Lien tinyurl dans un SMS : arnaque ou pas ? Comment vérifier sans cliquer

Ce que cache un lien raccourci

Un service comme TinyURL transforme une adresse longue en lien court, du type tinyurl.com/ suivi de quelques caractères. Quand vous touchez le lien, il vous renvoie vers l’adresse d’origine. Le service est légitime : il sert à envoyer des liens lisibles par SMS, sur les réseaux sociaux ou dans des publicités.

Pour un escroc, il a un autre intérêt. Cybermalveillance.gouv.fr donne un conseil central contre les faux sites : lire l’adresse du site, car un seul caractère peut changer pour vous tromper. Avec un lien raccourci, cette lecture devient impossible avant d’avoir cliqué. Et sur un téléphone, l’adresse s’affiche souvent tronquée dans le navigateur, ce qui rend la vérification encore plus difficile une fois sur la page.

Un lien tinyurl ne prouve pas qu’un SMS est une arnaque. Il vous retire seulement le moyen de le vérifier. Dans le doute, faites comme s’il en était une.

Les signes qui doivent vous arrêter

Le lien raccourci compte rarement seul. Regardez le reste du message :

• Il vous presse. Un délai (« avant demain », « sous 24 h »), une menace de suspension, de majoration ou de perte d’un colis : l’urgence est la marque des SMS frauduleux.
• Il réclame une action. Payer, compléter un dossier, mettre à jour des informations, récupérer un remboursement.
• L’expéditeur est un numéro de mobile ordinaire, en 06 ou en 07. Pour un SMS venu d’un tel numéro, le 33700 recommande de ne rien faire de ce qu’il demande au moindre soupçon.
• Le message ne vous nomme pas. « Votre dossier », « votre compte », sans votre nom ni aucun détail précis.

Comment vérifier sans cliquer

1. Ne touchez pas le lien.
2. Identifiez l’organisme dont parle le message, s’il en cite un.
3. Vérifiez par un autre chemin : son application officielle, votre espace client ouvert depuis un favori que vous avez créé vous-même, ou son numéro habituel. C’est le conseil de Cybermalveillance.gouv.fr.
4. Signalez le SMS au 33700 en le transférant, gratuitement. Le guide signaler un SMS au 33700 détaille la marche à suivre.
5. Supprimez le message.

Si le message ne cite aucun organisme, il n’y a rien à vérifier : c’est un appât, supprimez-le après l’avoir signalé.

Si vous avez déjà cliqué sur le lien

Vous avez ouvert la page sans rien taper. Fermez-la. Si une alerte vous invite à installer une application ou une mise à jour, refusez : selon Cybermalveillance.gouv.fr, c’est ainsi que certains SMS installent un virus capable de voler vos mots de passe ou d’intercepter vos codes reçus par SMS.

Vous avez installé une application à la demande de la page. Désinstallez-la, et changez depuis un autre appareil les mots de passe de vos comptes importants, en commençant par votre messagerie et votre banque.

Vous avez donné votre carte bancaire.

1. Faites opposition tout de suite, auprès de votre banque ou au 0 892 705 705, le serveur interbancaire d’opposition, ouvert jour et nuit.
2. Gardez les preuves : le SMS, l’adresse de la page si vous l’avez notée, des captures d’écran.
3. Signalez la fraude sur Perceval, le service en ligne de signalement des fraudes à la carte, traité par la gendarmerie, ou portez plainte.
4. Demandez le remboursement à votre banque sans attendre : une opposition tardive peut justifier un refus.

Vous avez donné un identifiant et un mot de passe. Changez le mot de passe sur le vrai site, et partout où vous utilisiez le même.

Collez le texte du SMS dans le scanner de messages : il signale le lien raccourci et les autres signes d’arnaque, sans rien envoyer.

Un exemple de faux SMS entièrement décortiqué, avec le faux site derrière : le faux SMS de l’ANTAI.