Quand l'escroc se fait passer pour votre banque : le guide de survie face au phishing et au vishing

« Votre compte a été temporairement suspendu. Cliquez ici pour le réactiver. » Ce type de message, reçu par SMS ou par courriel, est devenu tristement familier pour des millions de Français. Derrière une apparence de communication officielle se cache en réalité une tentative de fraude sophistiquée, conçue pour soutirer des identifiants, des numéros de carte bancaire ou des codes de validation. Ces escroqueries ne sont pas le fait d'amateurs maladroits : elles sont orchestrées par des réseaux criminels organisés, capables de reproduire à la perfection les chartes graphiques des grandes banques françaises, d'usurper des numéros de téléphone légitimes et de personnaliser leurs attaques grâce à des données préalablement volées.

L'arsenal des fraudeurs : phishing, vishing et smishing

Le phishing (hameçonnage en français) désigne les tentatives de fraude par courriel. Un message reproduisant fidèlement la mise en page de la Banque Postale, du Crédit Agricole ou de la Société Générale vous invite à « confirmer vos coordonnées » via un lien qui mène en réalité vers un site frauduleux. Ces sites sont souvent hébergés à l'étranger, déréférencés rapidement pour échapper aux autorités, mais suffisamment actifs pour piéger des centaines de victimes avant d'être fermés.

Le smishing applique la même logique aux SMS. La particularité redoutable de cette technique est que les fraudeurs peuvent désormais injecter leurs messages frauduleux dans le fil de conversation légitime que vous avez déjà avec votre banque — un phénomène appelé « SIM spoofing » ou usurpation de l'identifiant expéditeur. Résultat : le SMS malveillant apparaît dans le même fil que les vrais messages de votre établissement, rendant la détection particulièrement difficile.

Le vishing (voice phishing) est peut-être la technique la plus efficace, car elle repose sur l'interaction humaine. Un individu vous appelle en se faisant passer pour un conseiller de votre banque ou un technicien de votre opérateur. Il connaît votre nom, les quatre derniers chiffres de votre carte, parfois même le montant de votre dernier achat — des informations obtenues via de précédentes fuites de données. Il vous annonce une anomalie grave sur votre compte et vous guide pas à pas vers une action qui lui permettra d'accéder à vos fonds.

Des exemples réels pour mieux reconnaître les signaux d'alerte

Voici quelques formulations typiques rencontrées dans des signalements récents collectés par des associations de consommateurs français :

• « Alerte sécurité : un virement de 1 247 € a été initié depuis un appareil inconnu. Si vous n'êtes pas à l'origine de cette opération, appelez immédiatement le 09 XX XX XX XX. »
• « Votre abonnement SFR/Orange/Bouygues sera suspendu dans 24h faute de mise à jour de vos informations de paiement. Régularisez ici : [lien frauduleux] »
• « Bonjour, je suis [prénom] du service fraude de votre banque. Nous avons détecté une tentative d'accès non autorisé à votre espace client. Pour sécuriser votre compte, j'ai besoin que vous validiez un code que vous allez recevoir par SMS. »

Ce dernier exemple illustre une technique particulièrement perverse : l'escroc, qui a déjà obtenu vos identifiants, tente de vous faire transmettre le code d'authentification à deux facteurs (2FA) qui lui manque pour finaliser une opération frauduleuse. Ce code, une fois communiqué, lui ouvre toutes les portes.

Ce qu'aucune entreprise légitime ne vous demandera jamais

C'est ici que réside la règle d'or, celle que toutes les banques, tous les opérateurs et toutes les administrations françaises affirment sans ambiguïté :

Aucun établissement sérieux ne vous demandera jamais, par téléphone, SMS ou courriel :

• Votre mot de passe ou code PIN
• Le numéro complet de votre carte bancaire et son cryptogramme
• Un code de validation reçu par SMS (code OTP)
• Votre numéro de sécurité sociale complet
• L'accès à distance à votre ordinateur ou smartphone

Si l'un de ces éléments vous est réclamé, raccrochez immédiatement, ne cliquez sur aucun lien, et contactez directement votre banque ou votre opérateur via le numéro figurant sur votre contrat ou au dos de votre carte bancaire — jamais via le numéro fourni par votre interlocuteur suspect.

Que faire si vous êtes victime ?

La honte est souvent le premier réflexe des victimes, ce qui les conduit à tarder à réagir. Or, chaque heure compte. Voici la marche à suivre, dans l'ordre :

1. Bloquez immédiatement votre carte bancaire via l'application de votre banque ou en appelant le numéro d'opposition (disponible 24h/24 sur le site de votre établissement).
2. Connectez-vous à votre espace client depuis un appareil sûr pour modifier vos identifiants et vérifier les opérations récentes.
3. Déposez une plainte auprès de la police ou de la gendarmerie, ou directement en ligne sur la plateforme Thésée (thesee.interieur.gouv.fr), spécialement conçue pour les escroqueries numériques.
4. Signalez le message frauduleux : les SMS suspects peuvent être transférés au 33700 (service gratuit), les courriels à signal-spam.fr, et les sites frauduleux à phishing-initiative.fr.
5. Contactez votre banque par écrit pour demander le remboursement des sommes éventuellement prélevées. En vertu de l'article L. 133-18 du Code monétaire et financier, votre banque est tenue de vous rembourser sans délai les opérations non autorisées, sauf si elle prouve une négligence grave de votre part.

Vos droits face au refus de remboursement

Certaines banques invoquent la « négligence grave » du client pour refuser le remboursement, notamment lorsque la victime a communiqué un code OTP. Cette position est contestable, et plusieurs décisions de justice françaises ont condamné des établissements ayant opposé ce refus à des victimes de vishing. Le médiateur bancaire, puis le tribunal judiciaire, constituent des recours effectifs si votre banque persiste dans son refus.

L'association France Victimes (0 806 600 060) propose également un accompagnement gratuit aux victimes d'escroqueries, y compris pour les démarches judiciaires.

La vigilance, un réflexe à cultiver

Les fraudeurs misent sur l'urgence, la peur et la confiance accordée aux institutions. Prendre trois secondes pour douter, c'est souvent suffisant pour déjouer une arnaque. Partagez ces informations autour de vous — les personnes âgées et les moins familières des outils numériques sont particulièrement ciblées. Face à des escrocs qui perfectionnent sans cesse leurs techniques, la meilleure défense reste une population informée et solidaire.