Le protocole

Voici la fiche qui condense toute la formation.

La règle

Ne jamais vérifier une demande par le canal qui l’a apportée.

On te téléphone : tu raccroches et tu rappelles au numéro que tu as déjà dans ton répertoire. On t’écrit : tu contactes la personne autrement. On t’envoie un lien : tu tapes l’adresse toi-même.

C’est tout. C’est la totalité de la protection technique dont tu as besoin.

Pourquoi c’est la seule règle qui tient

Parce qu’elle ne dépend pas de ta capacité à détecter.

Toutes les autres méthodes, examiner une image, écouter une voix, juger un style, reposent sur une compétence perceptive qui se dégrade à mesure que les faux s’améliorent. Le second canal, lui, fonctionne exactement pareil face à un faux grossier et face à un faux parfait.

L’attaquant contrôle le canal qu’il a choisi. Il ne contrôle pas celui que tu choisis.

Le problème du déclenchement

La règle est simple. La difficulté est de savoir quand l’appliquer.

Si tu attends d’avoir un doute, tu ne vérifieras que les faux ratés, parce qu’une manipulation réussie est précisément celle qui ne suscite aucun doute.

Le déclencheur doit donc être objectif, fondé sur la nature de la demande et non sur ton impression.

Les trois déclencheurs

Un seul suffit.

On demande une valeur. Argent, virement, coordonnées bancaires, achat de cartes prépayées, cryptomonnaie, données confidentielles. Toujours. Même si tout est parfaitement normal. Surtout si tout est parfaitement normal.

On demande un accès. Code reçu par SMS, mot de passe, validation d’une notification, installation d’un outil, clic sur un lien de connexion. Pour les codes ce n’est même pas une vérification, c’est un refus : un code ne se communique jamais, à personne, quelle que soit la raison invoquée. Aucune exception.

Urgence et secret réunis. « Il faut faire ça tout de suite » et « n’en parle à personne ». C’est le signal le plus fiable de toute la formation. Aucune demande légitime n’a besoin des deux à la fois : une urgence réelle supporte d’être mentionnée à un collègue, et une confidentialité réelle supporte d’attendre dix minutes.

La procédure, trente secondes

1. STOP
   Je ne réponds pas, je ne clique pas, je ne paie pas.
   « Je te rappelle dans cinq minutes. »

2. CANAL
   Je choisis MOI le moyen de vérifier :
   - un numéro déjà dans mon répertoire
   - un site dont je tape l'adresse
   - une personne que je contacte directement

3. QUESTION
   Si c'est censé être un proche : la question partagée,
   ou le mot de passe familial.

4. TIERS
   Si le secret m'a été demandé : j'en parle à quelqu'un.
   C'est précisément ce que la manipulation cherche à empêcher.

L’étape 4 est celle qu’on oublie, et c’est souvent la plus décisive. Le secret exigé n’est pas un détail du scénario, c’est son point faible.

Le tableau des situations courantes

Situation	Le bon geste
Appel de ta banque	Raccrocher, rappeler le numéro au dos de la carte
Message d’un service public	Ne pas cliquer, taper l’adresse officielle soi-même
Appel d’un proche en détresse	Raccrocher, rappeler son numéro habituel
Demande de virement au travail	Vérifier auprès d’un tiers, refuser le secret
Courriel avec pièce jointe inattendue	Confirmer par téléphone avant d’ouvrir
Notification de connexion à valider	Refuser si tu n’es pas en train de te connecter
Un « technicien » veut prendre la main	Refuser, raccrocher, appeler le vrai support

Ce qu’il faut préparer à l’avance

Le protocole ne fonctionne dans l’urgence que si l’équipement est prêt. Quinze minutes, une fois.

Les vrais numéros dans ton répertoire : banque, employeur, proches, médecin, assurance. C’est ce qui rend le « je rappelle » possible sans chercher.

Les vrais sites en favoris : impôts, banque, sécurité sociale, caisse de retraite.

Le mot de passe familial, convenu et connu de tous.

La règle au travail : à qui demander confirmation d’une demande inhabituelle.

Et la double authentification activée sur tes comptes importants. Ça ne relève pas de cette formation, mais c’est ce qui limite les dégâts quand un mot de passe fuit.

L’objection qu’on entend toujours

« Je ne vais quand même pas rappeler ma propre mère pour vérifier que c’est elle. »

Si. Et ça prend trente secondes.

L’inconfort est réel, on a l’impression de manquer de confiance. Mais l’inconfort est du côté social, pas du côté du risque : personne ne t’en voudra durablement d’avoir vérifié, et tout le monde comprend une fois qu’on a expliqué pourquoi.

Le retournement utile : ce n’est pas de la méfiance envers ton interlocuteur, c’est de la méfiance envers le canal. Explique-le comme ça, y compris à tes proches. Ça change complètement la façon dont c’est reçu.

Quinze minutes de pratique

Fais la liste de préparation ci-dessus, en entier. C’est le seul travail réel de cette fiche.

Écris ta procédure en quatre étapes sur un papier, près du téléphone. Chez une personne âgée, c’est ce qui fonctionne le mieux, bien mieux qu’une explication orale.

Puis fais un exercice à blanc avec un proche : il t’appelle en se faisant passer pour quelqu’un d’autre, tu appliques le protocole. C’est court, un peu ridicule, et très efficace pour ancrer le réflexe.

Vérifie ta compréhension

Question : pourquoi le déclencheur de vérification doit-il être la nature de la demande, et non ton impression sur le message ?

Réponse : parce qu’une manipulation réussie ne suscite aucune impression négative, c’est sa définition. Si le doute est le déclencheur, seuls les faux mal faits sont vérifiés. Un déclencheur objectif, on demande de l’argent, un code, ou on exige urgence et secret, s’applique quelle que soit la qualité du faux.

Fiche suivante : que faire si c’est déjà arrivé.

Une formationBaxIA