Reconnaître un message IA arnaque devient plus difficile depuis que les outils d’intelligence artificielle rédigent des textes impeccables. Fini le mail bourré de fautes qui trahissait l’escroc en trois secondes : aujourd’hui, un faux message de la banque, des impôts ou d’un proche peut être écrit dans un français parfait, avec le bon ton, la bonne mise en forme. Bonne nouvelle : la forme n’est plus le bon indice, mais il en reste cinq, très concrets, qui ne trompent pas — même quand le texte, lui, est parfait.
Pourquoi le message « trop bien écrit » n’est plus rassurant
Pendant longtemps, le réflexe transmis aux parents tenait en une phrase : « s’il y a des fautes, c’est une arnaque ». C’était vrai, parce que les escrocs travaillaient souvent depuis l’étranger et traduisaient leurs textes à la va-vite. Ce repère a disparu. Un générateur de texte produit aujourd’hui un français soigné, dans le ton administratif exact d’une caisse de retraite, d’un service bancaire ou d’un opérateur téléphonique, en quelques secondes et sans effort.
Cybermalveillance.gouv.fr, la plateforme publique d’assistance aux victimes, le confirme dans ses fiches réflexes sur l’hameçonnage : le filtre « message mal écrit » ne fonctionne plus, et il faut désormais regarder ce qui est demandé plutôt que la façon dont c’est écrit. C’est exactement l’objet des cinq signes qui suivent.
Signe n°1 : un contexte trop précis pour être honnête
Un message frauduleux généré par IA ne dit plus « cher client ». Il connaît votre prénom, votre ville, parfois votre banque ou un achat récent, glanés dans une fuite de données mise en circulation après le piratage d’un site marchand ou d’un opérateur. L’IA permet de traiter ces fichiers en masse et de rédiger un texte personnalisé pour chaque destinataire.
Le paradoxe à expliquer à un parent : plus un message paraît « au courant » de sa situation, plus il mérite un temps d’arrêt. Une administration ou une banque connaît déjà vos données, c’est normal — mais elle ne vous demandera jamais de les confirmer par retour de mail ou de SMS.
Signe n°2 : une urgence qui ne laisse pas le temps de réfléchir
C’est le ressort le plus ancien de l’arnaque, et l’IA ne l’a pas changé : il faut agir « dans l’heure », « avant minuit », « sous peine de blocage du compte ». L’urgence sert un seul objectif, empêcher la vérification. Un organisme réel — banque, impôts, Assurance retraite, livreur — laisse toujours le temps de rappeler, de se connecter au site officiel ou de demander un délai.
La règle à retenir est simple : aucune demande légitime ne s’effondre parce qu’on a attendu dix minutes pour vérifier.
Signe n°3 : un canal de paiement ou de contact inhabituel
Un message d’IA malveillante finit presque toujours par orienter vers un canal que l’organisme réel n’utilise jamais : un lien de paiement par SMS, une demande de virement immédiat, l’achat de cartes cadeaux, ou un numéro de téléphone à rappeler qui n’est pas celui figurant sur les vrais documents. Aucune banque ne demande de valider une opération en cliquant sur un lien reçu par SMS, et aucune administration ne réclame un paiement par carte cadeau.
Signe n°4 : un lien qui ne correspond pas au nom de domaine officiel
C’est le signe le plus fiable, et le plus facile à transmettre à un proche, parce qu’il ne dépend pas de la qualité de la rédaction. Avant de cliquer, on regarde l’adresse complète du lien, pas seulement le texte affiché : « impots.gouv.fr.paiement-securise.com » n’est pas impots.gouv.fr, c’est un sous-domaine d’un tout autre site, généralement enregistré la veille.
Le réflexe qui fonctionne à tous les coups : ne jamais cliquer sur le lien reçu, mais ouvrir un nouvel onglet et taper soi-même l’adresse habituelle (impots.gouv.fr, ameli.fr, le site de sa banque). Sur smartphone, un appui long sur le lien affiche l’adresse réelle avant de l’ouvrir.
Signe n°5 : une demande de données sensibles ou d’un code de confirmation
Mot de passe, numéro de carte bancaire complet, code reçu par SMS pour « confirmer votre identité » : c’est la ligne rouge. Aucune banque, aucune administration ne demande ces informations par mail, par SMS ou au téléphone. Un code de confirmation envoyé par SMS n’a qu’un seul usage légitime : le composer soi-même sur le site où on vient de l’initier, jamais le communiquer à quelqu’un qui le demande.
Les réflexes de vérification à adopter en famille
Ces cinq signes deviennent un vrai filet de sécurité une fois transformés en habitude, pas en un test à repasser à chaque message :
- On ne répond jamais dans le canal où arrive le message. On rappelle le numéro figurant au dos de la carte bancaire, ou on tape soi-même l’adresse du site officiel.
- On vérifie le lien avant de cliquer, en survolant ou en appuyant longuement dessus pour voir l’adresse réelle.
- On ne communique jamais de code reçu par SMS, même à quelqu’un qui semble légitime.
- On s’accorde un délai, même court, avant toute action qui touche à l’argent ou aux données personnelles.
- On en parle à un tiers de confiance avant d’agir. Décrire une demande à voix haute suffit souvent à la faire apparaître pour ce qu’elle est.
Ce dernier point mérite d’être décidé en famille, à froid : convenir qu’un appel à un enfant ou à un proche, avant toute opération inhabituelle, n’est jamais perçu comme un manque de confiance.
Que faire si le message a déjà été ouvert ou un lien cliqué
- Ne rien saisir si une page de connexion s’est ouverte : fermer l’onglet suffit, tant qu’aucun identifiant n’a été tapé.
- Si des identifiants ont été saisis, changer immédiatement le mot de passe concerné, en commençant par la messagerie.
- Si un paiement a été effectué, contacter sa banque sans attendre pour faire opposition ou tenter un rappel de virement.
- Signaler le message : un SMS frauduleux se transfère gratuitement au 33 700, un mail suspect se signale sur cybermalveillance.gouv.fr. En cas de doute, Info Escroqueries répond gratuitement au 0 805 805 817.
- Porter plainte si une somme a été perdue, en commissariat ou en gendarmerie : c’est une étape nécessaire pour espérer un remboursement bancaire.
Et surtout, aucun reproche. Ces messages sont conçus par des professionnels pour tromper des adultes attentifs. La honte pousse au silence, et le silence expose à une seconde tentative.
Foire aux questions
Un message sans aucune faute peut-il quand même être une arnaque ?
Oui, et c’est même devenu la norme. L’absence de faute ne garantit plus rien : à l’inverse, une administration peut parfois envoyer un courrier maladroit. Le seul repère fiable porte sur ce qui est demandé, pas sur la façon dont c’est écrit.
Comment savoir si un lien mène vraiment au site officiel ?
En regardant l’adresse complète avant de cliquer, ou en tapant soi-même l’adresse connue dans un nouvel onglet plutôt qu’en suivant le lien reçu. Sur téléphone, un appui long affiche l’adresse réelle sans ouvrir la page.
Les IA comme ChatGPT servent-elles à rédiger ces messages ?
Les grands outils grand public appliquent des garde-fous, mais des versions détournées circulent, vendues spécifiquement à des réseaux d’escroquerie. Ce qui est certain, selon le rapport IOCTA d’Europol, c’est que l’IA générative aide déjà les fraudeurs à produire des messages plus convaincants et plus personnalisés.
Comment signaler un message frauduleux généré par IA ?
Un SMS se transfère gratuitement au 33 700. Un mail ou un site suspect se signale sur cybermalveillance.gouv.fr. En cas de doute ou après une perte financière, Info Escroqueries conseille gratuitement au 0 805 805 817.
Faut-il équiper un parent d’un logiciel de détection ?
Un antivirus et un filtre anti-spam à jour réduisent le nombre de messages reçus, mais aucun logiciel ne remplace le réflexe de vérifier avant d’agir. La meilleure protection reste un accord familial clair sur les gestes à adopter.
En résumé
Pour reconnaître un message IA arnaque, il ne faut plus regarder l’orthographe : elle ne trahit plus rien. Cinq signes restent fiables, quel que soit le soin apporté à la rédaction — un contexte trop précis, une urgence artificielle, un canal de paiement inhabituel, un lien qui ne correspond pas au nom de domaine officiel, et une demande de données sensibles ou d’un code de confirmation. Retenez le geste qui les neutralise tous : ne jamais répondre dans le canal où arrive le message, et vérifier soi-même, ailleurs.
Ce texte se lit vite. Le vrai bénéfice vient de le transmettre à un parent, une fois, à froid, pour qu’il devienne un réflexe le jour où un message trop précis, trop pressant, arrivera vraiment.
Sources : Cybermalveillance.gouv.fr, fiches réflexes hameçonnage et rapport d’activité · Info Escroqueries, 0 805 805 817 · service 33 700 (signalement SMS frauduleux) · Europol, rapport IOCTA. Voir aussi notre article sur comment l’IA rend les escroqueries plus crédibles, notre guide pour reconnaître un mail de phishing, et notre article sur l’arnaque au clonage de voix par IA.