“Service anti-fraude” au téléphone : ce que votre banque ne vous demandera jamais de faire

Le faux conseiller bancaire n’a plus forcément l’allure d’un amateur. Il peut connaître votre nom, votre adresse, le nom de votre banque, une partie de votre numéro de carte ou des informations issues d’une fuite de données. Il peut même faire apparaître sur votre téléphone un numéro qui ressemble à celui de votre établissement. C’est précisément ce niveau de crédibilité qui rend l’arnaque dangereuse.

Le scénario est généralement construit autour d’une urgence : des opérations suspectes seraient en cours et il faudrait les « annuler » immédiatement. En réalité, l’escroc cherche à vous faire valider lui-même les opérations qu’il prépare.

Le piège : vous faire valider vous-même l’opération

Cybermalveillance.gouv.fr rappelle qu’un véritable conseiller ne vous demandera jamais de communiquer votre mot de passe, vos codes de confirmation ou le code secret de votre carte. Il ne vous demandera pas non plus de valider dans votre application une opération censée « annuler » une fraude.

Cette inversion est au cœur de l’arnaque : le fraudeur présente une validation comme une protection. Le code reçu par SMS ou la confirmation biométrique sert en réalité à autoriser un achat, ajouter un bénéficiaire ou effectuer un virement.

Les informations utilisées peuvent provenir d’un hameçonnage précédent, d’un compte piraté, d’un logiciel malveillant ou d’une fuite de données chez une entreprise. Leur présence ne prouve donc pas que l’interlocuteur est votre banque. Le numéro affiché peut lui aussi être usurpé.

Il faut abandonner l’idée qu’un escroc « ne peut pas connaître autant de choses ». Il peut connaître beaucoup de choses et rester un escroc.

La vérification fiable tient en un geste

Si un interlocuteur vous signale une fraude, raccrochez. Puis contactez votre banque par un canal que vous choisissez vous-même : numéro imprimé sur la carte, application officielle, espace client ou agence. Ne rappelez pas le numéro donné par l’appelant et n’utilisez pas un lien reçu pendant la conversation.

Un vrai service anti-fraude comprendra parfaitement que vous souhaitiez vérifier. Un interlocuteur qui tente de vous empêcher de raccrocher, vous presse ou affirme que « chaque seconde compte » fournit au contraire un signal d’alerte supplémentaire.

Dans certaines variantes, le faux conseiller demande le code secret de la carte et annonce qu’un coursier va venir la récupérer pour la « sécuriser » ou la détruire. Une banque ne procède pas ainsi. Ne confiez jamais votre carte à une personne envoyée à domicile à la suite d’un appel inattendu.

Si vous avez déjà agi

Agissez immédiatement. Faites opposition à la carte si elle est concernée, changez les accès au compte bancaire si vous pensez qu’ils ont été compromis et contactez la banque pour identifier les paiements ou virements. Conservez les SMS, numéros, e-mails et captures d’écran.

Cybermalveillance recommande également de signaler la fraude, de déposer plainte lorsque nécessaire et, pour une fraude à la carte bancaire, d’utiliser la plateforme Perceval dans les situations prévues. Plus la banque est avertie tôt, plus elle peut tenter de bloquer ou rappeler certaines opérations.

• Un code reçu par SMS sert à autoriser quelque chose : ne le dictez jamais.
• Ne validez jamais dans votre application une opération que vous n’avez pas vous-même initiée.
• Ne donnez jamais le code secret de votre carte.
• Raccrochez et rappelez la banque par un canal officiel choisi par vous.

Raccrochez puis contactez votre banque par l’application, le numéro au dos de la carte ou un numéro déjà enregistré. Ne rappelez pas le numéro fourni par l’appelant. Si une opération a été autorisée sous la pression, prévenez immédiatement la banque et conservez les éléments disponibles : numéro, heure, SMS, captures et bénéficiaires. Plus la réaction est rapide, plus l’établissement pourra vous indiquer les mesures possibles. Ne laissez jamais un interlocuteur vous guider dans l’installation d’un logiciel de prise en main à distance.

La sophistication de l’appel ne change pas la règle. Même si l’interlocuteur connaît votre identité, votre banque et votre adresse, il n’a aucune raison légitime de vous demander un secret ou une validation permettant de déplacer de l’argent.