L'arnaque au faux conseiller bancaire

Image générée par IA¹

Votre téléphone sonne. Vous regardez l’écran : c’est le numéro de votre banque qui s’affiche, celui que vous avez enregistré dans vos contacts, ou en tout cas celui qui correspond bien à votre agence. Au bout du fil, une voix calme, posée, professionnelle : “Bonjour, je suis monsieur Durand, conseiller sécurité à votre banque. Nous avons détecté une opération suspecte sur votre compte.”

Votre coeur fait un petit bond. Une fraude ? Sur votre compte ?

Et c’est exactement à ce moment précis que le piège se referme. Parce que ce monsieur Durand, aussi rassurant soit-il, n’est pas votre banquier. C’est un escroc. Et il est en train de dérouler l’une des arnaques les plus efficaces du moment.

Laissez-moi vous expliquer comment ça marche, pourquoi ça fonctionne si bien, et surtout comment ne jamais se faire avoir.

“Mais c’était vraiment le numéro de ma banque !”

C’est la première chose qui désarçonne les victimes, et je les comprends. On nous a tellement répété de vérifier le numéro… Et là, justement, le numéro est le bon.

Sauf qu’un numéro de téléphone qui s’affiche, ça se truque. Cette technique s’appelle le spoofing (qu’on pourrait traduire par “usurpation”). En clair, l’escroc utilise un outil qui lui permet de choisir le numéro qui apparaîtra sur votre écran. Il peut afficher le numéro de votre banque, celui des impôts, de la police, ou même de votre propre voisin s’il en avait envie.

Imaginez une enveloppe que vous recevez par la poste : rien ne vous empêche d’écrire au dos l’adresse de l’expéditeur que vous voulez. Ce n’est pas parce qu’il est écrit “Banque de France” que la lettre vient vraiment de là. Le numéro affiché sur votre téléphone, c’est pareil : c’est juste une étiquette, et cette étiquette est falsifiable.

Si le sujet vous intéresse, j’en parle plus en détail dans mon article sur le spoofing.

Le vrai carburant de l’arnaque : la peur

Une fois que le numéro vous a mis en confiance, le faux conseiller passe à l’arme principale : l’urgence.

“Un paiement de 1 200 euros est en train de partir vers l’étranger.” “Quelqu’un tente de se connecter à votre compte depuis un autre appareil.” “Si on n’agit pas tout de suite, vous risquez de perdre vos économies.”

Le but est simple : vous faire paniquer pour vous empêcher de réfléchir. Quand on a peur de perdre son argent, on ne prend pas le temps de raccrocher pour vérifier. On veut régler le problème maintenant, et on devient docile. C’est un grand classique des arnaques téléphoniques : l’escroc crée une situation de stress et se présente comme la seule personne capable de vous en sortir.

Et il y a souvent un détail qui achève de vous convaincre : il en sait déjà beaucoup sur vous. Votre nom complet, votre adresse, parfois les derniers chiffres de votre carte, le nom de votre agence… Comment est-ce possible ?

Tout simplement parce que ces informations circulent. Elles proviennent de fuites de données (quand un site se fait pirater et que ses fichiers clients se retrouvent dans la nature) ou d’opérations de hameçonnage précédentes (ces faux e-mails ou SMS qui vous demandent vos informations). L’escroc a fait ses devoirs avant de vous appeler. Alors forcément, quand quelqu’un connaît votre nom et votre banque, on se dit “ça ne peut être que la vraie banque”. Erreur.

Le piège : on vous fait valider votre propre vol

Voilà le coeur de l’arnaque, et c’est diabolique de simplicité.

Le faux conseiller ne va (en général) pas vous demander brutalement votre mot de passe. Ce serait trop gros. Non, il va vous demander de “sécuriser” votre compte. Et pour ça, il vous guide, gentiment, pas à pas, vers une action qui semble vous protéger… alors qu’en réalité, vous êtes en train d’autoriser le vol.

Voici les variantes les plus courantes :

• “Validez l’opération dans votre application bancaire.” Pendant qu’il vous parle, l’escroc lance lui-même un virement ou un paiement depuis votre compte. Votre application affiche alors une demande de validation. Il vous dit : “C’est notre test de sécurité, validez pour bloquer le fraudeur.” Vous validez… et vous venez d’approuver son virement.
• “Donnez-moi le code que vous venez de recevoir par SMS.” Ce fameux code à usage unique (l’authentification à plusieurs facteurs, cette seconde barrière de sécurité) est justement là pour confirmer une opération sensible. En le dictant à l’escroc, vous lui donnez la dernière clé qui lui manquait.
• “Confirmez la connexion sur votre téléphone.” Même principe : c’est lui qui tente de se connecter à votre espace bancaire, et c’est vous qui lui ouvrez la porte en validant.
• “Faites un virement vers ce compte de mise en sécurité.” Là, c’est encore plus direct. On vous fait croire qu’on déplace votre argent vers un “compte tampon sécurisé”, le temps de régler le problème. Ce compte appartient évidemment à l’escroc, et votre argent ne reviendra jamais.

Dans tous les cas, le mécanisme est le même : c’est vous qui réalisez l’action. C’est ce qui rend l’arnaque si redoutable. La banque voit une opération validée par le client lui-même, avec le bon code, depuis le bon téléphone. Difficile de crier au piratage.

La règle d’or (à graver dans le marbre)

Si vous ne devez retenir qu’une seule chose de cet article, c’est celle-ci :

Ces codes et ces validations existent précisément pour que vous seul puissiez les utiliser. Un conseiller qui vous demande de les partager se contredit lui-même : il vous demande de désactiver la sécurité au nom de la sécurité. C’est absurde, et c’est le signal d’alarme numéro un.

Le bon réflexe tient en deux mots : raccrochez et rappelez.

1. Raccrochez. Sans culpabiliser, sans vous excuser. Si c’était vraiment votre banque, elle ne vous en voudra pas d’avoir été prudent.
2. Rappelez vous-même le numéro officiel de votre banque, celui qui figure au dos de votre carte bancaire ou sur votre application officielle (celle que vous avez installée vous-même, pas un lien qu’on vous envoie). Surtout, ne rappelez pas le numéro qui s’était affiché, et n’utilisez pas le bouton “rappeler” de votre historique d’appels.

Pourquoi rappeler soi-même ? Parce que c’est la seule façon d’être certain de parler à votre vraie banque. Vous reprenez la main, vous sortez du scénario que l’escroc avait écrit pour vous. Et neuf fois sur dix, votre vrai conseiller vous confirmera qu’aucune fraude n’était en cours.

Petite astuce au passage : un escroc déteste qu’on raccroche. Il insistera, vous mettra la pression (“ne raccrochez pas ou votre compte sera vidé dans 2 minutes !”). Plus on vous interdit de raccrocher, plus vous devez raccrocher. 😉

Et si j’ai déjà cédé ?

Ça arrive. Ces escrocs sont des professionnels de la manipulation, et tomber dans le panneau n’a rien de honteux. La culpabilité est d’ailleurs leur meilleure alliée : c’est elle qui pousse les victimes à attendre, à espérer que ça s’arrange tout seul. Surtout, ne perdez pas de temps. Voici les gestes à faire immédiatement :

• Appelez votre banque sur-le-champ (le vrai numéro, au dos de la carte) pour signaler la fraude et tenter de bloquer ou d’annuler les opérations. Plus c’est rapide, plus les chances de récupérer l’argent sont réelles.
• Faites opposition sur votre carte et, si nécessaire, demandez le blocage de vos accès en ligne.
• Changez vos identifiants de banque en ligne (mot de passe, codes d’accès).
• Portez plainte au commissariat ou à la gendarmerie. C’est indispensable pour vos démarches et pour les éventuels remboursements.
• Surveillez votre compte de près dans les jours et semaines qui suivent, au cas où d’autres opérations apparaîtraient.

Pour la marche à suivre complète après ce genre de mésaventure, j’ai écrit un guide dédié : que faire quand on est piraté.

En résumé

L’arnaque au faux conseiller bancaire repose sur un trio gagnant : un numéro truqué qui inspire confiance, une peur soigneusement entretenue, et des informations personnelles glanées dans des fuites de données pour faire vrai. Le tout pour vous amener à valider vous-même votre propre vol.

Mais maintenant, vous connaissez la parade, et elle est imparable :

• Le numéro affiché ne prouve rien.
• Une vraie banque ne demande jamais un code, un mot de passe, une validation ou un virement par téléphone.
• En cas de doute : on raccroche, et on rappelle soi-même le numéro officiel.

Gardez votre sang-froid, c’est votre meilleure protection. Un escroc compte sur votre panique ; en restant calme et en raccrochant, vous lui retirez sa seule arme.

Et la prochaine fois qu’un “conseiller” un peu trop pressé vous demande de valider quoi que ce soit dans l’urgence… vous saurez quoi faire, n’est-ce pas ?