Un SMS de votre banque demande de valider un code : l'arnaque à connaître

Le Guide Anti-Arnaques TrustCheck

Les arnaques les plus courantes en France, les phrases exactes des escrocs et les démarches à faire, en gros caractères. Cinq parties, format PDF, disponible tout de suite.

Le message, tel qu'il arrive

Un SMS ou une notification de l'application bancaire annonce une opération. Le texte ressemble à ceci : « Une transaction de 489 € est en attente, validez ou refusez ». Une autre version dit : « Un code vous a été envoyé, communiquez-le à votre conseiller ».

Le nom de la banque est le bon. Le numéro d'expéditeur ressemble à celui des vraies alertes de cette banque. Rien, à l'écran, ne distingue ce message d'une alerte réelle.

Quelques minutes plus tard, le téléphone sonne. Une personne se présente comme un conseiller du service fraude. Elle dit avoir vu la même opération que vous, et propose de l'annuler avec votre aide.

Pourquoi la validation dans l'application est le piège

C'est le point à comprendre en premier. Une demande de validation Certicode, Sécur'Pass ou 3-D Secure sert normalement à confirmer une opération que vous avez lancée vous-même.

L'escroc, lui, a déjà les coordonnées de votre carte. Il les a obtenues par un faux site, une fuite de données ou un ancien hameçonnage. Avec ces coordonnées, il lance un vrai paiement ou un vrai virement, à votre place.

Votre banque envoie alors une vraie demande de confirmation, par SMS ou par notification. Ce message n'est pas frauduleux en lui-même, il vient réellement de votre banque.

Le piège se ferme au moment où vous appuyez sur « valider ». Il se ferme aussi si vous lisez le code à voix haute au téléphone. Cette validation est votre autorisation légale de l'opération. C'est elle, et non une faille technique, qui permet le vol.

Le rôle du faux conseiller au téléphone est seulement de vous convaincre de valider. Il peut aussi vous demander de communiquer ce code, en le présentant comme un geste de sécurité. Ce scénario d'appel est détaillé dans notre article sur l'arnaque au faux conseiller bancaire.

Les phrases exactes à repérer

Les escrocs utilisent un petit nombre de formules, presque toujours les mêmes.

• —« Une transaction de 489 € est en attente, validez ou refusez. »
• —« Un code vous a été envoyé, communiquez-le à votre conseiller. »
• —« Pour annuler l'opération, validez-la d'abord dans votre application. »
• —« Ne raccrochez pas, je reste en ligne pendant que vous vérifiez. »
• —« C'est justement pour votre sécurité, le code me confirme que c'est bien vous. »

Chaque phrase pousse vers le même geste : valider, ou dire à voix haute un code reçu par SMS.

La règle unique

On ne valide jamais rien pendant un appel. On ne communique jamais un code reçu par SMS, même à quelqu'un qui dit être son conseiller.

Une vraie banque ne demande jamais de lire un code à voix haute. Un vrai conseiller accepte toujours que vous raccrochiez et rappeliez vous-même.

Comment vérifier avant de valider

1. 1Ne validez rien pendant l'appel, quelle que soit l'urgence annoncée.
2. 2Raccrochez, même si la personne insiste pour rester en ligne.
3. 3Rappelez votre banque au numéro inscrit au dos de votre carte, jamais un numéro donné par l'appelant.
4. 4Demandez si une opération suspecte existe réellement sur votre compte.
5. 5Si personne ne vous a appelé et que seul le SMS est arrivé, ouvrez vous-même votre application bancaire. Regardez les mouvements sans cliquer sur le lien du message.

D'autres messages jouent sur la même urgence avec un autre prétexte, comme les faux SMS de colis Chronopost et Colissimo.

Si vous avez déjà validé : les dix minutes qui comptent

Ne perdez pas de temps à vous en vouloir. Ce scénario est conçu pour tromper des personnes attentives. Agissez dans cet ordre, tout de suite.

1. 1Appelez votre banque au numéro inscrit au dos de votre carte, jamais un numéro reçu par SMS.
2. 2Dites une phrase claire : « Je pense avoir validé une opération frauduleuse, faites opposition immédiatement. »
3. 3Demandez l'opposition de la carte et le blocage des virements en cours.
4. 4Confirmez par écrit à votre banque la date et l'heure de l'appel reçu. Un message dans l'espace client ou un courrier suffit.
5. 5Conservez le SMS, l'heure de l'appel, le numéro affiché et les mots utilisés par la personne.
6. 6Déposez plainte au commissariat ou à la gendarmerie, avec ces éléments.

Pour la suite des démarches après une arnaque au téléphone, voyez victime d'une arnaque au téléphone, que faire.

Ce que dit la loi sur le remboursement

L'article L133-18 du code monétaire et financier oblige la banque à rembourser une opération de paiement non autorisée. Le remboursement doit intervenir dès que la banque est informée. Il doit intervenir au plus tard à la fin du premier jour ouvrable suivant.

La banque peut refuser si elle prouve une négligence grave de votre part. Une seule validation obtenue par une manipulation ne suffit pas, à elle seule, à prouver cette négligence. C'est pourquoi l'écrit envoyé à la banque, décrivant l'appel et la manipulation, compte autant que l'appel d'opposition lui-même.

L'article L133-24 du même code fixe à treize mois le délai pour signaler l'opération contestée.

Où signaler et qui appeler

• —Le service Info Escroqueries, au 0805 805 817, pour être orienté.
• —Le service public 17Cyber, tenu par la police nationale, la gendarmerie et Cybermalveillance.gouv.fr.
• —Le 33700 pour transférer le SMS suspect, si vous en avez reçu un.
• —En cas de danger immédiat ou de menace, le 17.

Si un parent âgé a reçu ce message, lisez protéger un parent âgé des arnaques téléphoniques. Il détaille les réglages et les routines familiales à mettre en place.

Pourquoi ce doute revient si souvent

Ce mécanisme fonctionne parce que le message vient réellement de la banque. La méfiance habituelle envers les liens et les pièces jointes ne suffit pas ici. La seule question fiable est intérieure : est-ce moi qui ai lancé cette opération.

Cette question se pose souvent tard le soir, seul, sans personne à qui la poser dans l'instant. C'est ce moment-là qu'occupe votre numéro TrustCheck. L'assistant TrustCheck répond en quelques secondes, à toute heure. Il écoute la situation et dit si l'appel ou le message correspond à cette arnaque. Voir la protection TrustCheck.

À retenir

Une validation demandée dans l'application bancaire, ou un code demandé par téléphone, n'est jamais anodine. On ne valide jamais rien pendant un appel. On ne communique jamais un code reçu par SMS, même à un interlocuteur qui se présente comme son conseiller.

Raccrochez, rappelez votre banque au numéro inscrit au dos de votre carte, puis écrivez ce qui s'est passé. L'article L133-18 du code monétaire et financier protège les victimes d'une opération non autorisée, à condition de la signaler vite.

Le Guide Anti-Arnaques TrustCheck

Les arnaques les plus courantes en France, les phrases exactes des escrocs et les démarches à faire, en gros caractères. Cinq parties, format PDF, disponible tout de suite.