« Votre conseiller va vous rappeler » : anatomie de l'arnaque au faux virement bancaire

« BANQUE : tentative de virement de 1 249,00 € vers un bénéficiaire inconnu. Si vous n'êtes pas à l'origine de cette opération, ne faites rien, un conseiller va vous rappeler. »

Ce SMS a une particularité redoutable : il ne vous demande rien. Pas de lien à cliquer, pas de formulaire à remplir, pas de code à saisir. Il ne fait qu'installer une peur — celle de voir son argent partir — et annoncer une solution qui arrive d'elle-même. Deux minutes plus tard, le téléphone sonne. Sur l'écran s'affiche le numéro de votre agence, celui qui figure au dos de votre carte bancaire. Et là, la victime baisse toutes ses défenses.

C'est ce qu'on appelle l'arnaque au faux conseiller bancaire, ou « fraude au président version particuliers ». Elle représente aujourd'hui l'une des escroqueries les plus coûteuses pour les ménages français : les montants dérobés se comptent rarement en dizaines d'euros, mais en milliers, parfois en dizaines de milliers. La Banque de France et l'Observatoire de la sécurité des moyens de paiement alertent régulièrement sur cette « fraude par manipulation », dans laquelle c'est la victime elle-même qui exécute les opérations frauduleuses.

Pourquoi ce SMS ne ressemble pas à une arnaque

Les campagnes de smishing classiques — le faux colis, la fausse amende, la fausse carte Vitale — reposent toutes sur un lien piégé. Nous avons appris à nous méfier des liens. Les escrocs se sont adaptés.

Le SMS de l'arnaque au faux conseiller est conçu pour passer tous les filtres mentaux que nous avons construits :

• Il ne contient aucun lien : impossible de « cliquer par erreur ».
• Il ne demande aucune donnée : rien à saisir, donc rien à voler en apparence.
• Il vous dit explicitement de ne rien faire : ce qui, paradoxalement, inspire confiance. Un escroc voudrait vous faire agir, pense-t-on.
• Il s'affiche souvent dans le fil de discussion existant de votre banque, à la suite des vrais messages de code de validation.

Ce dernier point mérite une explication. En France, les SMS professionnels utilisent un « expéditeur alphanumérique » : au lieu d'un numéro, on lit « MaBanque », « Ameli » ou « Colissimo ». Ce champ n'est pas authentifié de bout en bout : un fraudeur peut le renseigner à sa guise via certaines passerelles internationales. Résultat : le téléphone, qui trie les messages par nom d'expéditeur, range le faux message avec les vrais. Le message frauduleux hérite ainsi de toute la crédibilité accumulée par des mois de messages légitimes.

Le SMS n'est pas l'arnaque. Le SMS est la mise en scène qui rend l'appel crédible.

L'appel : trente minutes de théâtre bien rodé

L'appel qui suit est le cœur du dispositif. Il utilise le spoofing téléphonique : l'affichage du numéro appelant est falsifié pour reprendre celui de votre banque. Depuis l'application de la loi Naegelen et du dispositif d'authentification des numéros mis en place par l'Arcep, les opérateurs français filtrent une partie de ces appels usurpés — mais des angles morts subsistent, notamment via des appels transitant par des opérateurs étrangers.

Au bout du fil, la voix est calme, professionnelle, presque ennuyée par la routine. Elle ne vous demande jamais votre mot de passe. C'est justement ce qui la rend crédible.

Étape 1 : établir l'autorité

Le faux conseiller se présente avec un nom, un matricule, parfois un service (« service anti-fraude, plateforme de Nantes »). Il énonce des informations qu'il est censé être seul à connaître : vos quatre derniers chiffres de carte, votre date de naissance, le nom de votre agence, parfois vos dernières opérations. Ces données proviennent de fuites de bases clients ou d'un phishing antérieur.

Étape 2 : inverser la charge de la preuve

« Pour votre sécurité, je dois vérifier que je parle bien au titulaire. » C'est vous qui devez prouver votre identité, alors que c'est lui qui a appelé. Ce renversement est un classique de l'ingénierie sociale : il place la victime en position de demandeur.

Étape 3 : créer l'urgence contrôlée

« Trois tentatives de paiement sont en cours de traitement. J'ai 12 minutes avant que la compensation interbancaire ne les valide définitivement. » Le compte à rebours empêche toute vérification, tout appel à un proche, toute prise de recul.

Étape 4 : la demande décisive

Elle prend l'une de ces formes :

Ce que demande le faux conseiller	Ce qui se passe réellement
« Validez la notification dans votre application pour annuler l'opération »	Vous validez un virement ou l'ajout d'un bénéficiaire
« Dictez-moi le code à 6 chiffres que je viens de vous envoyer »	Il valide un paiement en ligne avec votre carte
« Nous transférons vos fonds sur un compte tampon sécurisé »	Vous virez votre épargne sur un compte mule
« Installez cette application d'assistance pour que je diagnostique »	Il prend le contrôle à distance de votre téléphone
« Un coursier va passer récupérer votre carte à découper »	Il récupère la carte, encore utilisable

Le « compte tampon », le « compte séquestre » ou le « coffre-fort BDF » n'existent pas. Aucune banque, aucun établissement, aucune autorité ne dispose d'un compte d'attente sur lequel un particulier devrait virer ses économies. C'est la fiction centrale de l'arnaque.

Les signaux qui trahissent le faux conseiller

Certains éléments ne mentent jamais, même quand tout le reste semble authentique.

1. Un vrai conseiller ne vous demande jamais de valider quoi que ce soit pendant l'appel. Ni un code reçu par SMS, ni une notification dans l'application, ni une empreinte digitale. La validation forte sert à autoriser une opération, jamais à l'annuler. Si on vous demande de valider pour annuler, vous êtes en train d'être escroqué. C'est le seul critère à retenir si vous n'en retenez qu'un.

2. Un vrai conseiller accepte que vous rappeliez. Le faux, jamais. Il invoquera la file d'attente, la ligne saturée, la perte du dossier, la responsabilité qui vous incomberait. La bonne réponse est invariable : « Je raccroche et je rappelle le numéro au dos de ma carte. »

3. Un vrai conseiller ne vous fait pas installer de logiciel. Les applications de prise en main à distance sont des outils légitimes détournés. Une banque ne vous demandera jamais d'en installer une.

4. Un vrai conseiller ne vous demande pas de mentir. « Si votre banque vous appelle, dites que c'est un achat de meubles » : cette phrase, très fréquente dans les scénarios de fraude au virement, est un aveu complet.

5. La pression temporelle est toujours artificielle. Un virement suspect peut être contesté pendant treize mois selon le code monétaire et financier. Aucune opération ne se joue à douze minutes près.

Le geste qui casse tout : raccrocher et rappeler

Il existe une contre-mesure d'une simplicité absolue, et elle suffit à faire échouer la totalité du scénario : raccrocher, puis rappeler soi-même le numéro officiel.

Raccrocher n'est pas impoli. Ce n'est pas non plus « prendre un risque » : si l'appel était légitime, la banque vous rappellera ou trouvera trace de l'incident. En revanche, une précaution s'impose sur les lignes fixes anciennes : certains escrocs restaient en ligne pour simuler la tonalité de rappel. Sur mobile, ce risque est nul dès lors que l'appel est réellement raccroché ; en cas de doute, utilisez un autre appareil, ou attendez trente secondes avant de composer le numéro.

Pour les personnes qui utilisent encore beaucoup le fixe, notamment les seniors, un téléphone fixe avec filtrage d'appels et blocage des numéros inconnus élimine une large part de ces sollicitations avant même la sonnerie. Le principe est le même que pour les SMS : moins de contacts non sollicités, moins d'occasions de se faire piéger.

Trois numéros à connaître, et à enregistrer avant d'en avoir besoin :

• Le numéro de votre agence, recopié depuis le dos de votre carte bancaire ou depuis un relevé papier — jamais depuis un SMS ou un résultat de moteur de recherche, où de faux numéros sont parfois référencés.
• Le 0 892 705 705 : service interbancaire d'opposition sur carte, accessible 24h/24.
• Le 17 119 : numéro national dédié aux victimes de cyberattaques et d'escroqueries en ligne, gratuit, ouvert tous les jours.

Que faire dans l'heure qui suit une opération frauduleuse

Le temps de réaction conditionne directement les chances de récupérer les fonds. Un virement SEPA n'est pas instantanément irréversible : une demande de rappel de fonds (recall) peut parfois être déclenchée par la banque émettrice si l'argent n'a pas encore été retiré du compte destinataire.

1. Faire opposition immédiatement sur la carte et, si nécessaire, demander le blocage des virements sortants.
2. Changer les identifiants de banque en ligne depuis un autre appareil que celui potentiellement compromis.
3. Désinstaller toute application installée pendant l'appel, puis vérifier les applications à droits étendus dans les réglages du téléphone.
4. Rédiger une déclaration écrite et horodatée à la banque : heure de l'appel, numéro affiché, nom donné par l'interlocuteur, montants, IBAN destinataire s'il apparaît. Envoi en lettre recommandée avec accusé de réception. Un simple bloc-notes A5 gardé près du téléphone permet de noter ces éléments à chaud, quand la mémoire est encore fraîche — c'est souvent ce qui fait la différence dans le dossier.
5. Déposer plainte en commissariat ou en gendarmerie. Le dépôt de plainte n'est pas une condition légale au remboursement, mais il consolide le dossier.
6. Signaler le SMS au 33700 en le transférant, et l'appel frauduleux sur la plateforme Signal Conso ou 33700 également.

Ce que dit la loi sur le remboursement

C'est le point que la plupart des victimes ignorent, et que certaines banques se gardent bien d'expliquer.

Le code monétaire et financier (articles L133-18 et suivants) pose un principe clair : en cas d'opération de paiement non autorisée, la banque doit rembourser immédiatement, au plus tard le premier jour ouvrable suivant le signalement. Elle ne peut refuser que si elle démontre une négligence grave du client — et c'est à elle d'en apporter la preuve, pas au client de prouver son innocence.

Or la Cour de cassation a rendu plusieurs décisions favorables aux victimes de spoofing. Dans un arrêt notable de 2024, la chambre commerciale a jugé que le fait d'avoir communiqué des données de sécurité à un interlocuteur se présentant comme conseiller, dans un contexte où le numéro affiché était celui de la banque, ne caractérisait pas automatiquement une négligence grave. Autrement dit : quand l'usurpation est techniquement crédible, la faute ne pèse pas mécaniquement sur la victime.

En pratique :

• Si la banque refuse, saisissez d'abord son service réclamations, par écrit.
• Puis le médiateur bancaire de l'établissement (gratuit, réponse sous 90 jours en principe).
• En dernier recours, le juge des contentieux de la protection. Des associations comme l'UFC-Que Choisir et la CLCV accompagnent régulièrement ce type de dossiers.

Attention à une nuance importante : la protection est nettement plus solide pour les opérations non autorisées (paiement effectué à votre insu) que pour les virements que la victime a elle-même ordonnés sous manipulation. La distinction est technique, mais elle se plaide — d'autant que la directive européenne sur les services de paiement en cours de révision prévoit d'étendre l'indemnisation aux cas de fraude par usurpation d'identité d'un établissement.

Préparer le terrain avant d'être ciblé

Cette arnaque frappe indistinctement, mais elle réussit mieux quand la personne est seule, pressée, ou peu familière des mécanismes bancaires. Quelques dispositions prises à froid changent radicalement l'issue.

Plafonner les virements. La plupart des banques permettent de fixer un plafond quotidien de virement dans les paramètres de l'application. Descendre ce plafond à un montant réaliste (500 ou 1 000 €) transforme une catastrophe en incident. Le relever demande un délai — délai qui est précisément l'ennemi de l'escroc.

Isoler l'épargne. Un livret non relié aux virements instantanés, ou dont les mouvements exigent un passage en agence, met à l'abri l'essentiel du patrimoine.

Convenir d'un mot de passe familial. Une phrase connue de vous seuls, à demander lorsqu'un proche vous appelle pour une urgence financière. Cela vaut aussi contre l'arnaque au faux enfant en détresse.

Écrire la règle sur papier. Un carnet de notes avec index alphabétique posé près du téléphone, sur lequel figurent les vrais numéros et la phrase « Je raccroche toujours et je rappelle », aide considérablement les personnes qui perdent leurs moyens sous pression. C'est basique, et c'est efficace.

Se former sans se faire peur. Il existe d'excellents ouvrages de vulgarisation sur la cybersécurité pour les particuliers, écrits sans jargon, qui expliquent les mécanismes de manipulation plutôt que la technique. Cybermalveillance.gouv.fr publie par ailleurs des fiches réflexes gratuites, imprimables, à afficher chez soi ou chez un parent âgé.

Protéger l'appareil lui-même. Un téléphone endommagé ou hors service au mauvais moment, c'est l'impossibilité de faire opposition rapidement. Une coque de protection renforcée et une batterie externe de secours ne sont pas des accessoires de confort dans ce contexte : ce sont des garanties de pouvoir agir.

En résumé

L'arnaque au faux conseiller bancaire ne repose ni sur un piratage, ni sur une faille technique. Elle repose sur un enchaînement : un SMS qui crée l'inquiétude, un appel qui apporte le soulagement, une autorité qui rassure, une urgence qui empêche de réfléchir.

Une seule phrase désamorce l'ensemble du dispositif, et elle mérite d'être répétée à voix haute jusqu'à devenir un réflexe :

« Je raccroche, et je rappelle moi-même le numéro inscrit au dos de ma carte. »

Aucun conseiller légitime ne s'en offusquera. Aucun escroc n'y survivra.