Phishing, smishing, vishing, quishing
Votre mission : repérer la demande

Un message peut sembler banal et demander un geste risqué. Avec Nestor, vous allez inspecter des messages, comparer des adresses et essayer plusieurs décisions. Aucun clic de ces exercices ne quitte le cours. Vous pouvez vous tromper, lire l’explication et recommencer.
Quatre portes, le même piège
Un e-mail, un SMS, un appel ou un QR code : le canal change, le piège reste le même. Sélectionnez chaque objet pour découvrir la demande. Ce n’est pas le canal qui prouve une fraude : regardez ce que l’on vous demande de faire.
Sélectionnez une zone pour l’examiner.
INBOX
Phishing : un e-mail vous demande de vous connecter par son lien. Vérifiez depuis votre application habituelle.
DELIVERY
Smishing : un SMS demande un petit paiement pour un colis. Consultez votre commande par votre chemin habituel.
SUPPORT
Vishing : un appel demande un code ou une installation. Raccrochez et contactez le support connu.
SCAN
Quishing : un QR code mène à une demande de connexion. Le lieu de l’affiche ne garantit pas sa destination.
Pourquoi même Alex peut se faire piéger
MEETING IN 2 MINUTES
Alex vérifie habituellement ses messages. Mais, entre deux réunions, une demande qui semble venir de son équipe le pousse à agir vite. Le piège exploite le contexte et la confiance. Il ne mesure ni l’intelligence ni la compétence. Faire une pause casse ce rythme imposé.
Inspecteur de boîte mail
IT Support help@access-review.example Account review Your access expires today. Scan the code to keep your account active.
Bruno est pressé. Ce message anglais annonce une expiration d’accès aujourd’hui et demande de scanner un code pour garder le compte actif. Il est bien rédigé. Inspectez les indices ou passez directement par le portail connu : vérifier sans suivre le message est déjà une bonne décision.
Sélectionnez une zone pour l’examiner.
IT Support
Le nom affiché se choisit librement. Il ne prouve pas l’identité du support.
help@access-review.example
Comparez avec le canal habituel. Même une vraie adresse peut appartenir à un compte compromis.
today
Le délai cherche à vous presser. Prenez le temps de vérifier.
Scan the code
La demande vous fait changer de chemin pour vous connecter. Utilisez votre portail habituel.
Un indice ne suffit pas

Une faute peut exister dans un vrai message. Un faux message peut être impeccable. Une urgence peut être réelle, mais ne justifie pas de contourner une procédure. Croisez le contexte et la demande, puis vérifiez ailleurs. Vous n’avez pas besoin de prouver la fraude avant de demander conseil.
Nom, destination et chemin
https://portal.northstar.example/account
Dans cette adresse fictive, https décrit une connexion chiffrée. portal.northstar.example est le nom d’hôte, rattaché ici à northstar.example. /account est le chemin dans ce site. Un nom connu dans le chemin ou au début d’une autre adresse ne prouve rien. Les suffixes peuvent comporter plusieurs parties : ne retenez pas une règle universelle des deux derniers mots.
Le domaine sous la loupe
https://portal.northstar.example/account https://northstar.example.account-check.example/login
Votre portail habituel est le premier. Décomposez le second : où arrivez-vous réellement ? Les deux adresses peuvent afficher un cadenas. Celui-ci indique un chiffrement, pas la légitimité de la demande. Les adresses de cet exercice sont fictives et inertes.
Sélectionnez une zone pour l’examiner.
https://
Connexion chiffrée, y compris vers un site trompeur.
northstar.example.
Ce préfixe trompeur ne change pas la destination qui suit.
account-check.example
C’est la destination de la seconde adresse, différente du portail connu.
/login
C’est un chemin dans le site, pas une preuve d’identité.
Un petit montant, une grande demande
DELIVERY Pay 1.20 to release your parcel.
Ce SMS demande un petit paiement pour libérer un colis. Le montant semble négligeable, mais le formulaire peut demander votre carte et un code bancaire. Vérifiez votre commande dans l’application du commerçant ou du transporteur déjà connu. Le faible montant ne réduit pas la sensibilité des informations demandées.
Le QR qui change de destination
WIFI SIGN IN access-check.example
Anna-Maria veut aider un visiteur à trouver le Wi-Fi. Un autocollant recouvre l’affiche et la destination demande une connexion. Le motif représenté ici n’est pas un vrai QR code. Dans cette situation, que faites-vous avant de saisir quoi que ce soit ?
Sélectionnez une zone pour l’examiner.
STICKER
L’autocollant peut avoir remplacé l’original. Même sans trace visible, vérifiez la destination et le chemin prévu par votre organisation.
Vérifier par un autre chemin
KrakenShieldLEARNINGM01 / 02
- 01Ne pas cliquer
- 02Ouvrir le site par ses favoris
- 03Vérifier par un canal connu
- 04Signaler le message suspect
Le réflexe KrakenUtilisez un numéro déjà connu, jamais celui fourni dans le message suspect.
Ouvrez un favori enregistré, l’application habituelle ou l’annuaire interne. Un numéro fourni dans le message suspect n’est pas indépendant. Exemple légitime : une facture attendue apparaît aussi dans le portail fournisseur, et votre contact habituel confirme le changement par la procédure prévue. Vérifier peut donc permettre d’agir, pas seulement de refuser.
L’appel qui vous presse
SUPPORT Your files may be lost. Install our support tool and give me the code.
Un appelant annonce : vos fichiers risquent d’être perdus, installez notre outil et donnez-moi son code. Bruno a peur de perdre son travail. Le numéro affiché ne prouve pas l’identité. Choisissez une réponse, puis essayez les autres pour comparer les conséquences.
L’urgence n’annule pas la procédure

Dans l’appel précédent, la peur de perdre des fichiers et l’autorité du support accélèrent la décision. Vous pouvez dire : je vous rappelle par notre support habituel. Un interlocuteur qui exige le secret ou refuse toute vérification ajoute une raison de suspendre la demande. Vous n’avez pas à débattre avec lui.
Une voix connue ne prouve pas l’identité

Vous reconnaissez une voix qui vous demande un virement inhabituel. Une voix peut être imitée ou reproduite. Appliquez la même procédure de rappel et de double validation que pour un message écrit. Ni la ressemblance ni la pression ne remplacent la vérification indépendante.
Vrai contact, demande inhabituelle
Alex · Project team I cannot log in. Send me your verification code.
Le message vient d’une conversation connue. Alex semble demander votre code de vérification pour se connecter. Même un vrai compte peut être compromis. Quelle décision protège le compte sans accuser trop vite votre collègue ?
J’ai cliqué : décrire ce qui s’est passé
- 1Lien ouvert
Dites quelle page et à quel moment.
- 2Secret saisi
Précisez le compte, jamais le mot de passe.
- 3Fichier exécuté
Suivez la procédure d’incident.
Trois faits différents à signaler au support.
Un clic seul, un mot de passe saisi et un fichier exécuté ne sont pas la même situation. Arrêtez les interactions avec la page et contactez rapidement votre support. Dites exactement ce que vous avez fait. Si vous avez exécuté un fichier, suivez la procédure d’incident de votre organisation. Ne lancez pas un nettoyage improvisé qui effacerait des traces.
Rejouer le bon réflexe
PASSWORD SUBMITTED ••••••••
Alex a saisi un mot de passe dans la simulation. Comparons deux suites possibles. L’objectif est de limiter les dégâts, sans blâme. Un changement de mot de passe peut faire partie de la réponse, mais ne remplace pas la vérification des sessions et des accès par le support.
Un signalement qui aide
WHAT · WHEN · WHERE · ACTION
Indiquez le message ou la page, le moment, l’appareil concerné et l’action effectuée. Exemple : ce matin sur mon ordinateur professionnel, j’ai ouvert le lien puis saisi mon mot de passe, sans lancer de fichier. Utilisez le bouton de signalement ou le canal prévu. Ne transférez pas le piège à toute l’équipe. Inutile d’attendre un diagnostic certain.
Le faux contrôle de sécurité
SECURITY CHECK Leave this browser and perform a system action.
Une page qui prétend vérifier votre navigation demande soudain de quitter le navigateur et d’effectuer une action système inhabituelle. Aucun ordre réel n’est montré ici. Un habillage de sécurité ne rend pas cette demande sûre. Que faites-vous ?
À vous : le document partagé
Anna-Maria · Shared document Please sign in to view the new meeting notes.
Vous attendiez un compte rendu et recevez ce message de Anna-Maria. Il n’y a ni faute ni menace. Avant de lire la réponse ci-dessous, formulez votre décision et sa raison. Pouvez-vous consulter le document par votre espace de partage habituel ? Un contexte plausible permet de vérifier, il ne prouve pas à lui seul que le lien est sûr.
Sélectionnez une zone pour l’examiner.
DEBRIEF
Ouvrez votre espace de partage habituel. Si le document attendu y est disponible avec les droits prévus, vous pouvez le lire. Sinon, contactez Anna-Maria par l’annuaire connu. Vérifier ne signifie pas déclarer tout message frauduleux.
Trois réflexes à emporter
- 1Un autre chemin
Favori, application ou contact connu.
- 2Une pause utile
La pression ne remplace pas la procédure.
- 3Une alerte rapide
Même après une erreur ou avec un doute.
On protège l’action, on ne devine pas l’escroc.
Vérifiez par un autre chemin. Ne cédez pas à la pression. Signalez rapidement, même après une erreur. Le but n’est pas de deviner l’escroc à son style, mais de protéger les actions sensibles. Vous allez maintenant essayer des situations différentes dans le mini-quiz. Vous pouvez revenir aux activités à tout moment.
À vous de jouer !
Pour terminer ce module, répondez juste à toutes les questions. Une erreur ? Lisez la correction, puis recommencez le quiz : les réponses sont mélangées à chaque essai.
- 3 questions
- 100 % de bonnes réponses
Question 1 sur 3
Ce message arrive dans votre boîte professionnelle un lundi matin. Quelle est la bonne réaction ?
Une adresse qui n’est pas celle de votre entreprise, une échéance, une menace de coupure et un QR code pour vous faire passer sur votre téléphone : c’est du quishing. Une page qui « ressemble » ne prouve rien, et votre téléphone personnel n’est pas un terrain d’essai. En cas de doute, le service informatique se joint par le canal que vous connaissez déjà.
Question 2 sur 3
Vous êtes à l’accueil et recevez cet appel. Quelle réponse donnez-vous ?
Un outil de prise en main à distance donne à votre interlocuteur le contrôle complet de votre poste : impossible de suivre tout ce qu’il fait. Un nom et un matricule s’inventent en une seconde. Le réflexe : aucune installation et aucun code à la demande d’un appelant, et une vérification par votre service informatique.
Question 3 sur 3
Banque Azur utilise l’adresse banque-azur.fr. Lequel de ces liens mène réellement chez elle ?
Le domaine se lit juste avant le premier « / » : seul le deuxième lien se termine par banque-azur.fr. Les autres mènent chez espace-client-securise.com, banque-azur-fr.com et fr-connexion.net. Le plus sûr reste de taper l’adresse vous-même ou d’utiliser vos favoris.


























