Faux SMS « fichage Banque de France » : l'arnaque qui joue sur la honte financière

« BANQUE DE FRANCE : suite à un incident de paiement, votre dossier fait l'objet d'une procédure de fichage FICP. Régularisation obligatoire sous 48 h : bdf-regularisation-dossier[.]com »

Le message tombe un mardi matin, entre une notification de livraison et un rappel de rendez-vous. Il ne parle ni de colis, ni d'amende, ni de carte Vitale. Il parle de quelque chose de bien plus intime : votre solvabilité. Et il vise un point que la plupart des arnaques ignorent — la honte.

Car un fichage à la Banque de France, ce n'est pas une contrariété administrative. C'est un mot qu'on n'ose pas prononcer, une situation qu'on ne raconte ni à ses proches ni à ses collègues. Les escrocs l'ont compris : quand une victime a peur d'en parler autour d'elle, elle ne bénéficie d'aucun garde-fou. Elle clique seule, elle paie seule, et elle se tait ensuite.

Ce que la Banque de France a réellement communiqué

Cette campagne n'est pas une hypothèse de laboratoire. La Banque de France a publié à plusieurs reprises des alertes sur son site officiel concernant des messages frauduleux — SMS, e-mails, appels — usurpant son identité et évoquant un fichage ou une procédure de surendettement. L'institution y rappelle une règle simple, qu'il faut retenir avant tout le reste :

La Banque de France ne demande jamais, par SMS ou par courriel, de paiement, de coordonnées bancaires, de copie de pièce d'identité ni d'identifiants de connexion.

Les échanges concernant un fichage passent par le courrier postal — via votre établissement bancaire, qui est l'organisme déclarant — ou par les canaux officiels de la Banque de France que vous avez vous-même sollicités. Jamais par un lien reçu spontanément sur votre téléphone.

Autre point crucial, souvent ignoré : la Banque de France ne fiche personne de sa propre initiative. Elle tient les fichiers, mais l'inscription est déclarée par une banque ou un établissement de crédit à la suite d'un incident précis (échéances de crédit impayées, chèque sans provision, décision de commission de surendettement). L'institution est un greffier, pas un contrôleur qui viendrait vous surprendre par message.

Les trois fichiers que les escrocs mélangent volontairement

Le message frauduleux fonctionne d'autant mieux que le vocabulaire bancaire est flou pour la plupart d'entre nous. Voici ce que recouvrent réellement les sigles brandis par les fraudeurs.

Fichier	Ce qu'il recense	Origine de l'inscription	Durée maximale
FICP (Fichier des incidents de remboursement des crédits aux particuliers)	Impayés caractérisés sur un crédit, dossiers de surendettement	Déclaration de l'établissement prêteur ou de la commission de surendettement	5 ans (jusqu'à 7 ans pour un plan de surendettement)
FCC (Fichier central des chèques)	Chèques sans provision, retraits de carte bancaire pour usage abusif	Déclaration de la banque	5 ans (levée immédiate après régularisation)
FNCI (Fichier national des chèques irréguliers)	Chèques volés, perdus, comptes clos	Déclaration de la banque	Variable

Dans les SMS frauduleux, ces sigles sont utilisés indifféremment, parfois inventés (« fichier FBF », « registre national des incidents »). C'est un excellent indice : un vrai courrier bancaire est précis, daté, et mentionne l'organisme déclarant nommément.

L'anatomie du message piégé

Sur les dizaines de variantes observées, la structure reste remarquablement stable. Elle repose sur quatre briques.

• Une autorité empruntée. « Banque de France », parfois « BDF », parfois « Service national de régularisation bancaire » — une entité qui n'existe pas. L'expéditeur peut afficher un nom au lieu d'un numéro : c'est du spoofing d'en-tête, techniquement trivial à réaliser.
• Un délai très court. 24 h, 48 h, « avant clôture du dossier ». L'urgence est l'ingrédient universel du smishing : elle empêche la vérification.
• Une conséquence disproportionnée. « Blocage de vos comptes », « interdiction bancaire de 5 ans », « saisie sur salaire ». Aucune de ces mesures ne se déclenche par SMS.
• Un lien unique. Domaine long, tirets multiples, extension exotique (.info, .icu, .top) ou nom de domaine qui imite l'officiel banque-france.fr en y ajoutant un mot (banque-france-regularisation).

Le site d'atterrissage, lui, est souvent une copie propre : logo, typographie institutionnelle, mentions légales pompées. Il demande votre état civil, votre numéro de sécurité sociale, une pièce d'identité scannée, puis un RIB — et finit par proposer un « paiement de frais de levée de fichage » de 29 à 99 €. Il n'existe aucun frais pour être radié d'un fichier de la Banque de France.

Pourquoi ce scénario touche des profils très différents

On imagine volontiers que seules les personnes en difficulté financière mordent à l'hameçon. C'est faux, et c'est même l'inverse qui rend la fraude rentable.

Les personnes réellement fichées reçoivent le message comme une confirmation de ce qu'elles savent déjà. Elles cliquent parce que le message « colle » à leur situation — et parce qu'elles espèrent une sortie rapide.

Les personnes qui ne le sont pas du tout paniquent différemment : elles se demandent si un crédit oublié, une caution donnée à un proche ou une usurpation d'identité n'a pas créé un incident à leur insu. Le doute suffit à faire cliquer.

Les seniors et les personnes peu à l'aise avec le numérique sont surexposés. Selon les travaux du Défenseur des droits et du Crédoc sur l'illectronisme, plusieurs millions de Français restent en difficulté face aux démarches en ligne. Face à un message institutionnel, le réflexe est d'obéir, pas de vérifier. Dans les familles, il est utile d'avoir posé la règle en amont : aucun message financier n'est traité seul. Un carnet répertoire téléphonique grand format posé près du téléphone fixe, où figurent le numéro direct de l'agence bancaire et celui d'un proche référent, vaut mieux que n'importe quel filtre technique : il transforme un réflexe de panique en réflexe d'appel.

Les indépendants et micro-entrepreneurs, enfin, vivent avec la crainte permanente d'un incident de paiement client. Le message les cible efficacement en fin de trimestre.

Vérifier gratuitement si vous êtes fiché : la seule bonne réaction

C'est la réponse la plus efficace à ce type de SMS, et elle ne coûte rien. Le droit d'accès aux fichiers de la Banque de France est gratuit et garanti par le RGPD ainsi que par la loi Informatique et Libertés.

Trois voies existent :

1. En ligne, via le service d'accès aux fichiers d'incidents proposé sur le site officiel de la Banque de France, avec une authentification par FranceConnect.
2. Sur place, dans l'une des succursales de la Banque de France, muni d'une pièce d'identité en cours de validité.
3. Par courrier, à l'adresse indiquée sur le site officiel, avec copie de la pièce d'identité.

Dans les trois cas : aucun paiement, aucun intermédiaire, aucun lien reçu par SMS. Si vous découvrez une inscription que vous contestez, l'interlocuteur à saisir est l'établissement déclarant — votre banque — puis, en cas de désaccord persistant, la Banque de France elle-même, et le cas échéant la CNIL.

Un détail qui a son importance : pour ces démarches, vous aurez besoin de scanner ou photographier des justificatifs. Autant le faire proprement, hors de tout site douteux — un scanner portable de documents ou simplement une application officielle sur votre téléphone permet de constituer un dossier propre à envoyer par les canaux officiels, sans jamais déposer vos papiers sur une plateforme inconnue.

Les signaux qui doivent vous arrêter en trois secondes

Avant même de lire le contenu, quelques réflexes de tri suffisent.

• Une administration ne met jamais de lien de paiement dans un SMS. Ni la Banque de France, ni la DGFiP, ni l'Assurance Maladie.
• Le tutoiement institutionnel n'existe pas, pas plus que les fautes d'accord ou les majuscules aléatoires (« Votre Dossier est En Attente »).
• Un numéro français en 06 ou 07 pour un message institutionnel est une aberration : les organismes utilisent des numéros courts ou des en-têtes alphanumériques.
• Le lien raccourci (bit.ly, tinyurl et consorts) n'est jamais utilisé par une institution publique.
• Le message vous connaît trop peu ou trop bien. Ni votre nom complet, ni votre référence de dossier ? Suspect. À l'inverse, un message hyper-personnalisé peut trahir une fuite de données antérieure.

Un point technique vaut d'être rappelé : l'affichage de l'expéditeur ne prouve rien. Un SMS frauduleux peut s'insérer dans un fil de conversation existant avec votre vraie banque si l'en-tête usurpé est identique. Le fil de discussion n'est donc pas une garantie d'authenticité — c'est l'une des idées reçues les plus dangereuses en matière de smishing.

Que faire si vous avez déjà cliqué

La chronologie compte plus que la gravité apparente.

Dans l'heure : si vous avez saisi des identifiants bancaires, appelez immédiatement le numéro figurant au dos de votre carte ou sur votre application bancaire officielle — jamais un numéro trouvé dans le SMS. Faites opposition. Le service Perte et vol interbancaire (0 892 705 705) permet de bloquer une carte en urgence.

Dans la journée : changez le mot de passe de votre espace bancaire depuis un appareil sain, et activez l'authentification à deux facteurs si ce n'est pas déjà fait. Pour les personnes qui gèrent beaucoup de comptes, une clé de sécurité physique FIDO2 constitue le niveau de protection le plus robuste, bien supérieur au code reçu par SMS — précisément parce qu'elle ne dépend pas du réseau mobile.

Dans les 48 heures : signalez le message au 33700, la plateforme officielle de lutte contre les spams SMS, en transférant le texte reçu puis le numéro de l'expéditeur. Déposez ensuite un signalement sur cybermalveillance.gouv.fr et, en cas de préjudice financier, une plainte auprès de la police ou de la gendarmerie. Le service Perceval, accessible via le site service-public.fr, permet de signaler une fraude à la carte bancaire.

Dans la semaine : si vous avez transmis une pièce d'identité, considérez qu'un risque d'usurpation existe. Exercez votre droit d'accès aux fichiers de la Banque de France pour vérifier qu'aucun crédit n'a été souscrit en votre nom, et surveillez vos relevés pendant plusieurs mois.

Rappelons enfin le principe posé par le Code monétaire et financier : en cas d'opération de paiement non autorisée signalée sans délai, la banque doit en principe rembourser le titulaire, sauf négligence grave de sa part. Une jurisprudence désormais nourrie de la Cour de cassation a précisé que la seule communication d'un code reçu par SMS, dans un contexte de fraude sophistiquée, ne suffit pas à caractériser cette négligence grave. Autrement dit : ne renoncez pas à réclamer.

Protéger un proche sans le braquer

C'est souvent le plus délicat. Parler d'argent, de dettes ou de fichage avec un parent âgé ou un jeune adulte fraîchement autonome touche à l'amour-propre. Quelques approches fonctionnent mieux que le sermon :

• Partir de vous. « J'ai reçu ce SMS, je me suis fait avoir dix secondes » ouvre la conversation là où « fais attention » la ferme.
• Instaurer un canal de secours. Un mot de passe familial, ou simplement la règle « on ne traite jamais un message financier seul », désamorce l'urgence artificielle.
• Faciliter l'appel plutôt que le clic. Chez les personnes âgées, un téléphone senior à grosses touches avec quelques numéros programmés en mémoire directe réduit mécaniquement la tentation de répondre à un lien : le premier réflexe redevient d'appeler quelqu'un.
• Sécuriser l'appareil. Un smartphone mis à jour, protégé par un verrouillage biométrique, et éventuellement doté d'une carte SIM prépayée dédiée pour les usages sensibles limite la casse en cas de perte ou de vol.

Enfin, la culture générale reste la meilleure protection. Un bon livre sur la cybersécurité au quotidien, laissé sur une table basse, en apprend davantage à une famille que dix alertes ministérielles — parce qu'il explique le pourquoi des mécanismes plutôt que d'énumérer des interdits.

Ce qu'il faut retenir

Le faux SMS de fichage à la Banque de France n'invente rien techniquement : c'est du smishing classique. Sa force est ailleurs, dans le choix du prétexte. En touchant à la réputation financière, il isole la victime et neutralise le réflexe le plus efficace contre l'arnaque — demander à quelqu'un d'autre ce qu'il en pense.

Trois phrases suffisent à s'immuniser :

1. La Banque de France ne notifie jamais un fichage par SMS.
2. La levée d'un fichage est toujours gratuite et passe par l'établissement déclarant.
3. Consulter les fichiers d'incidents est un droit gratuit, exerçable en ligne, en succursale ou par courrier.

Le reste — les liens, les délais de 48 heures, les « frais de dossier » — n'est que décor. Un décor très bien peint, mais un décor.