Réponse rapide
Une vraie banque ne demande jamais le code reçu par SMS, ne fait pas installer d'application de prise en main à distance et ne déplace pas votre argent vers un « compte sûr ». Si un appel demande l'un des trois, c'est une fraude : raccrochez et appelez le numéro au dos de votre carte.
Le vishing est un appel où quelqu'un se fait passer pour votre banque. Ce n'est pas une arnaque maladroite : l'appelant connaît en général votre nom complet, parfois les quatre derniers chiffres de votre carte, et parle avec l'autorité calme de quelqu'un qui lit un script. Le numéro affiché peut être celui de la banque, car le réseau téléphonique ne vérifie pas qui appelle.
Tout l'appel n'existe que pour obtenir une courte suite de chiffres : le code à usage unique envoyé par SMS. Avec lui, un attaquant peut valider un virement ou ajouter un bénéficiaire, sans jamais tenir votre carte.
Comment l'appel est construit
- Une voix (enregistrée ou synthétique) annonce « une transaction suspecte » sur votre compte.
- On vous dit que la transaction peut être bloquée, mais seulement maintenant, pendant cet appel.
- On vous demande de confirmer votre identité – en pratique, de dicter le code SMS qui vient d'arriver.
- Si vous hésitez, on vous passe un « superviseur » ou un « service anti-fraude » : la personne suivante dans la même pièce.
- Sans code, on vous demande d'installer un outil de prise en main à distance pour qu'un « opérateur » sécurise votre téléphone – ce qui le lui livre.
Les quatre signes qui trahissent l'arnaque
- L'urgence qui supprime vos options : « si on raccroche, l'argent est perdu ».
- Toute demande de code SMS ou de code PIN. Votre banque les possède déjà – elle n'a pas besoin de les entendre.
- L'installation d'un logiciel que vous n'avez pas cherché : AnyDesk, TeamViewer, QuickSupport, un « certificat de sécurité » ou un fichier APK reçu par message.
- L'instruction de garder l'appel secret vis-à-vis de la famille ou des conseillers, ou de virer l'argent sur un « compte sûr » qui serait le vôtre. Ce compte n'existe pas.
Les numéros falsifiés ne prouvent rien
Le numéro affiché est une donnée transmise par l'appelant, pas un fait vérifié. Pour quelques euros par mois, des plateformes de fraude permettent de choisir n'importe quel numéro, y compris la ligne officielle de votre banque. Rappeler ne sert que si vous composez vous-même le numéro, depuis un autre appareil ou après quelques minutes : une ligne maintenue ouverte reste branchée sur leur centre d'appels.
Il en va de même des messages qui suivent : un lien vers le domaine de la banque peut être une copie avec un caractère échangé, et un PDF à en-tête est un document imprimé depuis Word.
Que faire si vous avez déjà répondu
- Raccrochez. N'expliquez pas, ne discutez pas, n'attendez pas le superviseur.
- Appelez votre banque au numéro au dos de la carte et demandez le blocage de la carte.
- Changez le mot de passe de votre banque en ligne et vérifiez bénéficiaires et virements permanents : supprimez tout bénéficiaire que vous n'avez pas ajouté.
- Si vous avez installé une application, désinstallez-la, puis vérifiez quelles applications disposent de l'accessibilité ou de l'accès aux notifications : c'est cet accès qui permet à un outil distant de lire vos codes SMS.
- Signalez : au service anti-fraude de la banque le jour même et à la police si de l'argent est parti. Un signalement le jour même est ce qui rend une demande de remboursement réaliste.
Vérifiez le numéro avant de faire confiance
Collez le numéro qui vous a appelé dans le vérificateur de téléphone BaitScan pour voir le schéma derrière : tranches surtaxées, séries utilisées par des SIM éphémères et formats depuis lesquels les banques n'appellent pas. Si un message accompagnait l'appel, le vérificateur de liens montre où mène réellement le lien.
Questions fréquentes
Les questions les plus posées à propos de cet article, avec une réponse directe.
Un fraudeur peut-il vraiment appeler depuis le numéro de ma banque ?
Oui. Le numéro est fourni par l'appelant et n'est pas vérifié de bout en bout : il peut être n'importe quoi, y compris la vraie ligne d'assistance. Considérez l'affichage comme une indication, jamais comme une preuve d'identité.
L'appelant connaissait mon nom et les derniers chiffres de ma carte. Suis-je compromis ?
Non : ces données circulent largement après d'anciennes fuites. Elles servent à paraître crédible, pas à prouver un accès. Ce qui compte, c'est de ne jamais dicter un code ni installer une application.
J'ai dicté le code. Que se passe-t-il maintenant ?
Partez du principe que l'attaquant peut immédiatement autoriser une opération ou ajouter un bénéficiaire. Appelez la banque, bloquez la carte, changez le mot de passe, puis signalez. Avec DSP2, vous pouvez rester responsable des paiements non autorisés antérieurs à votre signalement : d'où l'importance du jour même.
Dois-je rappeler pour vérifier ?
Seulement en composant vous-même le numéro publié de votre banque. Rappeler le numéro entrant vous reconnecte à la même opération : la ligne est la leur.
Écrit par L'équipe éditoriale BaitScan
Les résultats sont des estimations de risque automatisées fondées sur des indicateurs publics et des heuristiques.