L’appel affiche le numéro de votre banque, l’interlocuteur connaît vos dernières opérations et vous demande de sécuriser votre compte. Voici le scénario complet, la faille qu’il exploite et ce que dit le droit.
Le faux conseiller bancaire n’est pas un pirate : c’est un metteur en scène. Il affiche le numéro de votre agence, récite des informations obtenues lors d’un hameçonnage antérieur, invente une fraude en cours, puis vous fait valider vous-même l’opération qui vous dépouille. Cette arnaque est née de la sécurité technique : depuis l’authentification forte, personne ne peut plus payer à votre place, il faut donc obtenir votre geste. C’est aussi ce qui complique le remboursement, car une opération que vous avez validée est juridiquement une opération autorisée.
Le téléphone sonne à 19 h 10. L’écran affiche le nom de votre agence, celui que vous avez vous-même enregistré dans vos contacts. La voix est calme, professionnelle, légèrement pressée. Elle vous appelle par votre nom, cite votre conseiller habituel, mentionne un paiement de 384 € tenté il y a dix minutes chez un commerçant que vous ne connaissez pas.
Tout est vrai sauf l’essentiel. Le paiement n’existe pas, l’appelant n’a rien à voir avec votre banque, et l’affichage du numéro a été fabriqué. Ce qui suit dure entre vingt minutes et deux heures, et se termine par une série d’opérations que vous aurez validées de votre main.
Cette arnaque intrigue parce qu’elle ne comporte aucun piratage. Aucun mot de passe n’est cassé, aucun logiciel malveillant n’est nécessaire. Le fraudeur a besoin d’une seule chose : votre geste.
Il y a quinze ans, un numéro de carte volé suffisait à payer en ligne. L’obligation européenne d’authentification forte a fermé cette porte : un paiement à distance doit désormais combiner deux éléments parmi ce que vous savez, ce que vous détenez et ce que vous êtes, le plus souvent une validation dans l’application bancaire. Le mécanisme est détaillé dans l’authentification forte des paiements.
Le résultat est net : la fraude sur les paiements à distance a fortement reculé, et le maillon technique n’est plus franchissable à un coût raisonnable. Le seul maillon qui reste est humain. Le faux conseiller bancaire n’est donc pas un échec de la sécurité, c’est sa conséquence logique. Toute la sophistication s’est déplacée du code vers le scénario.
Cela explique aussi la forme de l’appel. Le fraudeur ne cherche jamais à contourner votre application : il cherche à vous faire l’ouvrir. Chaque phrase de son script vise une validation que lui seul ne peut pas produire.
1. La collecte. Quelques jours ou quelques heures plus tôt, vous avez reçu un SMS de colis, un courriel d’impôts, une fausse page de connexion bancaire. Vous y avez laissé un nom, un numéro de téléphone, parfois un numéro de carte. La chaîne complète est décrite dans l’anatomie d’un hameçonnage. À défaut, les données viennent d’une fuite, et le fraudeur sait dans quelle banque vous êtes parce que c’était écrit dans le formulaire. Le rôle de collecteur que joue le faux SMS de colis explique la précision de l’appel qui suit.
2. L’appel entrant. Le numéro affiché est celui du service client de votre banque. La présentation du numéro appelant n’est qu’une donnée déclarative transmise avec l’appel : un opérateur étranger complaisant, ou une passerelle mal filtrée, permet d’y inscrire ce que l’on veut. Un mécanisme d’authentification des numéros oblige depuis fin 2024 les opérateurs français à écarter les appels dont le numéro français ne peut pas être authentifié, d’abord sur les numéros fixes, avec une extension progressive aux numéros mobiles. Le filtrage progresse, il n’est pas total.
3. L’installation de l’autorité. L’interlocuteur récite ce qu’il sait, donne un numéro de dossier, propose parfois de vous rappeler pour « vérifier votre identité ». Il annonce ensuite une fraude en cours sur votre compte. La peur s’installe, et avec elle la reconnaissance envers celui qui vous prévient.
4. Le renversement. Vous n’êtes plus la personne qu’on appelle, vous êtes la personne qui a besoin d’aide. C’est le moment charnière. Tout ce qui suit vous sera présenté comme un service rendu, dans l’urgence, et tout refus de votre part comme un obstacle à votre propre protection.
5. L’acte. Selon la variante, il vous fera dicter un code reçu par message, valider une notification dans l’application, saisir un code sur un site, ou exécuter un virement vers un compte présenté comme un compte de la banque.
6. La dispersion. Les fonds arrivent sur un compte de passage, souvent ouvert au nom d’un tiers recruté par petites annonces, puis repartent en quelques minutes vers d’autres comptes ou en cryptoactifs. Le virement instantané a réduit la fenêtre de récupération à presque rien, ce que détaille le fonctionnement du virement instantané.
Le script se reconnaît à des formules qui sonnent bancaires et ne correspondent à aucune procédure existante.
| Ce que dit l’interlocuteur | Ce que cela produit réellement | Ce qu’une banque fait vraiment |
|---|---|---|
| « Je mets vos fonds à l’abri sur un compte tampon » | Un virement définitif vers le compte d’un tiers | Elle bloque la carte ou le compte depuis ses propres systèmes, sans déplacer un euro |
| « Validez dans votre application pour annuler l’opération » | L’autorisation d’un nouveau paiement, ou l’ajout de votre carte dans un portefeuille mobile | Une annulation ne se valide jamais : elle se constate sur le relevé |
| « Donnez-moi le code que vous venez de recevoir » | La confirmation d’une opération en cours au moment même de l’appel | Elle ne demande aucun code : le message qui le contient indique l’opération qu’il valide |
| « Installez cet outil pour que je voie votre écran » | Une prise en main à distance de l’appareil | Elle n’a pas besoin de votre écran, elle voit votre compte depuis ses systèmes |
| « N’en parlez pas en agence, l’enquête est confidentielle » | Votre isolement pendant la durée utile de l’escroquerie | Elle vous oriente vers votre agence, elle ne vous en éloigne pas |
La question du remboursement se joue sur un seul point, que la plupart des victimes découvrent trop tard : le droit ne distingue pas les opérations honnêtes des opérations frauduleuses, il distingue les opérations autorisées des opérations non autorisées.
Une opération non autorisée est une opération que vous n’avez pas consentie. Le code monétaire et financier impose alors à la banque de rembourser immédiatement, au plus tard à la fin du premier jour ouvrable suivant votre signalement, et de rétablir le compte dans son état antérieur. La charge de la preuve pèse sur elle : le seul fait que l’instrument de paiement ait été utilisé ne suffit pas à établir que vous avez autorisé l’opération, ni que vous avez commis une négligence grave.
Une opération que vous avez validée avec votre authentification forte est, elle, une opération autorisée, même si votre consentement a été obtenu par tromperie. Le remboursement de plein droit ne s’applique pas. Il reste des voies, mais elles reposent sur d’autres fondements : le devoir de vigilance de la banque face à une opération manifestement inhabituelle, ou l’absence de négligence grave lorsque la tromperie était particulièrement élaborée.
| Ce qui s’est passé | Qualification | Ce que vous pouvez exiger | Ce qui peut bloquer |
|---|---|---|---|
| Paiements avec votre numéro de carte, sans aucune validation de votre part | Opération non autorisée | Remboursement au plus tard le jour ouvrable suivant le signalement | La preuve d’une négligence grave, qui incombe à la banque |
| Carte ajoutée à un portefeuille mobile après un code dicté au téléphone | Opérations ultérieures non autorisées dans la plupart des analyses | Remboursement, en démontrant l’usurpation et la manipulation | La banque peut soutenir que la transmission du code vaut négligence grave |
| Virement que vous avez saisi et validé vous-même | Opération autorisée | Rappel du virement, puis réclamation fondée sur le devoir de vigilance | Absence d’obligation légale de remboursement automatique |
| Opération contestée plus de treize mois après le débit | Forclusion | Rien au titre de ce régime | Le délai de treize mois court à compter du débit |
Les conditions précises, les franchises et les refus abusifs sont développés dans le régime de remboursement d’un paiement frauduleux. Retenez ici la conséquence pratique : plus le fraudeur vous fait agir vous-même, plus votre position juridique se dégrade. C’est exactement ce qu’il cherche.
Depuis octobre 2025, le règlement européen sur les virements instantanés impose aux banques de la zone euro un service de vérification du bénéficiaire : au moment de saisir un virement, vous recevez un avis indiquant si le nom que vous avez tapé correspond au titulaire réel du compte destinataire.
C’est un progrès réel contre la fraude au faux RIB, où l’escroc substitue ses coordonnées à celles d’un vrai créancier. Contre le faux conseiller, l’effet est plus limité : il vous dictera un nom qui concorde, celui du titulaire du compte de passage, ou vous expliquera par avance que l’avertissement est normal puisqu’il s’agit d’un compte technique. Un contrôle automatique ne résiste pas à quelqu’un qui commente l’écran en direct.
La même limite vaut pour les plafonds, les alertes et les blocages. Tous supposent un utilisateur laissé seul avec sa décision. L’escroquerie consiste précisément à ne jamais vous laisser seul.
Changez également les mots de passe des comptes dont vous avez pu parler pendant l’appel, en commençant par la messagerie, puisqu’elle commande les réinitialisations. Si des informations personnelles circulent déjà, la marche à suivre figure dans le guide à suivre quand vos données ont fuité.
Le même script se décline. La fausse alerte de la brigade financière ajoute une autorité judiciaire et un soupçon de blanchiment, pour justifier le secret. Le faux service des impôts promet un remboursement ou menace d’une saisie. Le faux support technique commence par une fenêtre d’alerte en plein écran et un numéro à appeler, puis emprunte le même chemin une fois la prise en main obtenue.
En entreprise, la déclinaison s’appelle fraude au président ou au faux fournisseur : mêmes leviers, cible différente, montants plus élevés. Les contrôles qui l’arrêtent sont des procédures écrites, pas de la vigilance individuelle, et ils sont décrits dans la fraude au virement en entreprise.
Enfin, la voix elle-même n’est plus une preuve. Quelques secondes d’enregistrement public suffisent à produire une imitation convaincante, ce qui alimente aussi bien l’appel du faux conseiller que l’arnaque au faux proche. La reconnaissance auditive ne fait plus partie des indices utilisables.
Les victimes ne sont pas les personnes crédules mais les personnes disponibles, polies, respectueuses de l’autorité, et souvent seules au moment de l’appel. Les personnes âgées sont surreprésentées parce que ces trois conditions se cumulent plus souvent chez elles, pas parce qu’elles comprendraient moins.
Trois mesures fonctionnent mieux que les recommandations générales. Convenir d’une règle familiale simple : aucune décision d’argent au téléphone, jamais, on rappelle toujours quelqu’un de la famille avant. Abaisser les plafonds de virement et de paiement dans l’application, qui sont souvent réglés bien au-dessus des besoins réels. Enfin, préparer le rappel : coller le numéro du service client au dos du téléphone évite d’avoir à chercher sous pression. Les formes d’aide respectueuses de l’autonomie sont abordées dans l’accompagnement d’un proche à distance.
Dites aussi qu’en cas de problème, il n’y aura pas de reproche. La honte est le meilleur allié du fraudeur : elle retarde le signalement, et le signalement tardif coûte plus cher que l’erreur initiale.
Un appel entrant ne prouve rien, quel que soit le numéro affiché et quelles que soient les informations récitées. La seule question utile est celle-ci : cet appel me demande-t-il de faire quelque chose, ou seulement de savoir quelque chose ? Une information peut être reçue au téléphone. Une action, jamais : elle se fait après avoir raccroché, sur un canal que vous avez ouvert vous-même. Pour éprouver ce réflexe sur des cas concrets, notre test en huit situations mélange volontairement des messages frauduleux et des messages authentiques.
Non. Un conseiller peut vous appeler, y compris pour signaler une opération suspecte, mais il ne demande jamais un code reçu par message, jamais un mot de passe, jamais le cryptogramme au dos de la carte, et jamais de valider une notification dans l’application. Ces éléments servent précisément à prouver que c’est vous qui agissez : les communiquer revient à signer à la place du fraudeur. Un vrai conseiller accepte sans discuter que vous raccrochiez pour le rappeler au numéro figurant au dos de votre carte.
Ce n’est pas automatique, parce qu’une opération validée avec votre authentification est juridiquement une opération autorisée. La banque n’est alors pas tenue au remboursement de plein droit. Contestez malgré tout par écrit : la jurisprudence examine si la banque a rempli son devoir de vigilance sur une opération inhabituelle, et si la manipulation subie exclut la négligence grave. En cas de refus, saisissez le médiateur bancaire, gratuitement, deux mois après une réclamation écrite restée sans réponse satisfaisante.
Coupez l’appareil du réseau, désinstallez le logiciel, changez depuis un autre appareil les mots de passe des comptes sensibles, en commençant par la messagerie. Prévenez la banque : la session bancaire a pu être utilisée pendant l’appel. Si l’appareil est un ordinateur, une remise à plat ordonnée est préférable à un simple nettoyage, la méthode est décrite dans le nettoyage d’un appareil infecté.
Il n’existe aucun moyen de le vérifier pendant l’appel, et c’est le point essentiel : l’affichage du numéro ne prouve rien, et un interlocuteur qui connaît vos opérations ne prouve rien non plus. La seule vérification possible consiste à raccrocher et à rappeler vous-même le numéro au dos de votre carte ou celui de votre espace client. Attendez une minute avant de rappeler, ou utilisez un autre appareil, pour être certain que la ligne précédente est bien libérée.
Oui. La plainte ne conditionne pas le remboursement, mais elle alimente les enquêtes, permet le recoupement des comptes bénéficiaires et accompagne utilement une réclamation. Pour un usage frauduleux de carte alors que vous détenez toujours la carte, le signalement en ligne Perceval, accessible depuis service-public.fr, complète la démarche. Conservez tout : horodatage de l’appel, numéro affiché, relevés, échanges écrits avec la banque.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Mots de passe, arnaques, fuites de données et réflexes qui changent vraiment quelque chose.