous ayez à le saisir de nouveau.
Ce que nous vérifions, de notre côté
Les listes de sites frauduleux disent ce qui est mauvais. Elles ne disent jamais ce qui est vrai. Nous nous appuyons donc aussi sur le répertoire des noms de domaine du secteur public, tenu par la Direction interministérielle du numérique.
- 89 454 adresses de services publics y sont recensées : mairies, hôpitaux, caisses, préfectures, établissements scolaires.
- Si l'adresse que vous nous soumettez s'y trouve, nous vous le disons, et nous ne vous alarmons pas à tort sur le site réel de votre commune.
- Si elle reprend le nom d'un organisme sans lui appartenir, nous vous montrons l'écart, avec la vraie adresse en regard.
Cette seconde vérification tient compte des substitutions de caractères. Une adresse écrite amel1.fr, avec le chiffre un à la place du i, est reconnue pour ce qu'elle est.
Le geste qui protège toujours
Quel que soit le message reçu, n'utilisez jamais le chemin qu'il vous fournit. Ouvrez votre navigateur, tapez vous-même l'adresse de l'organisme, ou ouvrez l'application que vous avez déjà installée. Si l'information est vraie, vous la retrouverez dans votre espace personnel. Si elle n'y est pas, c'est qu'elle n'existait pas.