Fausse invitation: le faux carton n’aura pas votre compte
Une fausse invitation fonctionne parce qu’elle part d’un détail banal: un carton virtuel envoyé par un parent connu, dans un groupe d’école, de garderie ou d’activité sportive.
La mécanique est souvent simple: un lien court mène vers une page qui prétend lancer un « scan de sécurité », puis redirige vers une connexion Gmail « pour vérification ». Ce n’est pas un vrai examen de votre téléphone. C’est du théâtre pour vous amener vers la vraie cible: votre mot de passe.
Si vous avez fermé l’onglet avant d’entrer votre mot de passe, respirez. Un iPhone à jour n’est pas impossible à attaquer, mais une simple visite sur une page douteuse ne veut pas dire qu’un logiciel espion s’est installé. Le scénario le plus probable reste une tentative d’hameçonnage.
Pour comprendre pourquoi les liens courts et les codes QR cachent souvent la destination réelle, voyez aussi notre texte sur les arnaques au code QR.
Pourquoi une fausse invitation peut sembler vraie
Dans un scénario courant au Québec, on peut recevoir des liens pour l’école, le soccer, la danse, la garderie, une collecte de fonds ou un rendez-vous. Les fraudeurs copient ces gestes ordinaires. Pas besoin d’un scénario spectaculaire: juste assez de réalisme pour faire cliquer vite.
Exemple concret: un groupe de parents de Laval partage une invitation pour une fête dans un centre récréatif, puis un compte courriel compromis renvoie un faux lien à toute la liste. Autre exemple: à titre d’illustration, un fraudeur pourrait prétendre confirmer un remboursement de l’ARC ou un virement Interac, puis demander une connexion courriel pour « prouver votre identité ».
Avec les jeunes, le bon réflexe s’enseigne sans faire peur: « Est-ce que je m’attendais à ce lien? Est-ce que la page me demande un compte trop vite? » Pour pratiquer ça en famille, lisez comment entraîner le réflexe anti-arnaque avant le clic.
Le vrai risque sur un iPhone à jour
- Mot de passe volé: si vous entrez Gmail, le fraudeur peut tenter d’ouvrir votre boîte, vos photos, vos reçus et vos autres comptes.
- Fausse connexion: une page peut ressembler à Google sans être Google. L’adresse du site est souvent le meilleur indice.
- Profil de configuration: plus rare, mais à vérifier. Apple explique comment installer ou retirer un profil de configuration sur iPhone.
- Maliciel automatique: possible en théorie, mais peu probable si l’iPhone est à jour et si vous n’avez installé ni fichier, ni profil, ni application.
Ce qu’il faut faire maintenant
- Ne rouvrez pas le lien. Supprimez le message ou gardez une capture d’écran si vous devez le signaler.
- Ouvrez Gmail vous-même. Tapez l’adresse dans le navigateur, puis vérifiez les appareils connectés. Google explique comment voir les appareils où votre compte est connecté.
- Changez le mot de passe si vous l’avez entré. Activez aussi la validation en deux étapes, idéalement avec une application d’authentification.
- Inspectez l’iPhone. Allez dans Réglages, Général, puis « VPN et gestion de l’appareil ». Si un profil inconnu apparaît, ne le gardez pas.
- Prévenez l’expéditeur. Son compte pourrait être compromis. Si des infos bancaires ont été données, appelez votre institution financière avec le numéro officiel au dos de la carte.
Le Centre antifraude du Canada rappelle aussi de se méfier des messages qui poussent à cliquer vite ou à fournir des identifiants.
À retenir avant le prochain clic
Réflexe: on ne se connecte jamais depuis le lien suspect. Action: ouvrez Gmail vous-même et vérifiez les appareils connectés.