Parmi elles, une tentative reçue récemment usurpe directement l’identité de l’Administration fiscale cantonale genevoise. À partir de plusieurs exemples récents, la police cantonale de Genève rappelle comment reconnaître ces tentatives et les bons réflexes pour éviter de tomber dans le piège.
L’hameçonnage, comment ça marche ?
L’hameçonnage, ou phishing, consiste à se faire passer pour un tiers de confiance – une entreprise, une banque, un service public – afin de pousser une personne à agir : cliquer sur un lien, ouvrir une pièce jointe, transmettre des informations ou effectuer un paiement.
Le lien conduit généralement vers un faux site qui reprend l’apparence du vrai et invite à saisir des identifiants, des données personnelles ou des informations bancaires.
Le phishing arrive le plus souvent par courriel ou SMS, mais peut également passer par une messagerie instantanée, un appel téléphonique ou encore un QR code.
En savoir plus : Hameçonnage (phishing) | ge.ch
Six prétextes, un même piège
Un remboursement d’impôt inattendu : un courriel reçu récemment usurpe l’identité de l’Administration fiscale cantonale genevoise et annonce un remboursement de CHF 1'820.65. Pour le recevoir, le destinataire est invité à accéder à un formulaire et à se munir de sa carte bancaire. Le message reprend les codes visuels de l’État de Genève, mais provient d’une adresse qui n’appartient pas à l’administration cantonale.
Un cadeau à quelques francs : de faux messages au nom de Swisscom ou de Migros promettent un cadeau après un court sondage. De prétendus frais d’envoi servent ensuite de prétexte pour récupérer les données de carte bancaire.
Un paiement qui aurait échoué : le message annonce qu’un abonnement ne peut plus être renouvelé et invite à « mettre à jour » les informations de paiement sur un faux site.
Un abonnement que vous n’avez jamais souscrit : pour éviter une facturation annoncée, le destinataire est poussé à cliquer sur un lien d’annulation qui conduit vers un site frauduleux.
Une fausse alerte de connexion : des courriels usurpant l’identité de PostFinance signalent une connexion depuis l’étranger et invitent à « révoquer l’accès ». Le faux site recueille ensuite des données personnelles qui peuvent être utilisées pour d’autres escroqueries.
Une mise à jour urgente : de faux courriels au nom d’Uber demandent de vérifier les informations de paiement. Le site frauduleux va jusqu’à réclamer un code de confirmation qui sert en réalité à valider une transaction.
L’appât change, pas la mécanique : un remboursement, un cadeau, une inquiétude ou une fausse urgence servent à gagner votre confiance, à vous pousser à agir rapidement, puis à récupérer les données saisies.
En savoir plus : cybercrimepolice.ch | Tous les cas
Les indices qui doivent alerter
Regardez l’expéditeur de près. Le nom affiché dans votre boîte de réception ne suffit pas à garantir l’origine d’un message. Vérifiez l’adresse complète de l’expéditeur, notamment ce qui apparaît après le signe « @ », et méfiez-vous des adresses inhabituelles ou qui imitent de très près celle d’une entreprise connue.
Une adresse comme info@nomdelamarque.nomfrauduleux.com peut, à première vue, sembler rassurante. Pourtant, elle n’appartient pas nécessairement à l’entreprise dont le nom apparaît dans l’adresse. Dans le faux courriel de l’Administration fiscale cantonale, l’adresse utilisée pour l’envoi ne correspond ainsi pas à un domaine officiel de l’État de Genève.
Observez aussi le contexte. Une entreprise qui vous écrit soudainement dans une langue inhabituelle peut éveiller les soupçons. Mais l’inverse n’est pas une garantie : un message rédigé dans un français impeccable peut parfaitement être frauduleux.
Enfin, certains ressorts reviennent fréquemment : une offre particulièrement avantageuse, un paiement inconnu, un compte menacé de fermeture ou encore une demande présentée comme urgente. Leur objectif est le même : vous faire agir avant que vous ayez pris le temps de vérifier.
En savoir plus : Arnaques, fraudes et escroqueries en ligne : comment se protéger ? | ge.ch
Les bons réflexes
Les prétextes et la présentation des messages évoluent. Les réflexes pour s’en protéger restent, eux, largement les mêmes :
- vérifiez l’adresse complète de l’expéditeur, et pas uniquement le nom affiché ;
- ne cliquez pas sur un lien et n’ouvrez pas une pièce jointe inattendue ;
- pour vérifier un abonnement, une commande ou un paiement, passez directement par le site ou l’application officielle, plutôt que par le lien reçu ;
- ne répondez pas au message et supprimez-le ou déplacez-le dans les courriers indésirables ;
- ne communiquez jamais vos mots de passe, données bancaires ou autres informations confidentielles ;
- ne transmettez jamais un code de confirmation reçu par SMS pour une opération que vous n’avez pas vous-même initiée ;
- méfiez-vous des messages qui promettent un gain ou un cadeau exceptionnel, ou qui cherchent à vous faire agir dans l’urgence.
En cas de doute, prenez quelques secondes avant d’agir et vérifiez l’information par un canal officiel.
En savoir plus : Recommandations et prévention en ligne | ge.ch
Vous avez transmis vos données ou effectué un paiement ?
Contactez immédiatement votre banque si des données bancaires ont été communiquées ou si un paiement a été effectué. Demandez, lorsque cela est encore possible, l’annulation de la transaction et le blocage du moyen de paiement concerné.
Si vous avez transmis un mot de passe, changez-le sans attendre, ainsi que sur les autres comptes où vous utiliseriez le même.
Enfin, conservez les éléments utiles – message reçu, adresse de l’expéditeur, captures d’écran, références de paiement – et déposez plainte dans les meilleurs délais. Le dépôt de plainte est gratuit et peut notamment être initié au moyen de la pré-plainte en ligne.
En savoir plus : Déposer plainte | ge.ch
Vous avez reçu un message frauduleux sans subir de préjudice ?
Signalez-le sur cybercrimepolice.ch ou par courriel à communication@police.ge.ch. Même lorsqu’une tentative échoue, les signalements permettent d’identifier les campagnes en cours et d’aider les autorités à lutter contre les réseaux criminels.
Un signalement ne remplace toutefois pas un dépôt de plainte lorsqu’un préjudice a été subi. En cas d’urgence, composez le 117.
En savoir plus : Signaler un cyberincident | ge.ch
À retenir
Un logo connu, un nom d’entreprise ou un message bien rédigé ne garantissent pas qu’un message est authentique.
Lorsqu’un courriel ou un SMS inattendu vous demande de cliquer, de payer ou de transmettre des informations, prenez le temps de vérifier avant d’agir.
Pour aller plus loin, consultez notre dossier « Cybercriminalité » sur ge.ch, qui rassemble nos informations et conseils sur l’hameçonnage, les escroqueries en ligne, les fraudes financières ou encore l’usurpation d’identité.
En savoir plus : Cybercriminalité | ge.ch