Détectez les fausses propositions de collaboration avec une marque ou d’ambassadeur en vérifiant l’expéditeur par un canal indépendant, ainsi que le contrat, le paiement, les liens et les pièces jointes.
Pour évaluer une proposition de collaboration suspecte, vérifiez-la par un canal que vous avez trouvé indépendamment — et non à partir d’un lien, d’un numéro ou d’un contact fourni dans le message. Examinez le domaine complet de l’expéditeur et méfiez-vous des demandes urgentes, des frais à avancer, des demandes de cartes cadeaux ou de cryptomonnaies, des demandes de mot de passe ou de code de vérification, des téléchargements inconnus et des promesses de revenus élevés sans contrat. Tant que la vérification n’est pas terminée, ne cliquez sur rien, n’ouvrez aucune pièce jointe, ne payez rien et ne communiquez aucune donnée.
Les escrocs ne se font pas uniquement passer pour de petites entreprises ou des entreprises inconnues. Ils peuvent copier le logo, la photo d’un employé, le langage d’une campagne et le domaine ressemblant à celui d’une entreprise connue. Ils peuvent aussi envoyer un message depuis un véritable compte de réseau social qui a été compromis. Un badge de vérification, une présentation soignée ou un message d’accueil personnalisé ne constituent donc pas, à eux seuls, une preuve.
La Federal Trade Commission des États-Unis met expressément en garde les créateurs contre les fausses propositions de « brand ambassador manager » qui utilisent le nom d’une marque connue, des produits gratuits et une rémunération élevée pour obtenir des informations personnelles ou bancaires. Son conseil principal est de se renseigner sur la proposition et de contacter l’entreprise à partir de coordonnées dont vous savez, indépendamment, qu’elles sont légitimes.
Signes d’alerte courants
| Signe | Pourquoi c’est risqué | Réaction plus sûre |
|---|---|---|
| Le nom affiché correspond à une marque, mais l’adresse complète utilise une messagerie gratuite ou un domaine ressemblant | Les noms affichés sont faciles à copier | Examinez chaque caractère et vérifiez par l’intermédiaire du site officiel de la marque |
| « Répondez aujourd’hui ou vous perdrez l’offre » | Vous empêche de faire des recherches | Demandez du temps et ne donnez pas suite tant que la vérification indépendante n’est pas terminée |
| Vous devez d’abord payer les frais de livraison, d’assurance, d’adhésion ou d’activation | En principe, un créateur ne devrait pas avoir à payer pour obtenir un travail | Ne payez rien et contactez l’entreprise par son canal officiel |
| Carte cadeau, cryptomonnaie, virement bancaire ou demande de rembourser une partie d’un chèque | Procédés courants dans les escroqueries au paiement irréversible et au faux chèque | Mettez fin à l’échange et conservez les preuves |
| Demande de mot de passe, code de secours, code d’authentification à deux facteurs ou approbation de connexion | Tentative de prise de contrôle du compte | Ne communiquez jamais de secret d’authentification à un partenaire |
| Archive protégée par mot de passe, fichier exécutable, document avec macros ou application inconnue | Peut installer un logiciel malveillant ou dérober une session | Ne l’ouvrez pas ; demandez une page vérifiée ou un PDF standard |
| Revenus extraordinaires, mais aucune mission définie | L’enthousiasme remplace les informations professionnelles | Demandez par écrit les livrables, les droits, les révisions et le calendrier de paiement |
| Passage immédiat à une messagerie hors plateforme | Peut permettre d’éviter les traces et les contrôles | Effectuez la vérification par e-mail professionnel et via un canal officiel |
Un seul signe d’alerte ne prouve pas toujours qu’il s’agit d’une fraude. Une très petite entreprise peut, par exemple, utiliser une messagerie gratuite. La présence de plusieurs signes doit vous inciter à réévaluer le risque, et toute proposition qui ne peut pas être vérifiée indépendamment doit être refusée. La crainte de passer à côté d’une occasion est moins importante que la protection de votre compte et de votre argent.
1. Examinez l’adresse complète de l’expéditeur, pas seulement le nom affiché
Le fait que « GlobalBrand Partnerships » apparaisse à l’écran ne signifie pas que l’e-mail a été envoyé par GlobalBrand. Lisez l’adresse complète après le symbole @. Repérez les lettres remplacées, les tirets supplémentaires, les extensions inhabituelles ou les longues adresses conçues pour placer le nom de la marque avant le domaine d’une autre entité. Dans brand.example-security.com, le domaine déterminant est example-security.com ; le mot « brand » au début ne prouve rien.
Google recommande de vérifier que le nom et l’adresse de l’expéditeur correspondent, de survoler les liens pour comparer les URL affichées et de tenir compte des avertissements concernant les messages suspects. Un domaine professionnel ne constitue toutefois pas une preuve définitive, car une véritable boîte de messagerie peut avoir été compromise. Saisissez vous-même dans votre navigateur l’adresse du site officiel de la marque et utilisez le moyen de contact qui y est indiqué.
2. Vérifiez auprès de la marque par un canal indépendant
N’utilisez pas le numéro de téléphone, le lien ou la page supposée du responsable indiqués dans le message. Les publicités et les résultats de recherche copiés peuvent également induire en erreur ; privilégiez donc un site officiel connu ou un profil d’entreprise vérifié. Un court message suffit :
« J’ai reçu une proposition pour [campagne] de la part de [nom/adresse]. Je vérifie indépendamment l’identité de la personne et la campagne avant d’ouvrir le moindre lien. »
Si l’entreprise indique qu’elle n’a pas envoyé la proposition, arrêtez les échanges. Si personne ne vous répond, la proposition reste non vérifiée. Si une agence intervient, confirmez la relation entre l’agence et la marque auprès de cette dernière, ou vérifiez l’employé par l’intermédiaire d’un canal professionnel de l’agence que vous avez trouvé indépendamment.
3. Demandez des détails concrets sur la mission
Une proposition légitime ne se résume pas à des compliments et à un montant de rémunération. Il doit être possible de définir :
- L’objectif de la campagne, la marque et le produit,
- Le nombre et le format des livrables,
- Le canal de publication et le calendrier,
- Le nombre de révisions et le processus de validation,
- La réutilisation organique, les droits d’utilisation pour les médias payants, la durée et le territoire,
- L’exclusivité par catégorie,
- Les honoraires, la facture ou le justificatif de paiement, la devise et le calendrier,
- Les obligations de mention publicitaire et le contact responsable,
- Les conditions d’annulation, de retard et de règlement des litiges.
Ces détails ne prouvent pas automatiquement que la proposition est légitime, mais une demande de données d’identité ou bancaires avant même que la mission soit définie présente un risque élevé. Consultez notre guide de rédaction d’un brief de collaboration avec une marque pour définir le périmètre de la mission et notre guide sur les paiements sécurisés et la fiscalité pour le processus de paiement.
4. Évaluez les liens et les pièces jointes séparément, sous l’angle de la sécurité
Un fichier intitulé « brief », « visionneuse de kit média », « codec vidéo », « éléments de marque » ou « contrat » peut être malveillant, même si le message semble convaincant. N’exécutez aucun fichier, n’installez pas d’extension de navigateur inconnue, n’activez pas les macros d’un document et n’ouvrez pas d’archive protégée par mot de passe provenant d’un expéditeur non vérifié. Fermez toute page qui vous demande de vous connecter à un réseau social simplement pour consulter un contrat.
Demandez un format plus sûr : une page sur le domaine professionnel vérifié, un PDF standard ou un système de contractualisation reconnu. Une véritable page de document en ligne peut tout de même contenir un lien externe malveillant. Pour lever un doute, ne demandez pas à un collègue de cliquer ; transmettez l’URL sous forme de texte ou de capture d’écran à la personne chargée de la sécurité.
5. Refusez les modalités de paiement qui inversent les rôles
Dans une collaboration, le créateur fournit le travail convenu et reçoit une rémunération prévue au contrat. Arrêtez les échanges si la prétendue marque vous demande d’abord de payer pour une « validation de livraison », une « adhésion au programme d’ambassadeur », un produit à prix réduit, une activation fiscale ou une assurance. Dans le cadre d’une escroquerie au faux chèque, l’escroc peut vous envoyer un montant trop élevé et vous demander de lui transférer la différence ; la banque peut afficher les fonds comme disponibles à titre provisoire avant de rejeter le chèque par la suite.
La FTC indique qu’un employeur potentiel honnête ne vous enverra pas de chèque en vous demandant d’en rembourser une partie ou d’acheter des cartes cadeaux. Les véritables obligations fiscales et de facturation ne sont pas remplies en envoyant des frais d’activation vers un portefeuille personnel.
6. N’acceptez jamais que l’accès à votre compte soit une condition de la collaboration
Une marque peut demander des statistiques agrégées des Insights ; elle n’a pas besoin de votre mot de passe. Utilisez une capture d’écran datée, un outil officiel de partenariat ou un accès dont le périmètre est correctement défini. Ne communiquez jamais de mot de passe, code SMS, code d’application d’authentification, code de secours, lien de récupération ou approbation sur un appareil.
Meta indique qu’Instagram n’envoie pas de messages directs dans l’application concernant des problèmes de compte et permet aux utilisateurs de consulter dans les paramètres les e-mails officiels d’Instagram reçus au cours des 14 derniers jours. Si une « campagne de marque » vous demande de résoudre un problème de droits d’auteur, ouvrez vous-même les paramètres de la plateforme au lieu de suivre le lien fourni.
7. Utilisez systématiquement un barème simple d’évaluation des risques
Ce barème ne prouve pas juridiquement qu’il s’agit d’une fraude ; il aide un créateur ou une équipe à prendre des décisions cohérentes.
| Vérification | 0 point | 1 point | 3 points |
|---|---|---|---|
| Expéditeur | Vérifié par un canal officiel | Agence ou domaine pas encore vérifié | Domaine ressemblant ou incohérence d’identité |
| Pression | Délai raisonnable pour examiner l’offre | Urgence injustifiée | Menace ou exigence d’action immédiate |
| Argent | Paiement prévu au contrat, versé au créateur | Calendrier imprécis | Frais à avancer, carte cadeau, cryptomonnaie ou virement à effectuer en retour |
| Accès | Aucune demande de mot de passe | Demande excessive de données | Mot de passe, code 2FA ou lien de connexion |
| Fichier | Document standard vérifié | Lien cloud inconnu | Fichier exécutable, chiffré ou extension |
- 0–2 : Ne poursuivez qu’après examen du périmètre de la mission et du contrat.
- 3–5 : Faites une pause et vérifiez la marque de façon indépendante.
- 6+ ou tout élément critique à 3 points : Ne cliquez pas, ne payez pas et ne communiquez aucune donnée ; refusez et signalez la proposition.
Un score faible ne constitue pas une garantie, en particulier si la marque n’a pas elle-même confirmé la proposition.
Mesurez l’efficacité de votre processus de sécurité
| Indicateur mensuel | Calcul | Objectif |
|---|---|---|
| Taux de vérification indépendante | Propositions confirmées indépendamment / propositions ayant donné lieu à une suite | Réduire les décisions précipitées |
| Taux d’interruption avant préjudice | Propositions suspectes stoppées avant communication de données/paiement / propositions suspectes | Vérifier que les contrôles interviennent à temps |
| Délai de signalement d’un incident | Temps écoulé entre le premier soupçon et le signalement à la plateforme/aux autorités | Améliorer le processus de réponse |
| Couverture de l’authentification à deux facteurs | Comptes essentiels avec 2FA / nombre total de comptes essentiels | Réduire les conséquences d’une prise de contrôle de compte |
| Exhaustivité des preuves | Incidents pour lesquels l’en-tête, l’expéditeur, l’URL, la date et la capture d’écran ont été conservés / nombre total d’incidents | Améliorer la qualité des signalements |
Chaque mois, ajoutez à la liste d’alerte de l’équipe des exemples anonymisés de domaines, de types de fichiers et de formulations mettant la pression. Ne diffusez pas de données personnelles et ne partagez pas de liens malveillants sous forme cliquable.
Liste de vérification en dix points
- J’ai vérifié l’adresse e-mail complète et le domaine, pas seulement le nom affiché.
- J’ai contacté la marque sans utiliser le lien du message.
- Un canal professionnel indépendant a confirmé l’identité de la personne et la campagne.
- Les livrables, les droits, les révisions et le paiement sont consignés par écrit.
- Aucun frais à avancer, carte cadeau, cryptomonnaie ou virement à effectuer en retour n’est demandé.
- Je ne communique aucun mot de passe, code 2FA, code de secours ni approbation sur un appareil.
- Je n’ouvre aucune pièce jointe, extension ou page de connexion inconnue.
- L’entité qui conclut le contrat et celle qui paie sont cohérentes.
- La responsabilité relative aux mentions publicitaires figure dans le brief.
- La correspondance, les en-têtes, le contrat et les justificatifs de vérification sont conservés.
Que faire si vous avez déjà cliqué ?
Fermez la page, n’exécutez aucun fichier téléchargé et vérifiez les sessions actives dans les paramètres de sécurité du compte, même si vous n’avez saisi aucun mot de passe. Si vous avez communiqué un mot de passe ou un code, modifiez le mot de passe depuis un appareil de confiance, mettez fin aux autres sessions, rétablissez l’authentification à deux facteurs et modifiez tout autre compte utilisant le même mot de passe. Sécurisez d’abord votre messagerie, car elle sert souvent à récupérer l’accès aux comptes de réseaux sociaux.
Si vous avez communiqué de l’argent ou des informations bancaires, contactez rapidement votre banque par l’intermédiaire de son numéro officiel. Avant de supprimer quoi que ce soit, conservez les captures d’écran, l’adresse complète de l’expéditeur, l’URL, la date et l’heure, ainsi que les informations de paiement ; signalez le compte à la plateforme. En cas de préjudice concret en Türkiye, suivez les démarches actuellement publiées par le Département de lutte contre la cybercriminalité de la Police nationale turque et les autorités compétentes. Ces mesures générales ne remplacent pas les conseils juridiques ou d’investigation numérique adaptés à un incident particulier.
Note juridique et éthique
Accuser publiquement une personne ou une entreprise avant vérification peut nuire à un employé innocent ou au propriétaire d’un compte compromis. Conservez les preuves, informez la marque de manière indépendante et signalez la situation à la plateforme ou à l’autorité compétente. Ne publiez aucune pièce d’identité, coordonnée bancaire ou donnée personnelle figurant dans un contrat. Si la proposition est légitime, la relation commerciale doit tout de même faire l’objet d’une mention transparente ; notre guide d’août 2026 sur l’identification des publicités d’influence explique le contrôle à effectuer avant publication.
Foire aux questions
Une adresse e-mail professionnelle prouve-t-elle qu’une proposition est authentique ?
Non. Un domaine ressemblant peut avoir l’apparence d’un domaine professionnel, et une véritable boîte de messagerie peut avoir été compromise. Confirmez la proposition séparément par l’intermédiaire du canal officiel de l’entreprise.
La marque me demande de payer d’abord les frais de livraison. Est-ce normal ?
Considérez cela comme un sérieux signe d’alerte. N’envoyez jamais d’argent vers un compte personnel, une carte cadeau ou une adresse de portefeuille de cryptomonnaie, et ne payez aucuns « frais d’activation » avant une vérification indépendante.
Puis-je envoyer un kit média sans risque ?
Vous pouvez communiquer une adresse e-mail professionnelle publique et des données agrégées sur vos performances. Au premier stade, n’envoyez ni adresse personnelle, ni pièce d’identité, ni mot de passe, ni code 2FA, ni information bancaire non nécessaire.