Poisson d’avril : comment éviter de se faire avoir (et mes pires exemples)

J’ai ouvert un DM qui promettait “le patch secret pour booster ton FPS”. C’était un .exe. J’ai failli cliquer.

Le 1er avril, tout le monde devient journaliste. Les studios, les médias, les potes sur Discord. Le problème ? Ils sont souvent plus créatifs que prudents.

Je te raconte les pires pièges que j’ai vus (et pris), comment les détecter en 5 signes, quels outils utiliser (2 indispensables) et la règle unique que j’applique depuis que j’ai cramé un vieux SSD en 2019. Spoiler : ça implique un zip et un container.

Je me suis fait avoir 10 minutes par un fake (anecdote qui pique)

Il était 09h12, un thread affirmait qu’un studio français filait GTA VI gratuitement pour “tester le netflow”. 10 minutes plus tard, j’avais partagé le lien. Mon téléphone a commencé à chauffer.

La vérité : le site était une copie cheap avec favicon volé et une URL qui ressemblait mais n’était pas la bonne. En 2 minutes j’avais donné mon mail à une liste qui m’a spammé 48 heures. J’ai perdu 0 €, mais j’ai passé 3 heures à nettoyer des newsletters.

Ce qui m’a piégé : le titre accrocheur + la preuve visuelle (une image retouchée). Si tu vois un truc trop beau pour être vrai le matin du 1er avril, assume que c’est un canular. Et oui, même les médias pro se plantent (j’ai vu Libé retweeter un faux communiqué en 2017 — erreur corrigée, mais le mal était fait).

⚠️ Attention : ne télécharge JAMAIS un binaire reçu via DM sans vérifier le hash (SHA256) et la source officielle.

5 signes qui montrent qu’un article est probablement un poisson (liste pratique)

1. Titre contenant un chiffre rond (» gratuit », « 1000 joueurs », « 0€ »). Les trolls aiment les nombres.
2. URL différente de celle du site officiel (typosquat, un caractère changé).
3. Pas d’archive du contenu dans Wayback Machine ou une page toute neuve créée dans les 24h.
4. Zone de commentaires remplie de memes et de messages du type « lol april fools ».
5. Aucun communiqué officiel sur le compte Twitter/X du studio (ou le compte est vérifié mais inactif depuis 6 mois).

Si tu coches 3 cases sur 5, considère ça comme un poisson jusqu’à preuve du contraire. La fake news se nourrit de l’urgence. Le matin du 1er avril, le réflexe « partager vite » est l’ennemi.

Bon, concrètement : vérifie l’URL, regarde la date de création du contenu (source : HTTP headers ou Wayback), et scrolle les replies. Ces 3 gestes te prennent 90 secondes et t’évitent 2 heures de SAV mental.

💡 Conseil : ouvre la console réseau (Ctrl+Shift+I) et regarde le header “Server” et “Date” si tu veux une piste rapide sur l’authenticité.

2 outils concrets pour vérifier une annonce (et comment les utiliser)

Wayback Machine : tape l’URL suspecte. Si la page apparaît pour la première fois aujourd’hui, c’est louche. J’utilise Wayback au moins 4 fois par an pour retrouver des annonces supprimées ou vérifier si un communiqué a été modifié après coup (oui, ça arrive souvent).

Google Cache : utile quand Wayback n’a rien. Cherche “cache:tonurl.com” dans Google. Si la page n’est pas indexée, c’est un signal. Paradoxalement, un article viral peut être indexé en minutes, donc absence d’indexation n’est pas une preuve absolue, mais c’est un indicateur.

Autres vérifs rapides (sans tool compliqué) :

• Cherche le nom du communiqué + “site:twitter.com” pour voir si le studio a commenté.
• Compare les images : fais un reverse image search (tu peux utiliser la recherche d’images de Google) pour repérer les montages.

Si tu veux aller plus loin : récupère le certificat TLS du site (clic sur le cadenas dans le navigateur) — un certificat Let’s Encrypt émis il y a 1 jour n’est pas en soi suspect, mais un site imitant un grand studio avec un certificat vieux de 2 heures, ça lève un sourcil.

📌 À retenir : Wayback Machine et Google Cache suffisent pour éliminer 70 % des fakes en moins de 5 minutes.

3 attaques classiques auxquelles tu dois penser (techniques que j’ai vues)

1. Le site clone qui redirige vers un faux store. T’as l’impression de télécharger depuis Steam, mais c’est un installeur qui plante des toolbars. Résultat : CPU qui chauffe et une barre de recherche merdique.

2. L’annonce “officielle” retweetée par un compte parodique. Le handle ressemble, la bio est vide, et le badge bleu… absent. Les gens retweetent sans regarder le nom exact du profil. J’ai un pote qui a retweeté un faux communiqué d’un éditeur et qui a perdu 200 followers en une journée (à cause du spam).

3. Le mod “optimisé” qui contient un miner. C’est vieux comme le web. Depuis 2014, les miners se cachent dans des “patchs communautaires”. Si un mod te demande un exécutable externe, ferme la fenêtre.

Pour te protéger : installe Malwarebytes (ou un équivalent) et garde un disque de sauvegarde séparé. Et si tu es curieux des scripts, exécute-les dans une VM chiffrée pendant 10 minutes — si ça crache, t’as évité le pire.

1 règle simple pour survivre au 1er avril (ma règle perso)

Toujours : ne pas cliquer sur un exécutable le jour du 1er avril sans avoir vérifié 2 sources officielles. Pas de demi-mesures.

Ma checklist rapide (30 secondes) :

• Vérifier l’URL (0 faute de frappe).
• Chercher le titre sur Twitter/X et sur le site officiel du studio (compte vérifié).
• Vérifier Wayback ou Google Cache.
• Si c’est un fichier : demander le SHA256 au distributeur ou refuser.

J’applique cette règle depuis 2019. Résultat : 0 ransomwares, 1 spam, et un respect légèrement supérieur de ma copine qui n’aime pas quand mon PC chauffe.

⚠️ Attention : accepter des fichiers “pour tester” dans des groupes publics c’est inviter les problèmes — tu joues avec la sécurité de tout le monde dans le channel.

Liens, humour et contexte (pour garder la continuité du site)

Tu veux poster des canulars corrects, genre propres et inoffensifs ? J’ai écrit un guide sur la création de contenu (techniques, hooks, éthique) que tu peux lire ici : [/articles/code-createur/]. Le lien t’aidera si tu veux faire une blague sans bousiller la confiance des lecteurs.

Le truc, c’est que les poissons drôles deviennent viraux. Les poissons qui jouent avec l’argent ou la sécurité deviennent légendes — mais dans le mauvais sens. Si tu gères une page de news, fais un tag clair « poisson » et assume. Tu seras respecté pour ta transparence.

Anecdotes rapides (3 brefs cas réels)

• 2012 : un blog local annonce la fermeture d’une chaîne de magasins — 200 personnes paniquent (fausse alerte).
• 2017 : un développeur propose un DLC gratuit, le lien installe un miner. L’auteur a effacé tout son historique et disparu (leçon : backups).
• 2024 : un studio indie lance un faux trailer d’un portage en VR. 5 000 vues en 24h. Tout le monde a rigolé. Ça montre qu’il y a des poissons marrants et des poissons toxiques.

Bref, la différence entre rire et chaos, c’est la sécurité et le respect.

FAQ

Q : Comment vérifier en moins de 2 minutes si un communiqué est réel ? R : Regarde l’URL, cherche le même texte sur Twitter/X via le compte officiel du studio, vérifie Wayback. Si au moins 2 sources officielles ou historiques confirment, c’est probablement sûr. Temps estimé : 90 secondes.

Q : J’ai cliqué sur un binaire douteux, que faire en 3 étapes ? R : 1) Déconnecte ta machine d’Internet. 2) Lance un scan complet avec un AV moderne (ex. Malwarebytes). 3) Restaure depuis un backup datant d’avant l’exécution (idéalement 24–72 heures). Si tu n’as pas de backup, isoler le PC et consulter un pro est la meilleure option.

Q : Les studios font-ils des poissons d’avril officiels ? R : Oui, beaucoup. Entre 2015 et 2023, plusieurs grosses boîtes ont publié canulars officiels (parfois signalés sur leur blog). Vérifie toujours le compte officiel du studio et leur page “News” pour différencier l’officiel du fake.

James LaFleur — Lyon. Ancien dev front, actuel collectionneur de poissons d’avril (sauf ceux qui provoquent des ransomwares). Avatar : /avatar.webp