Faux conseiller bancaire : comment fonctionne l'arnaque et que faire si l'on a été piégé

C'est aujourd'hui l'une des escroqueries les plus efficaces en France, parce qu'elle ne repose pas sur la naïveté de la victime mais sur l'exploitation méthodique de sa vigilance. La cible est appelée par quelqu'un qui semble vouloir la protéger d'une fraude. Comprendre le déroulé exact de l'attaque est la meilleure protection.

Le scénario type

L'appel arrive souvent en fin de journée ou le week-end. Le numéro affiché est celui de votre agence ou du service fraude de votre banque : les escrocs utilisent une technique d'usurpation d'affichage qui permet de faire apparaître n'importe quel numéro.

Votre interlocuteur est calme, professionnel, et connaît des éléments vous concernant : votre nom, parfois votre agence, votre banque, une opération récente. Ces informations proviennent de fuites de données, d'achats d'informations sur des places de marché clandestines ou d'un hameçonnage antérieur.

Il annonce des opérations suspectes en cours et propose de les bloquer. Pour cela, il demande de « valider » ou d'« annuler » des opérations, généralement via l'application bancaire ou par la lecture d'un code.

C'est le point de bascule : les validations demandées ne bloquent rien. Elles autorisent les virements frauduleux, ou enrôlent le téléphone de l'escroc comme dispositif de confiance sur votre compte.

Les variantes fréquentes

• L'enrôlement d'un nouvel appareil. On vous fait valider dans l'application une demande présentée comme une vérification d'identité. Elle associe en réalité le téléphone du fraudeur à votre compte.
• Le virement « de mise en sécurité ». On vous demande de transférer vos fonds vers un compte prétendument sûr, parfois ouvert à votre nom par le fraudeur.
• La lecture d'un code reçu par SMS. Toujours frauduleuse : aucune banque ne demande la communication d'un code de validation.
• Le renvoi vers un « service technique ». On vous fait installer un logiciel de prise en main à distance sous prétexte d'assistance.
• L'attaque en deux temps. Un SMS d'hameçonnage récupère d'abord des identifiants, l'appel téléphonique suit quelques heures plus tard pour obtenir la validation.

Les cinq signaux qui doivent déclencher un raccrochage immédiat

1. On vous demande un code de validation, quel qu'il soit.
2. On vous demande de valider une opération dans l'application pendant l'appel.
3. On vous demande d'effectuer un virement, même vers un compte présenté comme le vôtre.
4. On installe une pression temporelle : « il faut agir dans les cinq minutes ».
5. On vous demande de ne pas raccrocher ou de ne pas rappeler votre agence.

La seule règle qui protège dans tous les cas : raccrocher et rappeler soi-même sa banque, en composant le numéro figurant au dos de la carte bancaire ou sur un relevé, jamais celui donné par l'appelant. Un conseiller légitime comprendra parfaitement cette démarche. Utilisez si possible un autre téléphone, ou attendez quelques minutes avant de rappeler pour être certain que la ligne est libérée.

Si le prélèvement a déjà eu lieu

La rapidité est déterminante.

1. Appelez immédiatement le service opposition de votre banque, disponible en continu, et faites bloquer les moyens de paiement et l'accès en ligne.
2. Confirmez par écrit dans la journée, en décrivant précisément les faits, les montants et les horaires.
3. Déposez plainte et conservez le récépissé.
4. Demandez formellement le remboursement à votre banque, par lettre recommandée.

Ce que dit le droit sur le remboursement

Le cadre applicable aux services de paiement prévoit qu'en cas d'opération de paiement non autorisée, la banque rembourse immédiatement le montant, sauf soupçon de fraude de la part du client ou négligence grave de sa part.

La notion de négligence grave est au cœur des litiges. Les banques l'invoquent fréquemment lorsque la victime a elle-même validé les opérations. La jurisprudence a toutefois considéré, dans plusieurs affaires, que la sophistication de l'attaque — notamment l'usurpation du numéro de la banque et la connaissance de données personnelles — pouvait exclure la caractérisation d'une négligence grave. Chaque situation s'apprécie au cas par cas, en fonction des éléments concrets du dossier.

En cas de refus, deux recours existent : le médiateur bancaire de l'établissement, saisissable gratuitement après réclamation écrite, puis le juge. Constituez un dossier précis : horodatage des appels, relevés, échanges avec la banque, dépôt de plainte.

Réduire son exposition en amont

• Vérifier si vos données figurent dans des fuites connues et changer les mots de passe concernés.
• Abaisser les plafonds de virement dans l'application, et n'augmenter ponctuellement que lorsque c'est nécessaire.
• Activer toutes les notifications d'opération.
• Ne jamais valider une demande dont l'objet ne correspond pas exactement à une action que vous venez d'initier vous-même.
• En parler autour de soi, en particulier aux proches âgés : ces attaques ciblent prioritairement les personnes isolées.

Sources

• Cybermalveillance.gouv.fr — arnaque au faux conseiller bancaire : cybermalveillance.gouv.fr
• Banque de France — protection de la clientèle : banque-france.fr
• Service-Public.fr — fraude bancaire : service-public.fr
• Légifrance — code monétaire et financier : legifrance.gouv.fr