Le faux conseiller en 30 secondes
- Le scénario : une alerte par email ou SMS, puis un appel depuis le numéro affiché de votre banque. Un interlocuteur posé vous annonce une fraude en cours et propose de la bloquer.
- Le mécanisme :il ne vous vole rien directement. Il vous fait valider vous-même, dans votre application, les opérations qu'il déclenche. L'authentification forte est ainsi contournée sans être cassée.
- La règle absolue :aucun conseiller ne demande jamais un code SMS, un mot de passe, ni une validation dans l'application. Raccrochez et rappelez le numéro figurant au dos de votre carte.
- Le remboursement se discute :l'article L.133-18 impose la restitution des opérations non autorisées, et c'est à la banque de prouver une négligence grave.
Une mise en scène en deux temps
Tout commence souvent par un message. Un email ou un SMS annonce une opération inhabituelle sur votre compte, un achat que vous n'avez pas fait, une connexion depuis un appareil inconnu. Ce message n'a pas besoin d'être parfait : son rôle est seulement de vous mettre en alerte et de rendre crédible ce qui va suivre.
L'appel arrive ensuite, parfois dans la minute. Sur votre écran s'affiche le numéro de votre agence, ou celui du service fraude de votre banque. Cette concordance est fabriquée : la technique dite d'usurpation du numéro appelant permet de choisir le numéro qui s'affiche. Un numéro n'est pas une preuve d'identité, pas davantage qu'une adresse d'expéditeur dans un courriel.
La voix, elle, est calme, professionnelle, rassurante. Votre interlocuteur connaît souvent votre nom, parfois votre agence, parfois les derniers chiffres de votre carte, éléments issus de fuites de données antérieures. Il ne vous demande rien d'anormal au début : il vous aide. C'est le renversement central de cette arnaque, et ce qui la rend si efficace même sur des personnes averties.
Le moment exact où tout bascule
Après avoir installé la confiance, l'interlocuteur passe à l'action. Il vous explique qu'il faut « bloquer », « annuler » ou « sécuriser » les opérations frauduleuses en cours, et que la procédure nécessite votre confirmation. Il vous demande alors, selon les variantes, de lui communiquer le code reçu par SMS, ou de valider une notification qui vient d'apparaître dans votre application bancaire.
C'est là, et seulement là, que le préjudice se produit. Ce code et cette validation ne bloquent rien : ils autorisent. Ils constituent votre signature électronique sur une opération que l'escroc vient de déclencher. L'authentification forte de votre banque fonctionne parfaitement ; c'est vous qui, croyant refuser, êtes en train d'accepter.
Un code de validation ne sert jamais à annuler une opération. Il sert toujours à en autoriser une.La règle qui résume tout le reste
Certaines variantes vont plus loin et vous font transférer vos fonds vers un « compte de sécurité » ouvert à votre nom. Ce compte n'existe pas. Une banque ne déplace jamais votre argent vers un autre compte pour le protéger, et ne vous demande jamais de le faire vous-même.
Les réflexes qui coupent court
- Vous demander un code reçu par SMS.Aucune exception, aucun prétexte, aucun service. Ce code n'a qu'un seul usage : signer une opération.
- Vous demander de valider une notification dans votre application. Une validation autorise. Elle n'annule jamais rien.
- Vous demander votre mot de passe.Votre banque n'en a pas besoin : elle a accès à votre compte par ses propres outils.
- Vous demander de virer vos fonds vers un autre compte. Le « compte de sécurité » ou « compte tampon » n'existe dans aucune banque.
- Vous presser.L'urgence est l'instrument principal : elle empêche de raccrocher et de vérifier.
Le geste qui vous protège dans tous les cas, sans exception : raccrochez. Puis rappelez votre banque au numéro figurant au dos de votre carte ou sur vos relevés, jamais à celui communiqué pendant l'appel. Si l'alerte était réelle, elle sera confirmée. Si personne ne vous a appelé, vous venez d'éviter le pire. Raccrocher n'est jamais impoli face à une demande de code.
Si le contact a débuté par un email, faites-le analyser. Ces messages portent presque toujours des traces techniques exploitables, et l'analyse constitue une pièce de plus pour votre dossier.
Ce que dit la loi sur le remboursement
C'est le point décisif de ce dossier. Les banques opposent fréquemment un refus initial en invoquant votre négligence. Ce refus n'est pas la fin de la discussion.
Ce qu'il faut faire, et dans quel ordre
1. Faites bloquer, immédiatement
Appelez le service opposition de votre banque, au numéro officiel. Faites bloquer la carte, les virements en cours et l'accès à distance. Certains virements peuvent encore être arrêtés s'ils n'ont pas été exécutés.
2. Écrivez tout, tout de suite
Notez l'heure de l'appel, le numéro affiché, le nom donné par votre interlocuteur, ce qu'il vous a demandé et dans quel ordre, les montants. Conservez le SMS ou l'email initial. Cette chronologie est la pièce maîtresse de votre dossier.
3. Déposez plainte
En commissariat ou en gendarmerie, avec votre chronologie. La plainte est presque toujours exigée par la banque pour instruire une contestation d'un tel montant.
4. Contestez par écrit, en visant les textes
Adressez un courrier recommandé listant les opérations contestées et demandant le remboursement au titre de l'article L.133-18, en rappelant que la preuve d'une négligence grave incombe à la banque au titre de l'article L.133-19. Exigez une réponse écrite et motivée.
5. Saisissez le médiateur en cas de refus
Les coordonnées du médiateur de votre banque figurent sur vos relevés et sur son site. La saisine est gratuite. Vous pouvez également solliciter un accompagnement gratuit sur cybermalveillance.gouv.fr, et vous rapprocher d'une association de consommateurs.
Questions fréquentes
Le contact a commencé par un email ?
Faites-le analyser avant de le supprimer : il contient souvent la preuve technique de l'usurpation, utile pour votre dossier. Gratuit, sans inscription.
Vous reconnaissez votre situation ?
Le diagnostic gratuit analyse votre cas en 2 minutes et génère automatiquement les courriers adaptés à votre situation, prêts à imprimer et envoyer.
Démarrer mon diagnosticVous recevez aussi des messages suspects ? Faites analyser un email gratuitement, en quelques secondes.