Nos réflexes ne marchent plus
Nous jugeons tous la crédibilité d’un message en quelques secondes, sans y penser. Cette évaluation automatique repose sur des signaux appris.
Le problème, c’est que la plupart sont devenus inopérants, et que notre cerveau continue de leur faire confiance.
Les signaux périmés
Section intitulée « Les signaux périmés »Les fautes d’orthographe. Longtemps notre meilleur indicateur. Aujourd’hui n’importe quel texte peut être impeccable, et c’est même devenu un mauvais signe inversé : certains textes d’arnaque sont mieux écrits que les courriels authentiques de votre banque.
La qualité de la mise en page. Logos, couleurs, en-têtes, signatures : tout se copie ou se reconstitue.
Le style personnel. « Ça lui ressemble tellement. » À partir de quelques messages publics, le style d’une personne s’imite : les tournures habituelles, les abréviations, la ponctuation.
La voix. Le signal auquel nous faisons le plus confiance, et l’un des plus faciles à imiter.
Le numéro affiché. L’affichage d’un numéro peut être manipulé. Un appel peut se présenter avec le numéro de ta banque, de la gendarmerie, ou de ton propre employeur. Le numéro qui s’affiche n’est pas une identité, c’est une information fournie par l’appelant.
La photo de profil. Un visage plausible se génère à l’infini.
Deux signaux gardent une valeur partielle. L’adresse réelle de l’expéditeur, celle qu’on obtient
en affichant les détails du message, reste un indice utile : c’est l’un des rares signaux techniques
qui tiennent encore. Le piège classique est service-client@bnp-securite-clients.com, où le domaine
réel n’est pas celui de la banque mais contient juste son nom. Et l’ancienneté d’un compte, difficile
à fabriquer entièrement mais qui s’achète ou se construit lentement : ce n’est pas une garantie,
seulement un coût supplémentaire pour l’attaquant.
Les signaux qui résistent
Section intitulée « Les signaux qui résistent »Quatre. Ils ont un point commun : ils ne portent pas sur l’apparence du contenu mais sur sa vérifiabilité.
Le second canal. Contacter la personne par un autre chemin, que tu choisis toi-même. C’est le pilier de toute la méthode, et une fiche entière lui est consacrée.
La connaissance partagée non publiée. Une question dont seule la vraie personne connaît la réponse, et qui ne figure nulle part en ligne. Pas « quel est ton nom de jeune fille », ça se trouve. Plutôt « qu’est-ce qu’on a mangé dimanche ? ».
La corroboration indépendante. Plusieurs sources qui ne se copient pas les unes les autres. Attention au piège : dix sites qui reprennent la même dépêche ne font pas dix sources, ils en font une.
La cohérence avec le vérifiable. Une image d’un lieu que tu connais, une affirmation sur une date que tu peux contrôler, un montant qui figure sur un document que tu possèdes.
Le tableau à retenir
Section intitulée « Le tableau à retenir »| Signal | Valeur aujourd’hui |
|---|---|
| Orthographe, mise en page, style | ❌ Nulle |
| Voix, visage, logo | ❌ Nulle |
| Numéro affiché | ❌ Nulle |
| Adresse réelle de l’expéditeur | ⚠️ Indice utile |
| Ancienneté d’un compte | ⚠️ Indice faible |
| Second canal choisi par toi | ✅ Fiable |
| Connaissance partagée non publiée | ✅ Fiable |
| Corroboration indépendante | ✅ Fiable |
| Cohérence avec ce que tu peux vérifier | ✅ Fiable |
Le biais qui nous coûte le plus cher
Section intitulée « Le biais qui nous coûte le plus cher »Il faut le nommer, parce qu’il ne se corrige pas par la connaissance.
Face à un message crédible, notre réaction spontanée n’est pas d’évaluer, c’est de chercher comment répondre. La question « est-ce vrai ? » n’apparaît que si quelque chose accroche.
Or les manipulations sont précisément conçues pour que rien n’accroche.
D’où une conséquence pratique : la vérification ne peut pas être déclenchée par le doute. Si tu attends d’avoir un doute, tu vérifieras seulement les faux ratés.
Elle doit être déclenchée par la nature de la demande, indépendamment de la crédibilité. C’est mécanique, pas intuitif. Toute demande d’argent, de code, de mot de passe ou de données confidentielles déclenche une vérification par second canal, même si tout semble parfaitement normal. Surtout si tout semble parfaitement normal.
Et les détecteurs automatiques ?
Section intitulée « Et les détecteurs automatiques ? »Beaucoup espèrent qu’un outil dira « ceci est faux ». Sois prudent, pour trois raisons.
Ils se trompent dans les deux sens. Le faux négatif laisse passer un faux ; le faux positif accuse à tort un contenu authentique. Le second cause des préjudices très concrets : une photo vraie mise en doute, un devoir d’élève accusé sans preuve.
Ils sont contournables. Une recompression, une capture d’écran, un léger recadrage suffisent souvent à changer le verdict.
Et ils donnent un score, pas une preuve. « 87 % de probabilité » n’est pas un fait, et ce n’est pas recevable pour accuser quelqu’un.
Dix minutes de pratique
Section intitulée « Dix minutes de pratique »Reprends les cinq derniers messages inhabituels que tu as reçus. Pour chacun, note quel signal t’avait rassuré. Combien figurent dans la colonne « périmée » ?
Prends ton dernier appel d’un numéro inconnu qui prétendait être une institution. Qu’aurais-tu pu vérifier, et comment ?
Puis écris ta règle de déclenchement personnelle : « je vérifie systématiquement dès que… ». Elle doit porter sur la nature de la demande, jamais sur ton impression.
Vérifie ta compréhension
Question : pourquoi la vérification ne doit-elle pas être déclenchée par le doute ?
Réponse : parce qu’une manipulation réussie est justement celle qui ne suscite aucun doute. Attendre le doute revient à ne vérifier que les faux mal faits. Le déclencheur doit être objectif, la nature de la demande, et s’appliquer même quand tout paraît normal.
Fiche suivante : qui fabrique ces faux, et dans quel but.
Une formationBaxIA