Il y a une image tenace dans l'esprit du public : un informaticien encapuchonné qui perce les défenses d'une banque et se sert dans les comptes. Cette scène n'a pratiquement aucun rapport avec la réalité des dossiers traités chaque semaine par les services de police et les médiateurs bancaires. Les systèmes des établissements financiers sont robustes, surveillés, redondants. Le maillon que les escrocs attaquent, parce qu'il est le seul à leur portée, c'est le client.
Le rapport d'activité 2024 de Cybermalveillance.gouv.fr, le dispositif public d'assistance aux victimes, éclaire cette réalité. L'hameçonnage y figure comme la menace dominante pour tous les publics, avec environ 64 000 demandes d'assistance et 1,9 million de consultations d'articles sur la seule année. Le piratage de compte arrive en deuxième position pour les particuliers comme pour les entreprises, avec une hausse de 55 % des recherches d'assistance. Ces deux techniques, mises bout à bout, forment la chaîne de production principale de la fraude bancaire. Cet article ne remplace pas un conseil juridique ou fiscal.
1 Premier de la Classe.lol Le classement acheté des startups françaises. Ton rang = ce que tu verses. dès 0,30 € → en direct·1 294,80 € versés·40 startupsvoir les stats → PublicitéÀ retenir
- La fraude commence presque toujours par une fuite de données qui rend l'escroc crédible, puis se conclut par une opération que la victime valide elle-même.
- Un vrai conseiller bancaire ne demande jamais de valider une opération dans l'application, de communiquer un code reçu par SMS ou d'installer un logiciel à distance.
- D'après service-public.gouv.fr, une opération frauduleuse peut être contestée pendant 13 mois et le remboursement doit intervenir au plus tard à la fin du premier jour ouvrable suivant la contestation.
Le vrai point de départ : une fuite de données
Tout commence par un fichier. Une base clients mal protégée, un prestataire compromis, un site marchand attaqué : les informations personnelles circulent ensuite entre acteurs malveillants, revendues, recoupées, enrichies. Le rapport 2024 de Cybermalveillance.gouv.fr mentionne 12 400 demandes d'assistance liées à des violations de données personnelles et 706 000 consultations d'articles sur ce thème, soit une progression de 82 % sur un an, en lien avec des incidents ayant touché des organisations de grande taille.
Ce que contiennent ces fichiers n'a rien de spectaculaire pris isolément : un nom, une adresse, un numéro de téléphone, parfois un identifiant client, une date de naissance, le nom de l'établissement bancaire. C'est précisément la banalité de ces éléments qui fait leur valeur. Ils ne permettent aucun virement, mais ils permettent une chose bien plus rentable : rendre un inconnu crédible au téléphone.
L'étape qui rapporte : le coup de fil du faux conseiller
Vient alors l'appel. Le numéro affiché est celui de votre agence, ou celui du service fraude imprimé au dos de votre carte, grâce à une technique d'usurpation d'affichage. L'interlocuteur vous nomme, connaît votre banque, mentionne parfois une opération récente. Il annonce une tentative de fraude détectée sur votre compte et se présente comme celui qui va la bloquer. Le scénario est toujours le même : il ne demande rien, il vous protège.
Ce renversement est le cœur du dispositif. La victime ne se croit pas en train de subir une escroquerie, elle se croit en train d'y échapper. À partir de là, chaque étape paraît logique : confirmer son identité, lire un code reçu par SMS pour « annuler » une opération, valider une notification dans l'application pour « bloquer » un paiement, ou installer un outil de prise en main à distance pour que le conseiller « fasse la manipulation à votre place ». Chacun de ces gestes autorise en réalité la transaction que l'escroc est en train de créer.
Les escrocs ne forcent presque jamais une banque. Ils obtiennent que le client valide lui-même l'opération qui le ruine.
Pourquoi l'authentification forte ne suffit plus
Les dispositifs de validation par application ou par code à usage unique ont largement fait reculer la fraude à la carte volée. Ils reposent cependant sur un postulat : que la personne qui valide comprenne ce qu'elle valide. Les escrocs n'ont pas cherché à casser ce mécanisme, ils ont contourné le postulat. En occupant la victime au téléphone, en pressant, en dramatisant, ils obtiennent une validation sincère sur une opération dont le libellé, souvent lu trop vite, ne correspond pas à ce qui est annoncé.
La pression temporelle joue un rôle central. Un compte présenté comme en train d'être vidé, un délai de quelques minutes, une menace de blocage : le cerveau bascule en mode réaction et cesse de vérifier. C'est une mécanique documentée par tous les organismes de prévention, et elle ne dépend ni de l'âge, ni du niveau d'études, ni de la familiarité avec le numérique. Elle dépend uniquement du contexte dans lequel l'appel tombe.
Les signaux qui trahissent l'appel frauduleux
- On vous demande un code reçu par SMS ou par notification, sous n'importe quel prétexte. Aucun établissement ne procède ainsi.
- On vous demande de valider quelque chose dans votre application pendant l'appel. Une validation autorise, elle n'annule jamais.
- On vous propose d'installer un logiciel pour prendre la main sur votre ordinateur ou votre téléphone.
- On vous demande de virer vos fonds vers un « compte sécurisé » ou « compte tampon ». Ce type de compte n'existe pas.
- On vous presse, on vous demande de ne pas raccrocher, de ne pas en parler à un proche ou à votre agence.
- On vous demande vos identifiants complets, votre code confidentiel de carte ou le cryptogramme au dos.
La parade est unique et vaut pour tous les cas : raccrocher, puis rappeler soi-même sa banque au numéro figurant sur son relevé, son contrat ou le dos de sa carte. Jamais le numéro fourni pendant l'appel, jamais un rappel automatique. Un conseiller légitime comprendra parfaitement cette précaution.
La chaîne complète, étape par étape
| Étape | Ce que fait l'escroc | Ce qui casse la chaîne |
|---|---|---|
| Collecte | Récupère des données issues d'une fuite ou d'un site frauduleux | Limiter les informations transmises, se méfier des formulaires inutiles |
| Hameçonnage | Envoie un message imitant une administration, un transporteur ou une banque | Ne jamais cliquer, aller soi-même sur le site officiel |
| Mise en confiance | Appelle avec un numéro usurpé et récite les informations détenues | Raccrocher et rappeler au numéro officiel |
| Validation | Obtient un code, une confirmation dans l'application ou un accès à distance | Ne jamais valider ni communiquer un code pendant un appel entrant |
| Encaissement | Transfère les fonds en cascade, souvent hors de France | Signaler dans l'heure pour maximiser les chances de blocage |
Ce que dit la loi sur le remboursement
Le droit est plus protecteur que ne le croient beaucoup de victimes, qui renoncent par honte ou par résignation. D'après la fiche officielle de service-public.gouv.fr consacrée à la fraude à la carte bancaire, un paiement frauduleux ne peut plus être remboursé s'il date de plus de treize mois, ce qui laisse un délai de contestation considérable. Ce délai est ramené à soixante-dix jours pour les opérations réalisées hors de l'Espace économique européen.
Sur le remboursement lui-même, la même source est explicite : les sommes doivent être remboursées immédiatement et au plus tard à la fin du premier jour ouvrable suivant la réception de la contestation. Le cadre juridique figure aux articles L133-6 à L133-8, L133-15 à L133-17 et L133-18 à L133-25-2 du code monétaire et financier. Les banques peuvent refuser en invoquant une négligence grave du client, notion appréciée au cas par cas, ce qui donne lieu à un contentieux nourri devant les médiateurs et les tribunaux. Un refus n'est donc jamais définitif en soi.
Les réflexes immédiats, puis la prévention en amont
- Faire opposition sans attendre, auprès de la banque ou au numéro d'opposition interbancaire indiqué par service-public.gouv.fr, le 0 892 705 705, joignable 24 heures sur 24 et 7 jours sur 7.
- Contester par écrit auprès de l'établissement, en listant précisément les opérations concernées, leurs dates et leurs montants.
- Signaler ou déposer plainte, via le dispositif Perceval pour les fraudes à la carte, ou auprès de la police ou de la gendarmerie, et conserver le récépissé.
- Changer les mots de passe de la messagerie et de l'espace bancaire depuis un appareil sain, et vérifier qu'aucune redirection de courriels n'a été ajoutée.
- Rassembler les preuves : relevés, captures d'écran, historique d'appels, messages reçus.
- Saisir le médiateur bancaire en cas de refus de remboursement, gratuitement, avant toute action judiciaire.
- Demander assistance auprès du dispositif public Cybermalveillance.gouv.fr, qui oriente les victimes et publie des fiches réflexes.
Puisque le premier maillon est la donnée, c'est là que la prévention est la plus rentable. Quelques habitudes suffisent à réduire fortement la surface d'attaque : limiter les informations transmises aux sites marchands, utiliser des mots de passe distincts pour la messagerie et l'espace bancaire, activer la double authentification sur la boîte mail, qui est la clé de tous les autres comptes, et surveiller ses relevés au moins une fois par semaine plutôt qu'une fois par mois.
Une dernière recommandation vaut particulièrement pour les personnes seules ou âgées, cibles privilégiées de ces appels : convenir à l'avance, en famille, d'une règle simple. Aucune décision financière n'est prise pendant un appel entrant, quelle qu'en soit l'urgence annoncée. Cette phrase, posée avant qu'un escroc n'appelle, protège mieux que n'importe quel dispositif technique.
Retenir une seule chose de cet article : la fraude bancaire moderne n'est pas un problème d'informatique, c'est un problème de conversation. Personne n'est piraté parce qu'il est naïf, mais parce qu'il a été appelé au mauvais moment par quelqu'un qui en savait déjà assez pour paraître légitime. La bonne nouvelle, c'est que la parade tient en un seul geste, et qu'elle est gratuite : raccrocher, puis rappeler soi-même.
Retraite, argent, arnaques du quotidien : ce journal explore les questions que tout le monde se pose. Pour savoir qui l'écrit, direction ma page auteur.