La réponse courte
Un code de vérification est une clé, pas un rappel de mot de passe. Il existe pour que la personne qui se connecte puisse prouver qu’elle est le titulaire du compte. Quand quelqu’un que vous n’avez pas contacté vous demande de partager ce code, sa demande vise à entrer dans votre compte, aussi amical ou officiel que soit l’appelant.
Les codes de vérification de compte sont destinés au processus d’authentification du titulaire du compte. Source
Ce seul fait tranche la plupart des décisions. Vous n’avez jamais besoin de remettre un code de connexion à un appelant, car le code n’est pas pour l’appelant. Il est pour l’écran de connexion devant vous.
Trois situations qui se ressemblent mais ne sont pas identiques
La confusion vient généralement de la superposition de trois moments différents : une connexion que vous avez lancée, un code que quelqu’un d’autre veut obtenir, et une vérification de l’identité réelle de l’appelant. Chacun appelle une action différente.
| Situation | Ce qui se passe | Que faire |
|---|---|---|
| Vous avez ouvert une connexion ou une application et un code arrive pour la finaliser | C’est vous qui vous connectez, et le code complète votre propre action | Saisissez le code dans l’écran que vous avez ouvert. Ne le transmettez à personne d’autre |
| Un appelant non sollicité vous demande de lire ou d’envoyer un code | Quelqu’un d’autre tente de finaliser une connexion à votre place | Ne le partagez pas. Mettez fin à l’échange |
| Vous voulez confirmer que l’appelant est bien authentique | Vous avez besoin d’un canal auquel vous faites déjà confiance, pas du numéro de l’appelant | Raccrochez et contactez l’organisation par un canal connu |
C’est la ligne du milieu qui compte le plus. Le code n’est utile qu’à une personne qui tente de se connecter ; une demande de code est donc une demande d’accès.
Les escrocs peuvent se faire passer pour une organisation de confiance et demander le code pour obtenir l’accès au compte. Source
Pourquoi le numéro de l’appelant ne suffit pas à trancher
Un appelant peut prétendre venir d’une banque, de l’équipe d’assistance d’une plateforme ou de toute organisation avec laquelle vous traitez. L’identification de l’appelant, un numéro de dossier ou un ton calme ne prouvent pas qui est en ligne. Le geste sûr consiste à abandonner le canal contrôlé par l’appelant et à passer à un canal que vous avez choisi.
La FTC recommande de mettre fin au contact non sollicité et d’appeler l’organisation de façon indépendante, en utilisant un relevé de confiance ou un contact dans l’application, et non le numéro fourni par l’appelant. Source
C’est l’étape que les gens sautent. Raccrocher ne suffit pas si vous rappelez ensuite le numéro donné par l’appelant, car vous retombez sur la même personne. Utilisez un moyen de contact que vous possédiez déjà : un relevé, une application, un contact enregistré ou une page officielle que vous ouvrez vous-même.
Une liste de vérification à suivre sur le moment
- Mettez la conversation en pause. Ne confirmez, ne niez et ne lisez rien tant que l’appelant parle encore.
- Demandez-vous qui a lancé la connexion. Si vous n’avez pas ouvert de session, aucun code ne devrait être envoyé à qui que ce soit.
- Mettez fin au contact non sollicité. Vous ne devez aucune explication à un inconnu.
- N’utilisez pas le numéro de l’appelant. Recherchez l’organisation par un canal auquel vous faites déjà confiance.
- Contactez vous-même l’organisation et demandez s’il y a un problème réel avec votre compte.
- Si un code est arrivé sans que vous l’ayez demandé, considérez-le comme le signe que quelqu’un a tenté de se connecter, et signalez-le par ce canal de confiance.
L’étape 6 mérite d’être isolée des autres. Un code que vous n’avez pas demandé n’est pas la preuve d’une intrusion, mais c’est une raison de vérifier par un moyen que vous maîtrisez plutôt que par l’appelant.
Les fausses pistes à éviter
- « Je vais juste confirmer les premiers chiffres. » Un code partiel reste une partie de la clé. N’en partagez aucun élément.
- « J’ai rappelé le numéro qu’il m’a donné et ils ont confirmé que c’était vrai. » Ce numéro mène au même appelant. Cela ne prouve rien.
- « L’appelant connaissait déjà mon nom, donc c’est forcément authentique. » Connaître des détails sur vous ne prouve pas une identité, et ce n’est pas une raison de partager un code.
- « Je le partage maintenant et je changerai mon mot de passe plus tard. » Une fois qu’une autre personne a finalisé une connexion, la situation a déjà changé. Arrêtez-vous avant de partager, pas après.
Aucune de ces pistes ne vous oblige à connaître le fonctionnement des menus d’une plateforme particulière. La décision se prend avant que le moindre menu n’entre en jeu : le code est destiné au titulaire du compte, et un appelant non sollicité n’est pas le titulaire du compte.
Ce que ce guide ne couvre pas
Certaines organisations utilisent leurs propres procédures de confirmation lorsque vous les contactez en premier. Celles-ci ne sont pas identiques à un code de connexion reçu pour une session que vous n’avez pas lancée, et ce guide ne traite pas chaque étape de confirmation du support comme un code de connexion. La règle ici est volontairement étroite : un code de connexion reste avec la personne qui se connecte.
Cette page ne couvre pas non plus le nettoyage d’un compte après une alerte, la modification des paramètres ou la vérification de l’authenticité d’un profil. Ce sont des tâches distinctes.
Une prochaine étape utile
L’appel s’accompagne souvent d’une histoire : un message, un profil de réseau social ou un compte d’assistance qui se prétend officiel. Si vous voulez examiner cette affirmation plutôt que l’appel téléphonique, la tâche suivante consiste à vérifier si un compte d’assistance est authentique. Notre guide sur la vérification des faux comptes d’assistance sur les réseaux sociaux détaille cette question distincte.
Une recherche de nom d’utilisateur peut être un point de départ lorsque vous examinez un profil qui vous a contacté, mais une correspondance publique est une piste, pas la preuve de qui se cache derrière. Traitez-la comme un élément à vérifier, non comme une confirmation.