Faux SMS de la banque : reconnaître une vraie alerte d’une arnaque

Vous venez d’en recevoir un ? Faites seulement ceci

1. Dans les premières minutes, ne touchez pas au lien. Vous n’avez pas besoin de l’adresse contenue dans le message pour savoir si l’alerte est vraie.
2. Ne répondez pas et n’appelez pas le numéro donné par le SMS.
3. Ouvrez vous-même l’application de votre banque, depuis l’icône de votre téléphone, et regardez si l’alerte se trouve dans votre compte.
4. Si vous devez parler à quelqu’un, prenez le numéro imprimé au dos de votre carte ou celui affiché dans l’application.
5. Signalez le message. Transférez le SMS au 33700, la plateforme de signalement des messages et appels indésirables gérée avec les opérateurs. Vous recevez en retour un SMS automatique qui vous demande le numéro de l’expéditeur, et le service est gratuit.

S’il existe un vrai problème sur votre compte, le canal officiel vous le montrera sans passer par le lien. N’utilisez jamais un numéro, un bouton ou une adresse fournis par le message que vous cherchez justement à vérifier.

Ce qu’une vraie banque envoie, et ce qu’elle ne demande jamais

Les banques n’envoient pas toutes les mêmes messages, et la page sécurité de la vôtre reste l’endroit où confirmer le détail. Ce qui ne change pas, c’est la forme de la demande. Une vraie alerte vous informe et vous renvoie vers l’application. Un message frauduleux, lui, a besoin d’une action de votre part, à l’intérieur du message, tout de suite.

La dernière ligne est celle qui mérite d’être retenue par coeur. Dans sa fiche sur la fraude au faux conseiller bancaire, Cybermalveillance.gouv.fr est direct : jamais un conseiller de votre banque ne vous demandera de lui communiquer votre mot de passe ou des codes de confirmation. Un virement vers un compte dit sécurisé ou temporaire n’est pas une étape pour réparer une fraude : c’est la fraude elle-même.

Le raisonnement vaut aussi pour le code à six chiffres que votre banque vous envoie quand vous vous connectez ou quand vous validez un paiement. Ce code est la serrure. Celui qui vous demande de le lire à voix haute, de le transférer ou de le taper sur une page qu’il vous a envoyée réclame la clé, quelle que soit la raison donnée.

Les histoires utilisées le plus souvent

Les prétextes reviennent parce qu’ils fonctionnent au moins une fois sur presque tout le monde. Cybermalveillance.gouv.fr décrit le schéma dans sa page sur le smishing : un SMS venu d’un numéro inconnu, un problème ou un gain, et un lien ou un numéro à utiliser immédiatement. Le texte court y aide, parce qu’un SMS donne moins de prise à la vérification qu’un courriel.

Dans la version bancaire, l’histoire est presque toujours l’une de celles-ci : un achat que vous ne reconnaissez pas, une connexion depuis un nouvel appareil, un compte sur le point d’être bloqué, un virement mis en attente, ou un remboursement qui n’attend plus que votre validation. Une variante plus récente se passe même de lien : elle vous demande de répondre oui ou non à un achat, puis quelqu’un appelle une minute plus tard, en jouant le service antifraude, et vous accompagne pendant que vous donnez un code.

De l’argent qui vous attendrait sert aussi d’appât. Si un message annonce un remboursement, une aide ou un trop-perçu, allez vous-même sur le site de l’organisme ou de l’entreprise et cherchez-le là-bas. Ce qui se répète dans toutes ces histoires, ce n’est pas le sujet. C’est la demande : cliquez ici, dites-moi le code, installez ceci, envoyez l’argent.

Le nom de l’expéditeur ne prouve rien

Le nom ou le numéro affichés comme expéditeur n’établissent pas qui a envoyé le message. Un nom d’expéditeur peut être imité, un numéro peut être usurpé, et un SMS frauduleux peut arriver dans le même fil de discussion que les vraies alertes que vous recevez depuis des années, tout simplement parce que le téléphone range les messages par l’étiquette d’expéditeur qu’on lui donne.

Le ministère de l’Intérieur décrit cette technique sous le nom de spoofing : le numéro qui s’affiche peut être celui d’un tiers, parfois même le vôtre. Un numéro d’apparence française, un nom correctement orthographié et un texte sans faute ne confirment rien non plus. Ces détails ne coûtent presque rien à produire.

La confirmation doit venir d’un canal que vous avez ouvert vous-même : l’application, l’adresse officielle tapée par vous, ou le numéro imprimé au dos de votre carte. Pour lire une adresse avant de l’ouvrir, voyez comment vérifier si un lien est sûr.

Regardez la demande, pas l’alerte

La partie alarmante attire l’attention, mais le risque se trouve dans l’action proposée comme solution. Passez au-delà de l’avertissement et regardez ce qu’on vous demande de faire :

• Compte bloqué ou en cours de vérification : le message veut que vous ouvriez un lien pour le débloquer.
• Achat suspect validé : le bouton dit de cliquer si ce n’était pas vous.
• Informations à mettre à jour : le SMS vous demande de les corriger à une adresse qu’il fournit.
• Argent disponible : le lien promet de libérer le remboursement.
• Clé de sécurité qui expire : l’interlocuteur réclame le code qui vient d’arriver sur votre téléphone.

Le sujet varie beaucoup ; les actions demandées, presque pas. Ouvrir un lien, donner un code, installer une application ou déplacer de l’argent. C’est cette action-là qui doit être vérifiée en dehors du message.

À quoi ressemble le message, en général

Le message ci-dessous a été écrit par nous, de zéro, pour montrer le format. Ce n’est la capture d’écran de personne, et le nom de la banque est laissé de côté volontairement : dans un vrai message frauduleux, il serait écrit là, et c’est justement ce nom qui fait croire au reste.

Trois éléments font marcher ce message, et ils marchent encore sur quelqu’un d’attentif, parce que le message imite ce que la banque fait vraiment :

• Un délai très court, qui laisse peu de place pour ouvrir l’application et regarder.
• Une sortie facile, un seul clic, placée exactement là où la vraie solution prendrait plus de temps.
• Une adresse raccourcie, qui cache où le lien mène réellement.

N’utilisez ni le lien ni le numéro du message

Le lien ouvre une page construite pour ressembler à celle de votre banque, et le numéro tombe sur une personne qui joue le service antifraude. N’utilisez ni l’un ni l’autre, même quand la formulation sonne juste et même quand vous attendiez un message de votre banque. Sortez du SMS, ouvrez l’application depuis votre écran d’accueil ou tapez l’adresse que vous connaissez déjà, et si vous avez besoin d’un numéro, prenez-le dans l’application ou au dos de votre carte.

Le piège existe aussi dans l’autre sens. Cybermalveillance.gouv.fr a décrit l’hameçonnage au faux numéro d’opposition bancaire : des messages, et parfois des résultats de recherche, proposent un numéro présenté comme celui du service d’opposition. Au bout du fil, un faux conseiller réclame des informations, fait annuler de vraies opérations pour en valider de fausses, demande le code secret de la carte, ou propose de partager l’écran. Le vrai serveur interbancaire d’opposition est le 0 892 705 705, joignable 24 heures sur 24, et il est écrit sur les pages officielles des banques, pas dans un SMS.

Si vous avez ouvert une page, ne prenez pas le cadenas pour une réponse. Le HTTPS protège la connexion, mais l’adresse peut très bien appartenir à quelqu’un d’autre, et dans Chrome le cadenas a disparu : depuis la version 117, sortie en 2023, la barre affiche une icône de réglages à la place. Le blog de Chromium explique que presque tous les sites d’hameçonnage utilisent eux aussi le HTTPS. Lisez le nom de domaine en entier et comparez-le avec l’adresse réelle de votre banque avant de saisir quoi que ce soit ; reconnaître un faux site détaille où regarder.

Si vous ne pouvez pas confirmer sur le moment, laissez pour plus tard. Un vrai problème sera toujours là dans le canal officiel, et il ne réclamera pas le chemin que le message vous a tendu.

Les demandes qui doivent arrêter la conversation

Arrêtez si le message, ou l’appel qui le suit, demande l’une de ces choses. Ensuite, allez chercher la banque par l’application, par le site ou par le numéro que vous avez trouvé vous-même :

• Un mot de passe, de n’importe quelle sorte, entier ou en morceaux.
• Le code de validation qui vient d’arriver sur votre téléphone.
• L’installation d’une application envoyée par lien pour réparer le problème.
• Un virement vers un compte présenté comme sécurisé, temporaire ou ouvert à votre nom. N’envoyez rien avant d’avoir confirmé la demande dans le canal officiel.
• Un accès à distance à votre téléphone ou à votre ordinateur, ou un partage d’écran pendant l’appel.
• Le code secret de votre carte, ou la remise de la carte à un coursier. Cette demande revient dans les fiches de Cybermalveillance.gouv.fr, et aucune banque ne la fait.

Ne restez pas dans la même conversation pour demander si la demande est authentique. Le canal qu’on vous a tendu fait partie de ce qui doit être vérifié. C’est le même mécanisme que celui décrit dans le vishing, du côté de l’appel.

Comment juger n’importe quel autre SMS douteux

Les mêmes messages arrivent au nom de boutiques, de transporteurs, de services de péage et d’administrations, souvent sous la forme de petits frais à régler pour un colis prétendument bloqué. L’entreprise citée change ; la vérification, non.

Quand un message inattendu apporte de l’urgence ou demande quelque chose, déroulez ceci :

1. Séparez l’alerte de l’action. Une phrase alarmante crée la précipitation. Regardez si la solution proposée passe par un lien, une réponse, un appel, un code, une installation ou un paiement.
2. Vérifiez l’histoire dans un canal que vous avez trouvé vous-même, jamais celui qui est arrivé à l’intérieur du message.
3. Repérez ce qui sortirait de votre contrôle. N’envoyez ni argent, ni code, ni document, et n’installez rien avant que la demande soit confirmée.
4. Vérifiez le délai dans le canal officiel. Un délai très court sert souvent à vous empêcher de vérifier. L’horloge du message n’est pas la preuve qu’il faut agir par lui.

La même méthode, appliquée à un message, à un appel ou à une boutique, est détaillée dans comment savoir si c’est une arnaque.

Si vous avez déjà cliqué

Cliquer arrive, y compris à des gens attentifs. La suite dépend de ce que vous avez fait après. La faute revient à celui qui a monté la fraude, et ce qui est utile maintenant, c’est de limiter ce qui peut encore se passer.

1. Dans la première heure, appelez votre banque si vous avez donné des identifiants, un numéro de carte ou un code. Prenez le numéro au dos de votre carte. Dites le mot fraude, demandez l’arrêt de tout paiement en attente et la refabrication de la carte.
2. Si des données de carte sont parties, faites opposition maintenant. Par l’application, par le numéro au dos de la carte, ou par le serveur interbancaire d’opposition au 0 892 705 705. Conservez le numéro d’enregistrement qui vous est donné. Ensuite, si vous avez toujours votre carte et que l’opposition est faite, signalez les achats frauduleux sur Perceval, le téléservice du ministère de l’Intérieur. Ce n’est pas une plainte : c’est un signalement qui vous renvoie un récépissé, utile auprès de la banque. Pour une opération que vous n’avez pas autorisée, service-public.gouv.fr rappelle que la banque doit rembourser immédiatement, au plus tard à la fin du premier jour ouvrable suivant votre contestation, et que le délai pour contester est de 13 mois.
3. Si la page est encore ouverte, fermez-la sans remplir de champ, sans télécharger de fichier et sans accepter d’autorisation.
4. Si vous avez tapé un mot de passe, changez-le sur le vrai site, depuis un appareil de confiance, et changez-le partout où vous utilisiez le même. Activez au passage la double authentification.
5. Si vous avez installé quelque chose, arrêtez d’utiliser cet appareil pour vos comptes, déconnectez-le d’internet et contactez les services concernés depuis un autre appareil.
6. Si un virement est déjà parti, prévenez la banque immédiatement et dites que c’est une fraude. Un virement que vous avez validé vous-même est difficile à récupérer, et la suite est expliquée dans que faire après une arnaque au virement instantané.
7. Gardez tout. Le message, l’adresse du lien, l’heure, et tous les justificatifs.

Rien de tout cela ne dit quoi que ce soit sur la personne qui a cliqué. Ces messages sont écrits pour ressembler à ceux que vous recevez déjà, et ils arrivent un matin comme un autre, au milieu du reste.

Questions fréquentes sur les faux SMS bancaires