Faux conseiller bancaire

Définition

L'usurpation de conseiller bancaire est un appel téléphonique dans lequel l'attaquant se fait passer pour le service anti-fraude de votre banque afin de vous faire valider vous-même une opération frauduleuse.

Comment ça fonctionne

L'attaquant appelle en affichant parfois le numéro réel de la banque, technique connue sous le nom d'usurpation de numéro. Il annonce détecter une opération suspecte et propose de la « bloquer ». Pour cela, il demande de confirmer un code reçu par SMS, de valider une notification dans l'application bancaire, ou d'effectuer un virement vers un « compte sécurisé ». Chacune de ces actions autorise en réalité l'opération frauduleuse : c'est la victime elle-même qui valide, ce qui rend la contestation ultérieure plus difficile.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Appel non sollicité annonçant une fraude en cours sur votre compte
• Demande de communiquer ou de valider un code reçu par SMS
• Demande de virement vers un prétendu « compte sécurisé » ou « compte tampon »
• Insistance pour rester en ligne et ne raccrocher sous aucun prétexte
• Pression pour agir avant de vérifier auprès de quelqu'un d'autre

Comment vérifier

Raccrochez, sans exception. Rappelez ensuite votre banque au numéro figurant au dos de votre carte ou dans l'application officielle. Un conseiller légitime ne vous reprochera jamais d'avoir raccroché pour vérifier.

Que faire

Ne communiquez aucun code, ne validez aucune notification, n'effectuez aucun virement pendant l'appel. Une banque ne demande jamais de déplacer de l'argent pour le protéger.

Si c'est déjà arrivé

Contactez immédiatement votre banque pour faire opposition et signaler l'opération. Déposez plainte. Conservez les traces disponibles : heure de l'appel, numéro affiché, montants. Signalez les faits sur cybermalveillance.gouv.fr.

Les gestes qui déjouent cette attaque

• Vérifier à qui vous parlez vraimentComment être sûr que la personne qui me contacte est bien celle qu'elle prétend ?

Questions fréquentes

Le numéro affiché était bien celui de ma banque, est-ce possible ?

Oui. L'affichage du numéro appelant peut être falsifié. Un numéro correct ne prouve donc jamais l'identité de l'interlocuteur, et ne doit pas servir de critère de confiance.

Pourquoi ma banque ne me rembourse-t-elle pas automatiquement ?

Parce que les opérations ont été validées depuis vos propres dispositifs d'authentification. C'est précisément l'objectif de l'attaque. Cela ne vous prive pas de recours : contestez par écrit auprès de votre banque, et déposez plainte.

Un vrai conseiller peut-il me demander un code SMS ?

Non. Aucun code d'authentification ne doit être communiqué à qui que ce soit, y compris à une personne se présentant comme votre banque ou comme la police.

Attaques liées

• Faux support technique
• Smishing (hameçonnage par SMS)
• Fraude au changement de RIB
• Contournement de la double authentification
• Échange de carte SIM
• Vishing (hameçonnage par téléphone)
• Usurpation d'identité
• Revente de données personnelles

Sources officielles

• Cybermalveillance.gouv.fr — Hameçonnage (phishing)