Phishing sur mobile : vérifier un lien sans cliquer

Phishing sur mobile : vérifier un lien sans cliquer (sans te faire piéger)

Sur smartphone, le phishing est particulièrement efficace : écran plus petit, URL tronquées, applis qui masquent l'adresse réelle... et on clique plus vite qu'on ne réfléchit. Bonne nouvelle : tu peux vérifier un lien sans cliquer et repérer la plupart des arnaques en quelques secondes, que tu sois sur Android ou iPhone.

Dans ce guide Tuto Tech, tu vas apprendre des méthodes simples et sûres pour analyser un lien reçu par SMS, e-mail, WhatsApp, Instagram, Messenger, Telegram, ou même via un QR code, sans ouvrir la page.

Pourquoi c'est plus risqué sur mobile ?

Sur PC, tu survoles un lien avec la souris pour voir l'URL complète. Sur mobile, c'est différent :

• Les applications affichent souvent un texte "joli" (ex : "Suivi colis") au lieu de l'URL.
• Les navigateurs et apps peuvent raccourcir l'adresse (tu ne vois pas la fin du domaine).
• Les liens passent par des redirections (trackers, raccourcisseurs) qui cachent la destination.
• Un clic peut déclencher une page de connexion, une fausse banque, ou un téléchargement (APK, profil de config, etc.).

Les réflexes immédiats avant toute vérification

Avant même d'analyser le lien, applique ces règles de base :

• Ne clique pas si le message te met la pression (urgence, menace, "compte bloqué").
• Ne réponds pas au message (même "STOP") si tu n'es pas certain : ça confirme que ton numéro est actif.
• Ne copie pas tes identifiants dans un formulaire ouvert depuis un message.
• Si ça concerne un service (banque, livraison, impôts, Apple, Google), passe par l'application officielle ou tape l'adresse toi-même.

Méthode 1 : afficher l'URL sans cliquer (appui long)

La technique la plus simple consiste à faire un appui long sur le lien. Dans beaucoup d'apps, ça affiche un menu avec un aperçu ou l'adresse complète.

Sur Android (Chrome, Gmail, Messages, WhatsApp...)

1. Appuie longuement sur le lien (1 à 2 secondes).
2. Regarde si une option du type "Copier l'adresse du lien" ou "Aperçu du lien" apparaît.
3. Choisis Copier plutôt qu'ouvrir.
4. Colle l'URL dans une zone neutre (notes, brouillon) pour l'examiner (voir Méthode 2).

Sur iPhone (Safari, Mail, Messages, WhatsApp...)

1. Appui long sur le lien.
2. Un panneau peut afficher un aperçu (titre de page) et parfois l'URL.
3. Choisis "Copier le lien" (ou "Copier" selon l'app) au lieu de "Ouvrir".
4. Colle l'adresse dans Notes pour la lire tranquillement.

Attention : un aperçu n'est pas une preuve de sécurité. Un site de phishing peut avoir un titre "Crédit Agricole - Espace client" très convaincant. Ce qui compte, c'est le domaine (ex : credit-agricole.fr), pas le texte affiché.

Méthode 2 : copier-coller le lien dans Notes pour l'analyser

Une fois le lien copié, colle-le dans une app où il ne s'ouvrira pas tout seul, par exemple :

• Android : Google Keep, Notes, un brouillon SMS, ou un éditeur de texte.
• iOS : Notes, Rappels (champ texte), ou un brouillon Mail.

Ce que tu dois vérifier dans l'URL (les 6 points clés)

• Le vrai domaine : c'est la partie juste avant ".fr", ".com", ".net"... Exemple : dans https://secure.paypal.com.exemple.ru, le domaine réel est exemple.ru (pas PayPal).
• Les sous-domaines trompeurs : paypal.verif-compte.com n'est pas PayPal. Le domaine est verif-compte.com.
• Les fautes et variantes : micros0ft, app1e, amàzon, tirets suspects (banque-securite-connexion.com).
• Le protocole : "https" ne garantit pas la légitimité, mais "http" est un gros drapeau rouge.
• Les paramètres bizarres : ?login=, ?redirect=, longues chaînes incompréhensibles. Ce n'est pas forcément du phishing, mais c'est typique des liens piégés.
• Les raccourcisseurs : bit.ly, tinyurl, t.co masquent la destination. À traiter comme suspect tant que tu n'as pas "déplié" le lien.

Méthode 3 : "déplier" un lien raccourci sans l'ouvrir

Si l'URL est raccourcie (bit.ly, tinyurl, cutt.ly...), l'objectif est de connaître la destination finale sans visiter le site.

Étapes recommandées

1. Copie le lien raccourci (appui long > copier).
2. Utilise un service de prévisualisation d'URL fiable depuis ton navigateur, par exemple un "unshortener" (outil qui affiche la destination).
3. Vérifie le domaine final affiché, pas seulement le premier.

Astuce sécurité : même quand tu utilises un outil de prévisualisation, évite de te connecter à quoi que ce soit. Le but est uniquement d'identifier le domaine de destination.

Méthode 4 : vérifier le lien avec un scanner (sans interaction avec le site)

Tu peux analyser une URL avec des services de réputation. Ils comparent le lien à des bases de phishing/malware.

• VirusTotal : colle l'URL dans l'onglet "URL" pour voir si des moteurs la signalent.
• Google Safe Browsing (via des outils de diagnostic) : utile pour repérer certains sites dangereux.

Interprétation : si plusieurs moteurs indiquent "phishing" ou "malicious", c'est poubelle. Si tout est "clean", ça ne garantit pas à 100% (un nouveau site de phishing peut ne pas être encore listé), mais c'est un bon indicateur.

Méthode 5 : vérifier via l'application officielle (zéro lien)

Quand le message prétend venir d'un service (banque, opérateur, livraison, Apple, Google, CAF, impôts...), la méthode la plus sûre est de ne pas utiliser le lien.

Exemples concrets

• "Ton colis est bloqué" : ouvre l'app du transporteur (ou le site tapé manuellement) et saisis le numéro de suivi.
• "Ton compte Apple est suspendu" : ouvre Réglages > ton nom (iPhone) ou l'app Apple correspondante, et vérifie les alertes.
• "Paiement refusé" : ouvre l'app de ta banque, pas le lien SMS.

Si rien n'apparaît dans l'app officielle, le message est très probablement une arnaque.

Cas particulier : QR codes (phishing "quishing")

Le phishing via QR code explose : tu scannes, et ça ouvre un lien directement. Pour limiter le risque :

• Utilise un scanner qui affiche l'URL avant ouverture (beaucoup d'apps appareil photo le font).
• Ne valide pas si tu vois un domaine étrange, un raccourcisseur, ou une suite de caractères suspecte.
• Préfère les QR codes provenant de sources fiables (courrier officiel, affichage en magasin connu, etc.).

Signaux d'alerte typiques d'un lien de phishing sur mobile

• Urgence : "dans 30 minutes", "dernière relance".
• Récompense : cadeau, remboursement, prime, loterie.
• Menace : compte bloqué, amende, poursuites.
• Expéditeur incohérent : numéro international, adresse Gmail pour une "banque".
• URL qui ne correspond pas au service : domaine exotique, fautes, tirets, sous-domaines trompeurs.

Que faire si tu as cliqué par erreur ?

Cliquer n'est pas forcément dramatique... tant que tu n'as pas saisi d'infos. Voici quoi faire :

1. Ferme l'onglet immédiatement.
2. Si tu as entré un mot de passe : change-le tout de suite depuis l'app officielle, et active la double authentification (2FA).
3. Si tu as donné des infos bancaires : contacte ta banque, fais opposition si nécessaire, surveille les transactions.
4. Lance un scan de sécurité : sur Android, vérifie les applis installées récemment et Google Play Protect ; sur iOS, vérifie les profils/MDM inconnus (Réglages > Général > VPN et gestion de l'appareil).

Résumé : la checklist "vérifier un lien sans cliquer"

• Appui long > copier l'adresse au lieu d'ouvrir.
• Colle dans Notes et lis le domaine réel.
• Déplie les liens raccourcis avant toute action.
• Scanne l'URL via un outil de réputation (ex : VirusTotal).
• Pour tout service important : passe par l'app officielle, jamais par le lien.

En appliquant ces méthodes, tu réduis drastiquement le risque de te faire avoir par le phishing sur mobile : vérifier un lien sans cliquer devient un réflexe simple, rapide et efficace au quotidien.