« Coucou maman, mon téléphone est tombé en panne. Je t’écris depuis un nouveau numéro, tu peux enregistrer celui-ci et supprimer l’ancien. Écris-moi sur WhatsApp dès que tu vois ce message. Bisous »

Si vous êtes parent d’un ado ou d’un jeune adulte, ce message a probablement déjà atterri sur votre téléphone, ou il ne va pas tarder. Il sonne juste. Il n’est pas de votre enfant. C’est le premier coup d’une escroquerie que Cybermalveillance.gouv.fr documente depuis fin 2022 sous le nom d’« escroquerie au faux enfant » ou arnaque « Coucou maman / coucou papa », et qui circule tout autant en Belgique qu’en France.

J’ai cofondé Hongi précisément à cause de ce genre d’arnaque, et j’ai lu plus de transcriptions de ces conversations que je ne voudrais l’admettre. Ce qui frappe, c’est la constance du procédé. Les détails varient, la charpente jamais. Une fois qu’on a vu le squelette, le tour de magie ne fonctionne plus. Le voici.

Le faux SMS de votre enfant, message par message

Premier temps : l’accroche. « Coucou maman » ou « Salut papa », presque jamais votre prénom ni celui de votre enfant. Normal : le même texte part vers des milliers de numéros à la fois. L’escroc ignore si vous avez des enfants et comment ils s’appellent. Le parent qui répond « Léa, c’est toi ? » vient de lui offrir le prénom qui servira pour toute la suite.

Deuxième temps : l’excuse pour ne pas appeler. C’est le mur porteur de l’édifice. Le téléphone est tombé dans l’eau, l’écran est fissuré, la carte SIM est morte, « je peux écrire mais pas appeler ». Toutes les variantes existent pour une seule raison : un appel vocal démasquerait la fraude en trois secondes, donc le scénario doit rendre l’appel impossible. Des victimes qui ont insisté pour appeler quand même se sont vu répondre « le micro aussi est cassé ». Voilà qui dit assez l’importance de ce deuxième temps.

Troisième temps : la demande de paiement urgente. Le « nouveau téléphone » n’étant pas encore configuré, l’application bancaire serait bloquée, et comme par hasard une facture tombe aujourd’hui même. Un loyer. Un achat qui sera annulé dans l’heure. En France, l’escroc demande un virement, parfois des coupons PCS ; en Belgique, une simple transaction vers un compte inconnu. Ce compte n’appartient jamais à votre enfant, mais à une mule financière qui fait transiter l’argent en quelques minutes.

Quatrième temps : la pression. Vous hésitez ? Le ton change. « Maman s’il te plaît, je suis vraiment stressé, tu peux le faire maintenant ? » La culpabilité sert d’accélérateur. Et si vous payez, une deuxième demande arrive très souvent dans la demi-heure, car le premier virement « n’est pas passé ». Le scénario ne s’arrête que lorsque vous cessez de payer ou commencez à vérifier.

Pourquoi ce piège fonctionne, même sur les gens prudents

Le réflexe naturel est de penser : cela n’arrive qu’aux naïfs. Ce réflexe est exactement le danger.

Cette arnaque fonctionne parce qu’elle attaque la seule relation où votre garde est structurellement baissée. Vous avez passé des années à répondre à de vrais messages « maman, tu peux m’aider ? ». L’escroc ne construit pas la confiance à partir de zéro : il emprunte vingt ans de confiance existante. Ajoutez trois leviers classiques de manipulation et le piège se referme. L’urgence réduit votre temps de réflexion. Le rôle parental (« mon enfant a besoin de moi ») écrase la prudence procédurale. Et le prétexte du « nouveau numéro » neutralise d’avance le seul indice vraiment suspect, à savoir que le message provient d’un numéro inconnu.

Il y a un mécanisme plus discret encore, qui me fascine en tant que concepteur de logiciels de vérification : la victime fait le travail de l’escroc. C’est vous qui fournissez le prénom. C’est vous qui fournissez le contexte (« c’est pour ton kot à Louvain-la-Neuve ? »). Relisez une de ces conversations : on dirait une séance de voyance à froid, sauf que la mise, c’est votre épargne.

Un exemple volontairement fictif pour rendre la chose concrète. Mardi soir, 21 heures, vous regardez une série d’un œil. Le message arrive, vous répondez, « Léa » réagit chaleureusement, plaisante sur son téléphone noyé, puis mentionne la facture. Rien dans cet échange ne ressemble à un braquage. C’est précisément le but : cette escroquerie est conçue pour paraître banale et domestique.

Rappeler l’ancien numéro : toute la défense tient là

Tous les conseils officiels, de Cybermalveillance.gouv.fr à la police belge, se ramènent à un seul geste : contacter la personne sur le numéro que vous aviez déjà, avant que le moindre euro ne parte.

Pourquoi est-ce si efficace ? Parce que ce geste inverse la géométrie de l’arnaque. L’escroc contrôle totalement le nouveau numéro, et pas du tout l’ancien. Si le téléphone de votre enfant est réellement cassé, appeler l’ancien numéro ne vous coûte rien : personne ne décrochera, voilà tout. S’il n’est pas cassé, votre véritable enfant décroche, étonné, et l’escroquerie meurt sur place. Il n’existe aucun scénario où cet appel vous nuit, et aucun où il aide l’escroc. En sécurité, on appelle cela un coup gratuit, et ceux qui résolvent entièrement une menace sont rares.

Le corollaire : ne vérifiez jamais par le canal d’où vient la demande. Écrire « c’est vraiment toi ? » dans la nouvelle conversation WhatsApp, c’est demander à l’escroc de se porter garant de lui-même. Il le fera. Avec talent.

Argent déjà envoyé ? Les bons réflexes, en France et en Belgique

Appelez votre banque immédiatement et demandez le rappel ou le gel du virement. Plus le paiement est récent, plus les chances de récupération sont réelles. La première heure vaut plus que la semaine qui suit.
En France : déposez plainte, soit en ligne pour les e-escroqueries via la plateforme THESEE, soit en commissariat ou en gendarmerie. Transférez aussi le SMS frauduleux au 33700, le dispositif national de signalement, pour faire bloquer le numéro émetteur plus vite.
En Belgique : portez plainte auprès de votre zone de police locale, avec captures d’écran, numéro utilisé et numéro de compte destinataire. Attention : Card Stop (078 170 170) ne sert qu’à bloquer vos cartes ; pour un virement parti vers un escroc, ce sont votre banque et la police qui peuvent agir.
Prévenez la famille, y compris la personne dont l’identité a été usurpée. Les escrocs recyclent ce qui marche ; le grand-parent qui n’a pas encore entendu votre histoire est leur prochaine cible.
Ne payez jamais un « service de récupération ». Celui qui vous recontacte en promettant de récupérer vos fonds contre rémunération appartient à la même bande, revenue pour une seconde bouchée.

Remarquez ce qui ne figure pas dans cette liste : la honte. Ce scénario tourne à l’échelle industrielle justement parce qu’il fonctionne sur des gens ordinaires et attentifs. Porter plainte n’est pas un aveu de crédulité ; c’est ce qui permet d’avertir la famille suivante à temps.

La faille du « téléphone cassé », et comment la fermer

Reste un résidu inconfortable après tous ces bons conseils. « Rappelez l’ancien numéro » comporte une faille, et les escrocs la connaissent : parfois, un téléphone est réellement cassé, un numéro change réellement, et l’ancien numéro sonne réellement dans le vide. À cet instant précis, la situation honnête et l’arnaque sont indiscernables de l’extérieur. Ce qu’il faut alors à une famille, c’est un moyen de se reconnaître qui ne dépende ni d’un appareil, ni d’une carte SIM, ni d’un numéro.

C’est exactement pour cette faille que la vérification appariée existe. L’idée est ancienne, presque militaire : convenir à l’avance, en personne, d’un secret partagé, puis l’utiliser plus tard pour se prouver son identité sur n’importe quel canal. Ce que Hongi y ajoute, c’est un secret impossible à voler ou à répéter, parce qu’il tourne. Quand vous vous appariez avec votre mère en scannant une fois un code QR face à face, vos deux téléphones se mettent à calculer hors ligne des mots de code synchronisés qui changent toutes les 30 secondes. Quiconque prétend être elle doit pouvoir lire le mot affiché à cet instant sur son écran, et il existe un second mot que vous seul voyez, si bien qu’un imposteur ne peut jamais connaître les deux.

Soyons honnêtes sur les limites. Cela n’aide que les familles appariées avant l’arrivée du faux message, comme un détecteur de fumée n’aide que s’il était posé avant l’incendie. Et cela n’empêchera pas un escroc de vous écrire ; cela l’empêche de survivre à la vérification. Quand un message « nouveau numéro » arrive, vous envoyez depuis l’application une vérification silencieuse, ce discret « papa vérifie, c’est bien toi ? » qui ne coûte rien et tranche tout. Même sur un téléphone prêté avec un numéro flambant neuf, votre vraie fille peut se prouver, car le mot de code vit dans l’appariement, pas dans le numéro de téléphone. La faille exacte que l’excuse du « téléphone cassé » exploitait se referme.

Hongi est gratuit, conçu en Belgique, et fonctionne sans qu’aucun serveur ne voie vos codes. Si la mécanique vous intrigue, notre FAQ explique comment les mots de code rotatifs sont calculés, et la page des cas d’usage détaille le scénario familial pas à pas. Mais que vous utilisiez notre application ou un simple mot de passe familial convenu autour de la table de cuisine, faites-le cette semaine, tant que le seul « coucou maman » dans votre messagerie est un vrai.