L’ingénierie sociale : pourquoi les arnaques marchent sur tout le monde

Pourquoi cela marche sur tout le monde

La plus grande partie de ce qu’une personne fait dans une journée est automatique, et il faut bien que ce soit le cas. Quand une situation ressemble à quelque chose de connu, comme un avis de la banque ou une demande d’un proche, personne ne s’arrête pour examiner chaque détail, et l’escroc construit son histoire pour qu’elle prenne cette forme. Cybermalveillance.gouv.fr décrit le même mécanisme dans sa fiche sur l’hameçonnage : une demande urgente, une conséquence annoncée si vous n’agissez pas, et un canal que vous n’avez pas choisi.

L’ampleur du phénomène dit quelque chose de son efficacité. Dans son rapport d’activité 2025, publié le 26 mars 2026, Cybermalveillance.gouv.fr compte plus de 500 000 victimes assistées, en hausse de 20 % par rapport à 2024, et place l’hameçonnage au premier rang des menaces, tous publics confondus, en augmentation de 70 %. Ces demandes viennent de tous les âges et de tous les milieux. Se faire prendre dans une de ces conversations n’est pas un défaut personnel. La faute revient à celui qui la mène, à chaque fois.

Le nom fait technique, mais la situation est en général très ordinaire : un appel qui semble venir de la banque, un message d’un proche depuis un nouveau numéro, quelqu’un qui propose de l’aide pour un problème d’ordinateur, ou une somme à régler vite.

Comment la confiance se construit

La conversation s’ouvre souvent sur quelque chose d’exact, sur un ton professionnel ou sur un petit service rendu. La demande arrive plus tard, une fois le cadre posé. L’autorité, la sympathie, la peur, l’urgence et le secret servent tous à réduire le nombre de questions qu’une personne poserait normalement.

Le secret est celui que l’on sous-estime le plus. Une demande de ne rien dire à personne, présentée comme une enquête en cours ou comme une gêne à éviter, existe pour vous empêcher de raconter l’histoire à voix haute à quelqu’un d’autre. Or la raconter à voix haute est justement ce qui y met fin, la plupart du temps.

Cet exemple est inventé. Il reprend une situation qui existe vraiment, sans copier le discours, la charte ni le numéro d’un établissement réel.

De vraies informations sur vous ne prouvent aucune identité

Un nom, un numéro de téléphone, une adresse, les quatre derniers chiffres d’une carte, le nom d’un achat récent : tout cela peut venir d’un fichier commercial, d’un registre public, d’un profil en ligne ou d’une fuite de données. La CNIL décrit ce risque dans ses conseils en cas de fuite ou de vol de données : un courriel ou un SMS frauduleux vous paraîtra réaliste justement parce qu’il utilise les données récupérées lors de la fuite. Cybermalveillance.gouv.fr note de son côté qu’un nombre croissant de messages d’hameçonnage sont personnalisés avec les informations du destinataire.

La conversation elle-même en livre davantage. Quand quelqu’un demande si vous reconnaissez un achat de 2 400 euros, n’importe quelle réponse l’aide à ajuster son histoire, et une correction de votre part remplit une case qu’il n’avait pas. C’est pour cela qu’un interlocuteur qui sait des choses sur vous n’est pas pour autant identifié.

Alors n’authentifiez pas une personne par ce qu’elle sait. Authentifiez le canal : mettez fin au contact et rejoignez l’établissement par un numéro ou une application que vous aviez déjà. La CNIL recommande exactement ce réflexe, en conseillant de saisir soi-même l’adresse du site officiel dans le navigateur plutôt que de cliquer sur un lien reçu.

Les formes les plus courantes

N’importe quel échange peut la porter : en personne, au téléphone, par e-mail ou par un compte de réseau social. Dans les arnaques qui visent l’argent des particuliers, quelques formes reviennent sans arrêt.

• Un motif de contact inventé : un achat suspect, un problème de dossier, un proche en difficulté. C’est la base du faux service antifraude qui vous appelle.
• L’appât : un gain, une remise énorme, un travail facile ou de l’argent qui vous attendrait, avec un lien à ouvrir ou des frais à régler pour le débloquer. Cela revient sans cesse dans les faux e-mails et faux messages.
• L’aide qu’on ne vous a pas demandée : quelqu’un se présente comme le support technique d’un problème que vous ne connaissiez pas et vous fait installer un logiciel ou dicter un code. Cybermalveillance.gouv.fr décrit ce montage dans sa fiche sur l’arnaque au faux support technique.
• En personne : un coursier envoyé récupérer une carte ou de l’argent à votre porte, ou une collecte pour une cause qui n’existe pas. Cette version fait partie des arnaques à l’usurpation d’identité depuis longtemps et elle n’a pas disparu.
• Un SMS très court : un colis, une amende, un compte sur le point d’être bloqué, ce qui est exactement ce que veut dire le smishing.
• Une consigne de paiement qui change : une facture que vous attendiez arrive avec de nouvelles coordonnées bancaires, ou un vendeur vous demande de changer de moyen de paiement au dernier moment.

Sur ce dernier point, quelque chose a changé en France. Depuis le 9 octobre 2025, les banques de la zone euro proposent gratuitement la vérification du bénéficiaire : au moment du virement, votre banque compare le nom que vous avez saisi avec celui qui correspond vraiment à l’IBAN. Le service public d’information bancaire explique que le résultat peut être une concordance exacte, une concordance partielle ou une absence de concordance, et que vous gardez la main pour modifier votre ordre de virement, l’annuler ou le maintenir. Un avertissement de ce genre, au moment où quelqu’un vous presse, vaut la peine qu’on s’arrête. Et si vous maintenez le virement malgré l’alerte, vous prenez le risque de créditer le compte de quelqu’un d’autre.

Les situations où elle apparaît

• un interlocuteur qui insiste pour que la ligne reste ouverte pendant que vous faites quelque chose ;
• un proche sur un nouveau numéro qui demande de l’argent : Cybermalveillance.gouv.fr documente cette version sous le nom d’escroquerie à l’enfant qui a un problème avec son téléphone ;
• un support technique qui arrive sans avoir été appelé ;
• un changement inattendu du compte sur lequel vous deviez payer ;
• une demande de secret, qui sert à vous empêcher d’en parler à une deuxième personne ;
• un moyen de paiement imposé : coupons de paiement prépayés, virement instantané vers un particulier, cryptomonnaie. Ce sont ceux qui se reprennent le plus difficilement.

Rien de tout cela ne transforme chaque conversation en fraude. Ces signaux marquent simplement le moment où il vaut la peine de sortir du scénario qu’on vous a mis dans les mains et de vérifier la situation autrement.

Comment casser la pression

Mettez fin au contact et choisissez vous-même l’étape suivante. Appelez le proche sur le numéro que vous aviez déjà, ouvrez l’application bancaire que vous avez installée, ou trouvez le numéro de l’entreprise sur un relevé ou au dos d’une carte. Vous n’avez pas à discuter, à vous expliquer, ni à prouver à la personne que vous avez remarqué quelque chose.

Une pause est la défense la moins chère qui existe. Presque rien de vrai ne s’aggrave parce que vous avez attendu dix minutes et rappelé, et presque tout ce qui est faux s’effondre dans ce délai.

Il est utile aussi de se mettre d’accord en famille avant que cela n’arrive : un mot que l’on demande quand de l’argent est réclamé dans l’urgence, l’accord que personne n’envoie de paiement sur la seule foi d’un message, et l’habitude de rappeler l’ancien numéro pour vérifier. Cybermalveillance.gouv.fr donne le même conseil face aux messages du type un proche a changé de numéro : appelez directement la personne sur son numéro habituel pour faire confirmer le message reçu.

Si vous avez déjà donné une information ou de l’argent

1. Appelez votre banque tout de suite, par l’application ou par le numéro au dos de votre carte, et racontez ce qui s’est passé. Demandez ce qui est possible pour le moyen de paiement utilisé, parce qu’un paiement par carte, un virement que vous avez validé et un prélèvement ne sont pas dans la même situation. Pour une opération que vous n’avez pas autorisée, service-public.gouv.fr rappelle que la banque doit rembourser immédiatement, au plus tard à la fin du premier jour ouvrable suivant la contestation, et que le délai pour contester est de 13 mois. Pour un virement que vous avez validé vous-même, même trompé, l’argent ne peut pas être repris sans l’accord de celui qui l’a reçu.
2. Si vous avez donné un mot de passe ou un code, changez le mot de passe dans l’application ou sur le site officiel et activez la double authentification, qui demande une confirmation en plus du mot de passe. Si le code concernait un compte de messagerie ou de discussion, commencez par celui-là et prévenez vos contacts par un autre canal.
3. Si vous avez installé quelque chose pendant la conversation, déconnectez cet appareil d’internet, servez-vous d’un autre pour votre banque et vos mots de passe, et fermez dans les réglages de vos comptes les appareils connectés que vous ne reconnaissez pas.
4. Prévenez votre entourage par un autre canal, pour que personne ne réponde à une demande d’argent faite en votre nom, et pour qu’ils sachent que le compte est peut-être entre d’autres mains.
5. Faites les démarches. La plainte se dépose en commissariat ou en brigade de gendarmerie, et une partie des escroqueries en ligne se dépose directement sur THESEE. Si votre carte est restée en votre possession et que l’opposition est faite, signalez les achats frauduleux sur Perceval. Si un site marchand est en cause, signalez-le sur SignalConso. 17Cyber vous guide sur la suite, Info Escroqueries répond au 0 805 805 817 et France Victimes accompagne gratuitement au 116 006. En cas de danger immédiat, ce sont le 17 et le 112.
6. Si vos données personnelles ont circulé, la CNIL conseille de changer en priorité les mots de passe des services sensibles, de surveiller vos comptes, et de vérifier auprès du fichier des comptes bancaires, accessible depuis votre espace sur impots.gouv.fr, qu’aucun compte n’a été ouvert à votre nom.

Une dernière chose, parce que les gens la portent longtemps après : ces conversations sont montées par des personnes qui en vivent, qui les corrigent en permanence et qui servent le même texte à des milliers d’autres. Se retrouver en face d’un bon scénario ne dit rien de votre jugement.

Questions fréquentes sur l’ingénierie sociale