Ton téléphone sonne. Au bout du fil, une voix calme et professionnelle annonce qu’elle appelle de ta banque pour bloquer une tentative de fraude en cours sur ton compte. L’interlocuteur connaît ton nom, parfois le numéro des derniers chiffres de ta carte, et te guide étape par étape pour « sécuriser » ton compte. C’est l’arnaque au faux conseiller bancaire, l’une des plus redoutables de 2026, parce qu’elle joue sur la confiance et l’urgence en même temps.
Les techniques se sont affinées : usurpation du numéro affiché, données de la victime achetées au préalable sur les fuites massives, scénario rodé. On résume ce qu’il faut savoir pour ne pas se faire piéger, et que faire si tu es déjà tombé dans le panneau.
L’essentiel
Aucune banque ne te demandera jamais de dicter un code de validation reçu par SMS, ni de transférer de l’argent vers un « compte sécurisé », ni de divulguer ton mot de passe d’accès à ton application. Ces demandes sont à chaque fois frauduleuses.
Si tu as un doute : raccroche et rappelle ta banque toi-même, via le numéro au dos de ta carte ou dans ton application officielle. Aucun vrai conseiller ne te reprochera de vérifier.
Si tu as déjà donné des informations : opposition immédiate, plainte sur cybermalveillance.gouv.fr, signalement au 33 700 pour les SMS associés.
Comment l’arnaque fonctionne
Le faux conseiller s’appuie sur trois piliers. Premier pilier : la connaissance de tes données. Ton nom, ton numéro de portable, parfois des fragments de tes coordonnées bancaires ont fuité d’une base d’un site marchand piraté et circulent sur le dark web. L’attaquant les achète, les croise, et a en main de quoi te paraître crédible dès les premières secondes.
Deuxième pilier : l’usurpation du numéro. Via une technique appelée « spoofing », l’appel affiche le vrai numéro du service client de ta banque. C’est techniquement faux (l’appel vient d’un central VoIP à l’étranger), mais ton téléphone ne fait pas la différence. Tu vois le numéro de la BNP ou du Crédit Agricole, tu décroches en confiance.
Troisième pilier : le scénario d’urgence. L’attaquant t’annonce qu’une fraude est en cours sur ton compte (achat à l’étranger, virement vers un IBAN inconnu) et que pour la bloquer, tu dois suivre ses instructions sans délai. Il te fait dicter des codes SMS reçus pour « annuler » les opérations frauduleuses. Ces codes sont en fait des validations de transactions qu’il déclenche en parallèle vers son propre compte ou des comptes mules.
Les cinq signaux qui doivent t’alerter
- On te demande de dicter un code reçu par SMS. C’est la frontière à ne jamais franchir, quelle que soit la justification donnée. Aucun vrai service client ne demande ce code. Si tu le donnes, tu valides une transaction de l’autre côté.
- On te presse de transférer de l’argent vers un compte « sécurisé ». Ce compte sécurisé n’existe pas. Tout virement initié pendant l’appel part chez les attaquants.
- On te demande ton mot de passe d’accès à ton appli bancaire. Ta banque ne le demande jamais, parce qu’elle ne le connaît pas (il est haché côté serveur).
- L’interlocuteur refuse que tu raccroches pour rappeler. « Si vous raccrochez, la fraude se poursuit ». C’est faux. Un vrai conseiller te dira de rappeler par sécurité. Un escroc te retient.
- La pression émotionnelle. Ton interlocuteur joue sur l’angoisse de perdre des milliers d’euros si tu n’agis pas dans la minute. C’est un levier psychologique classique pour t’empêcher de réfléchir.
Si tu as donné des informations
Tu as dicté des codes SMS
Rappelle ta banque sans délai via le numéro au dos de ta carte, demande le blocage de toutes les opérations en cours et l’opposition sur la carte. Documente chaque opération frauduleuse via un relevé. La loi française (article L. 133-19 du Code monétaire et financier) impose à la banque de te rembourser sauf preuve de négligence grave de ta part. Une plainte formalisée renforce ton dossier de remboursement.
Tu as transféré de l’argent vers un compte indiqué
Même réflexe : rappeler ta banque, lui transmettre l’IBAN destinataire et la référence du virement. Si la transaction n’est pas encore exécutée (en attente, prélèvement futur), la banque peut l’annuler. Si elle est partie, elle peut tenter une procédure de rappel auprès de la banque destinataire dans les 24 à 48 heures suivant l’envoi. Plus tu attends, plus les chances de récupération diminuent.
Comment t’en protéger
La règle absolue : ne donne jamais un code reçu par SMS à un interlocuteur, quel qu’il soit. Si quelqu’un te le demande, il te fait participer à sa fraude, point. C’est l’unique règle à mémoriser. Toutes les variantes (faux conseiller, faux opérateur, faux service client) reposent sur ce point de bascule.
Au-delà : un gestionnaire de mots de passe avec mots de passe uniques par compte limite l’efficacité des fuites de données. Si ton mot de passe Cdiscount fuite, l’attaquant ne pourra pas tester ce même mot de passe sur ta banque. Et un antivirus à jour sur ton PC bloque la plupart des malwares qui aspirent les identifiants bancaires en arrière-plan.
Astuce simple : enregistre dans tes contacts le numéro officiel de ta banque, libellé en clair. Quand l’appel entre, tu vois « Banque service client » si c’est ton vrai contact, et un numéro brut si c’est un appel inconnu, même si l’attaquant a usurpé le numéro réel.
Questions fréquentes
Comment l’attaquant connaît-il mes données personnelles ?
Les bases de données fuitées circulent sur les marchés du dark web. Sites marchands compromis, opérateurs piratés, fuites massives chez des prestataires : des milliards de couples email-numéro-nom sont en circulation. Tu peux vérifier si ton email apparaît dans les fuites connues sur le site Have I Been Pwned.
Ma banque va-t-elle me rembourser ?
En théorie oui : l’article L. 133-19 du Code monétaire et financier impose le remboursement sauf négligence grave. En pratique, certaines banques opposent la négligence (dicter un code SMS étant souvent qualifié ainsi) pour refuser. Une plainte au pénal, un courrier recommandé, et le cas échéant l’intervention du médiateur bancaire ou de la Fédération bancaire française font évoluer le dossier.
Peut-on bloquer ces appels usurpés ?
L’usurpation du numéro reste techniquement possible aujourd’hui sur le réseau téléphonique français. L’ARCEP travaille sur une norme STIR/SHAKEN qui authentifierait les appels, déployée petit à petit par les opérateurs depuis 2024. D’ici son déploiement complet, tu restes la dernière ligne de défense.
