« Code de vérification : 748 219. Ne communiquez ce code à personne, y compris à un conseiller. »
Vous n'avez rien demandé. Le SMS vient pourtant d'un expéditeur que vous reconnaissez — le nom de votre banque, d'une place de marché, d'un service de paiement. Vous le lisez deux fois, vous haussez les épaules. Et vingt-cinq secondes plus tard, le téléphone sonne.
Au bout du fil, une voix posée, un léger bruit de plateau téléphonique en fond, votre nom prononcé correctement. « Bonjour, service sécurité. Nous avons détecté une tentative de paiement de 847 euros sur votre compte depuis un appareil inconnu. Vous venez de recevoir un code par SMS : c'est le code d'annulation. Pouvez-vous me le dicter pour que je bloque l'opération ? »
Ce code n'annule rien. Il autorise. Et le SMS qui vous mettait en garde disait exactement la vérité — sauf que vous étiez déjà dans le scénario de quelqu'un d'autre.
Le code à usage unique, dernier verrou avant le vide
Depuis l'entrée en application de la directive européenne sur les services de paiement (DSP2), qui impose l'authentification forte du client, presque toutes les opérations sensibles passent par un second facteur : un code envoyé par SMS, une notification à valider dans l'application bancaire, parfois une empreinte digitale.
Ce code — on parle d'OTP, one-time password, mot de passe à usage unique — est devenu le point de passage obligé de toute fraude. Un escroc qui dispose de votre identifiant et de votre mot de passe, obtenus dans une fuite de données ou par un faux site, ne peut plus rien faire seul. Il lui manque une chose : les six chiffres que vous seul recevez.
D'où un renversement complet de la stratégie criminelle. Il ne s'agit plus de pirater un système, mais de convaincre un humain de lire six chiffres à voix haute. C'est infiniment moins coûteux, et malheureusement plus efficace.
La Banque de France et l'Observatoire de la sécurité des moyens de paiement le notent année après année : la fraude « avec manipulation de la victime » progresse pendant que la fraude purement technique recule. L'attaquant n'a plus besoin d'être informaticien. Il a besoin d'être comédien — ou d'avoir un robot qui l'est à sa place.
Les « OTP bots » : quand l'arnaque devient un abonnement mensuel
C'est le vrai changement des deux dernières années, et il est peu connu du grand public. Le vol de codes de vérification s'est industrialisé sous forme de services clés en main, vendus sur des canaux de messagerie privés à des tarifs mensuels.
Le principe est d'une simplicité déprimante. L'escroc dispose de vos identifiants (achetés dans un lot de données volées). Il se connecte à votre espace client, ce qui déclenche l'envoi automatique du vrai SMS par le vrai service. Au même instant, il saisit votre numéro dans le robot et choisit un scénario : « banque », « livraison », « plateforme de cryptomonnaies », « opérateur télécom ».
Le robot compose votre numéro, joue une voix de synthèse — souvent excellente, dans un français sans accent, avec l'ambiance sonore d'un centre d'appels — et vous demande de taper ou de dicter le code que vous venez de recevoir. Dès que vous le faites, le code remonte à l'escroc en temps réel, qui le saisit avant expiration. Toute l'opération dure moins de quatre-vingt-dix secondes.
Trois détails rendent ce dispositif redoutable :
- La synchronisation est parfaite. Le SMS légitime et l'appel arrivent dans le bon ordre, à quelques secondes d'intervalle. Le cerveau relie automatiquement les deux événements.
- Le SMS est authentique. Il vient réellement de votre banque, du bon expéditeur, avec la bonne mise en forme. Rien à détecter, aucun lien douteux à survoler : il n'y a pas de lien du tout.
- Le numéro affiché est usurpé. Grâce au spoofing, l'appel semble provenir du numéro imprimé au dos de votre carte bancaire.
Autrement dit, tous les réflexes que l'on nous enseigne depuis dix ans — vérifier le lien, vérifier l'expéditeur, vérifier le numéro — sont neutralisés d'un coup.
Les cinq scénarios qui reviennent le plus souvent
1. Le faux conseiller « sécurité »
Le classique. Un paiement suspect aurait été détecté, il faut l'annuler. Le code sert soi-disant à « bloquer », « rejeter », « sécuriser ». Une banque ne demande jamais un code pour annuler quelque chose : l'annulation se fait de son côté, sans votre intervention.
2. La confirmation de livraison
Un colis serait bloqué, un créneau à confirmer. Le code sert prétendument à « valider l'adresse ». Dans les faits, il valide souvent une création de compte ou un enrôlement de carte bancaire dans un portefeuille mobile.
3. La revente entre particuliers
Vous vendez un objet. L'acheteur vous envoie un code « pour vérifier que vous n'êtes pas un robot » avant de se déplacer. C'est un code d'inscription à un service tiers, rattaché à votre numéro — qui servira ensuite à monter d'autres fraudes en votre nom.
4. Le faux service client d'opérateur
On vous propose une remise, un geste commercial, une migration de forfait. Le code demandé est en réalité celui qui autorise le transfert de votre ligne vers une autre carte SIM. Cette variante conduit directement au détournement complet de votre numéro.
5. La « réactivation » d'un compte gelé
Un compte de messagerie, une plateforme de petites annonces, un service de paiement mobile : on vous annonce un blocage et on vous « aide » à débloquer. Le code débloque en effet quelque chose — l'accès de l'escroc.
Pourquoi des gens prudents tombent quand même
Il faut sortir de l'idée que ces arnaques ne visent que les personnes mal à l'aise avec la technologie. Les scénarios exploitent des mécanismes cognitifs universels, parfaitement documentés.
L'urgence supprime la vérification. Une somme importante, un compte en danger, un délai de deux minutes : le cerveau bascule en mode réaction. Les études sur la prise de décision sous stress montrent une chute nette de la capacité à envisager des hypothèses alternatives.
La cohérence rassure plus que l'authenticité. Vous recevez un SMS, on vous appelle à propos de ce SMS : les deux éléments se confirment mutuellement. On appelle cela l'illusion de corroboration. Or les deux proviennent de la même source — l'escroc a simplement déclenché le premier.
L'autorité désarme la contradiction. Une voix calme, un vocabulaire métier (« opposition », « rejet d'opération », « niveau 2 »), un numéro connu. Interrompre quelqu'un qui semble vous aider demande un effort social réel.
La formulation du code est contournée. « Ne communiquez ce code à personne » est présenté par l'escroc comme une consigne destinée aux autres appels : « Bien sûr, vous avez raison de vous méfier. C'est justement pour ça que c'est moi qui vous appelle depuis le numéro officiel. » Le doute est absorbé, retourné, transformé en preuve de sérieux.
La règle unique qui suffit à tout bloquer
Vous pouvez oublier les listes de dix conseils. Une seule phrase protège de l'ensemble de ces scénarios :
Un code reçu par SMS ne se dit jamais, ne se tape jamais sur un clavier téléphonique, ne se transfère jamais. Il se saisit uniquement par vous, sur un écran, dans une application ou un site que vous avez ouvert vous-même.
Aucune exception. Ni pour un conseiller bancaire, ni pour un policier, ni pour un technicien, ni pour un livreur, ni pour un acheteur. Aucun professionnel légitime n'a besoin de ce code, parce qu'aucun professionnel légitime n'est en train d'agir à votre place sur votre compte.
Corollaire tout aussi important : un code reçu sans raison est un signal d'alerte, pas une erreur. S'il arrive alors que vous n'avez rien fait, cela signifie que quelqu'un possède déjà vos identifiants et tente d'entrer. La bonne réaction n'est pas d'ignorer le SMS, c'est de changer immédiatement le mot de passe du service concerné, depuis l'application officielle.
Reprendre la main : les gestes concrets
Raccrocher, puis rappeler soi-même
C'est le geste le plus efficace, et le plus difficile à accomplir. On coupe, on attend une minute complète (certains escrocs maintiennent la ligne ouverte), puis on compose soi-même le numéro figurant au dos de sa carte bancaire ou dans l'application. Si l'incident était réel, il sera toujours là dans cinq minutes.
Pour les personnes qui reçoivent beaucoup d'appels indésirables, un téléphone fixe avec filtrage d'appels — qui bloque les numéros non enregistrés ou impose une annonce préalable — supprime une bonne partie du bruit. C'est un investissement modeste pour un parent âgé qui n'ose pas raccrocher au nez d'un interlocuteur poli.
Sortir du SMS pour l'authentification quand c'est possible
Le SMS reste le facteur d'authentification le plus faible : il est interceptable par détournement de ligne, lisible sur un écran verrouillé, et vulnérable à la manipulation décrite ici. Quand un service le propose, préférez une application d'authentification (validation dans l'appli bancaire, générateur de codes) ou, pour les comptes les plus sensibles, une clé de sécurité physique FIDO2, qui a le mérite de ne rien afficher que l'on puisse dicter à un inconnu.
Verrouiller l'aperçu des messages
Par défaut, de nombreux téléphones affichent le contenu des SMS sur l'écran verrouillé. Un code visible sans déverrouiller, c'est un code exposé à quiconque pose les yeux sur l'appareil — dans un train, un open space, une salle d'attente. Le réglage se trouve dans les notifications : choisissez « masquer le contenu ». Un filtre de confidentialité pour écran de smartphone complète utilement la mesure pour ceux qui consultent leur téléphone dans les transports.
Protéger la ligne elle-même
Puisque le SMS arrive sur votre carte SIM, la carte SIM devient une cible. Deux précautions : activer le code PIN de la carte (désactivé par défaut chez beaucoup d'utilisateurs) et demander à son opérateur le verrouillage du portage, une option qui empêche le transfert de la ligne sans validation renforcée. Ceux qui séparent leurs usages apprécieront un téléphone double SIM, permettant de réserver un numéro dédié aux services bancaires, jamais communiqué sur les annonces ni les formulaires.
Écrire la règle sur un support physique
Cela paraît naïf, et c'est pourtant ce qui fonctionne le mieux auprès des personnes vulnérables. Une carte imprimée posée près du téléphone fixe avec trois lignes : « Je ne dicte jamais un code. Je raccroche. Je rappelle ma banque moi-même. » Plusieurs associations de prévention distribuent ce type de mémo. Un guide pratique sur la cybersécurité au quotidien, laissé sur la table basse, fait souvent plus pour la vigilance familiale qu'un long discours.
Si vous avez donné le code
Il n'y a pas de honte à avoir — ces scénarios sont conçus par des professionnels dont c'est le métier à plein temps. En revanche, il y a une urgence.
| Délai | Action |
|---|---|
| Immédiatement | Appeler le service d'opposition de sa banque (numéro au dos de la carte) et faire bloquer carte et accès en ligne |
| Dans l'heure | Changer le mot de passe du service concerné et de la boîte mail associée, depuis un autre appareil si possible |
| Dans les 24 h | Signaler sur la plateforme officielle de signalement des fraudes et déposer plainte en commissariat ou gendarmerie |
| Dans les 13 mois | Contester les opérations non autorisées par écrit auprès de la banque |
Quelques repères utiles :
- Le 3018 (appel et service gratuits) accompagne les victimes de violences numériques ; Info Escroqueries au 0 805 805 817 renseigne sur les démarches.
- Les SMS frauduleux se signalent au 33700, service commun aux opérateurs français.
- Le site cybermalveillance.gouv.fr, dispositif national d'assistance, propose des fiches réflexes et un annuaire de prestataires agréés.
- Le Code monétaire et financier prévoit le remboursement des opérations de paiement non autorisées, sauf négligence grave du client. La notion de négligence grave est appréciée au cas par cas : le fait d'avoir été victime d'une manipulation élaborée, avec usurpation du numéro de la banque, a déjà été retenu en faveur du client par la Cour de cassation. Conservez tout : captures d'écran, horaires d'appel, numéro affiché, contenu des SMS.
Ce que cette arnaque annonce pour la suite
Le code à usage unique par SMS vit ses dernières années comme standard de sécurité. Les autorités de supervision bancaire européennes encouragent déjà la migration vers des méthodes liant l'authentification à l'appareil et à l'opération elle-même — une validation dans l'application qui affiche le montant et le bénéficiaire, beaucoup plus difficile à détourner par téléphone.
En attendant, la vulnérabilité ne se trouve ni dans le téléphone ni dans le réseau : elle se trouve dans la conversation. Un escroc ne vole pas un code, il l'obtient. Ce qui signifie qu'une seule décision — refuser poliment, raccrocher, rappeler soi-même — suffit à faire échouer une chaîne entière d'attaque, robots vocaux compris.
Le SMS qui vous prévient a raison. C'est l'appel qui suit qui ment.
