Mardi, 17 h 40. Votre téléphone sonne et l’écran affiche le nom de votre banque, le même que sur les SMS de connexion. Une voix posée se présente : Julien, du service anti-fraude. Désolé de vous déranger, mais deux paiements suspects sont en attente sur votre compte, l’un vers une plateforme de cryptomonnaies, l’autre vers une boutique à l’étranger. Vous les avez autorisés ? Non ? C’est bien ce qu’il pensait, et c’est pour ça qu’il appelle. Il vous lit les quatre derniers chiffres de votre carte, « simplement pour confirmer que j’ai le bon client en ligne ». Ils sont exacts. Votre pouls s’accélère. Lui reste calme. Ce calme est le produit : c’est lui qui doit gagner votre confiance.

Tout, dans cet appel, peut être faux. Le numéro, le nom à l’écran, les chiffres de la carte, le service anti-fraude, Julien lui-même. Cet article démonte l’arnaque au faux conseiller bancaire de l’intérieur, puis vous donne un protocole de vérification qui tient même quand chaque signal visible est falsifié.

Le spoofing téléphonique : votre écran affiche ce que l’appelant décide

L’affichage du numéro ressemble à une pièce d’identité. Ce n’en est pas une. C’est plutôt l’expéditeur au dos d’une carte postale : un champ que l’expéditeur remplit lui-même et que personne, en chemin, n’est obligé de vérifier.

Quand un appel s’établit, la partie appelante déclare un numéro, et c’est ce numéro déclaré que votre téléphone affiche. Sur les vieux réseaux fixes, mentir demandait un vrai effort. En téléphonie par internet, c’est un champ de configuration. Les réseaux de fraudeurs font transiter leurs appels par des services qui leur permettent de présenter n’importe quel numéro, donc ils présentent celui de votre agence ou de votre conseiller habituel. Votre téléphone reconnaît le numéro et ajoute obligeamment le nom de la banque. C’est exactement le mécanisme décrit dans la fiche réflexe de Cybermalveillance.gouv.fr consacrée à la fraude au faux conseiller bancaire, devenue l’une des menaces les plus signalées par les particuliers en France.

La conséquence est brutale : un appel entrant ne peut jamais prouver qui appelle. Et les chiffres de votre carte ne prouvent rien non plus. Numéro partiel, adresse, parfois même votre solde : tout cela provient d’un hameçonnage antérieur, d’une fuite de données ou d’un logiciel malveillant. Les escrocs ouvrent avec des détails exacts précisément parce que vous supposez que seule votre banque peut les connaître.

Le scénario du faux service anti-fraude

Ces appels suivent un script rodé sur des milliers de victimes. Autant en connaître les temps forts avant de les entendre en direct.

D’abord l’alerte : paiements suspects, carte compromise, quelqu’un qui tenterait de vider votre compte en ce moment même. La menace est toujours active maintenant. L’urgence est le mur porteur du script ; une victime qui a le temps de réfléchir est une victime perdue.

Ensuite le sauvetage, et c’est là que les variantes divergent. Dans la version « compte sécurisé », Julien explique que votre argent doit être viré immédiatement vers un compte de sauvegarde que la banque a ouvert pour vous, puisque le vôtre est compromis. Il vous guide gentiment pendant le virement, et c’est précisément ce qui rend la fraude si efficace : c’est vous, le vrai client authentifié, qui effectuez un paiement volontaire, donc les systèmes anti-fraude de la banque ne bronchent pas. D’autres variantes : vous faire lire un code à usage unique « pour annuler le paiement frauduleux » (en réalité, vous le validez), vous faire installer un logiciel de prise en main à distance comme AnyDesk pour que le « technicien » sécurise votre appareil, ou envoyer un coursier récupérer votre carte à domicile. Les Clés de la banque, le site pédagogique de la Fédération bancaire française, documente ces mises en scène une par une.

Enfin la laisse : restez en ligne. N’appelez personne, ne passez pas en agence, et surtout n’en parlez pas à vos proches, car « le fraudeur est peut-être dans votre entourage » ou « des employés de votre agence sont sous enquête ». L’isolement n’est pas un effet secondaire du script. C’est le script.

Ce que votre banque ne vous demandera jamais

Banques et autorités publient la même courte liste des deux côtés de la frontière franco-belge. Apprenez-la, car elle transforme une escroquerie sophistiquée en simple contrôle de conformité. Votre banque ne vous demandera jamais de :

virer votre argent vers un « compte sécurisé » ou « compte de sauvegarde » — ce compte n’existe dans aucune banque
donner votre code PIN complet, votre mot de passe ou un code à usage unique par téléphone
remettre votre carte à un coursier ou à qui que ce soit
installer un logiciel d’accès à distance
agir dans l’urgence, avant d’avoir pu raccrocher et vérifier

Un seul point de cette liste suffit à clore la conversation. Dès que quelqu’un parle de déplacer votre argent « pour le protéger », vous parlez à un criminel. Il ne reste aucune ambiguïté polie à ce stade.

Raccrocher et rappeler : le protocole, et ses failles

Le conseil classique est bon : raccrochez, puis rappelez vous-même votre banque sur un numéro trouvé indépendamment, au dos de votre carte ou sur le site officiel que vous tapez vous-même. Ne rappelez jamais un numéro donné par votre interlocuteur : vous retomberiez sur l’escroc, avec un supplément de confiance.

Mais soyons honnêtes sur les points faibles, car les fraudeurs les connaissent mieux que vous.

Le plus célèbre est la ligne maintenue. Sur les anciens centraux analogiques de téléphonie fixe, un appel n’était réellement coupé que lorsque l’appelant raccrochait. Si la victime raccrochait puis rappelait aussitôt depuis la même ligne fixe, certains réseaux gardaient l’ancienne connexion ouverte deux à trois minutes. Les escrocs restaient en ligne, diffusaient une fausse tonalité et un complice « décrochait » en se faisant passer pour la banque. Cette technique a été massivement exploitée, surtout au Royaume-Uni, jusqu’à ce que les opérateurs y réduisent ce délai à environ deux secondes vers 2014. Sur un mobile, le truc n’a jamais fonctionné : raccrocher termine l’appel, point. Aujourd’hui, la ligne maintenue relève donc surtout de l’histoire, mais « surtout » n’est pas « entièrement » : centraux et installations VoIP varient. La bonne habitude ne coûte rien : rappelez depuis un autre téléphone si possible, ou attendez quelques minutes et vérifiez d’abord la tonalité normale.

Le successeur moderne est l’arnaque à la fusion d’appels : on vous convainc d’ajouter un « collègue » à la conversation, et l’appel fusionné est en réalité un appel automatique de votre banque qui énonce un code à usage unique, que le fraudeur entend désormais. Ne fusionnez jamais un appel à la demande d’un inconnu.

Reste la faille que personne ne corrige : rappeler vérifie la banque, mais ne vous calme pas. Si le script vous a déjà persuadé que la banque elle-même est compromise, vous appellerez la vraie banque sans la croire. C’est pourquoi la pause compte autant que le numéro.

Si l’argent est déjà parti

Ici, la vitesse compte vraiment. Appelez immédiatement le service fraude de votre banque et demandez le rappel du virement ; dans les premières heures, les fonds sont souvent encore traçables. En Belgique, bloquez vos cartes via Card Stop au 078 170 170 (depuis l’étranger : +32 78 170 170) ; vérifiez ce numéro vous-même sur cardstop.be. En France, le serveur interbancaire d’opposition répond au 0 892 705 705, 24 h/24. Déposez plainte, signalez les faits sur Cybermalveillance.gouv.fr, et contestez les opérations par écrit auprès de votre banque : la justice française a d’ailleurs jugé qu’une victime trompée par un numéro usurpé ne commet pas de négligence grave et conserve son droit à remboursement. Et parlez-en à quelqu’un. La honte est le service après-vente de l’escroc : elle garde les victimes silencieuses et réutilisables.

L’asymétrie sous toute cette histoire

Voici ce qui me poursuit en tant que fondateur. Quand votre banque vous appelle, elle vous vérifie en quelques secondes : codes, application, questions de sécurité. Vous, vous ne pouvez pas la vérifier du tout. Le canal n’authentifie que dans un sens, et chaque arnaque de cet article vit exactement dans cet interstice.

C’est ce que nous construisons avec Hongi. L’application donne à deux personnes appariées des mots de code rotatifs, renouvelés toutes les 30 secondes et calculés hors ligne : un imposteur ne peut jamais connaître les deux côtés. Dès aujourd’hui, cela offre quelque chose de concret pour le pire moment de l’appel : avant de déplacer un centime sous pression, appelez une personne avec qui vous êtes apparié, votre conjoint, votre fille, un ami, et vérifiez-la d’abord par mot de code. Un vrai « arrête, c’est une arnaque » venant d’une voix vérifiée bat n’importe quel script. Ce même mécanisme guide notre travail avec les organisations, pour qu’un jour « c’est votre banque à l’appareil » devienne une phrase qu’un appelant peut prouver. D’ici là, le protocole ci-dessus reste votre meilleure défense ; le fonctionnement de la vérification est détaillé dans notre FAQ.

Raccrochez d’abord. Vérifiez ensuite. Ne déplacez jamais votre argent.