Un faux conseiller m’a appelé en citant mes vraies opérations bancaires : le détail qui le trahissait, je ne l’ai vu que trop tard

Le numéro affiché est bien celui de votre banque. La voix est posée, professionnelle, rassurante. Et l'inconnu au bout du fil cite votre nom, votre adresse, et ce virement de 340 euros passé trois jours plus tôt. Le scénario est si précis qu'il paraît irréfutable. C'est exactement là que tout bascule.

Les escrocs ne se contentent plus d'émettre des appels au hasard. Ils exploitent des données clients volées, reproduisent des interfaces bancaires à l'identique et utilisent des techniques de spoofing pour afficher le vrai numéro de la banque. Cette arnaque a un nom : le vishing (contraction de "voice" et "phishing"), et elle progresse à une vitesse qui donne le vertige. Le baromètre 2024/2025 de Cybermalveillance.gouv.fr indique que les signalements pour escroquerie au faux conseiller bancaire ont bondi de 78 %. Derrière ce chiffre brut : la Banque de France comptabilise 280 000 comptes victimes par an, pour un coût total de 5,14 milliards d'euros en 2024.

Comment ils savent tout de vous avant même que vous décrochiez

La question qui taraude toutes les victimes est toujours la même : comment ont-ils pu connaître mes opérations ? La réponse est froide et mécanique. Les cyberattaques massives de 2024 ont mis sur le marché noir des millions d'informations personnelles. Free (24 millions de clients touchés, dont 5 millions d'IBAN), France Travail (36,8 millions de personnes), Boulanger, Cultura... Ces données circulent désormais sur le dark web.

Les escrocs achètent d'abord les coordonnées des victimes sur le darknet, puis les appellent en se faisant passer pour un conseiller bancaire. Ils utilisent des informations sur leur victime pour la mettre en confiance, comme des détails sur ses comptes bancaires ou sur d'autres aspects de sa vie privée. Les dernières transactions, elles, peuvent provenir d'une combinaison de sources : base de données volée auprès d'un prestataire de paiement, fuite chez un commerçant en ligne, ou simple recoupement entre plusieurs fuites antérieures. Avec votre nom, adresse, date de naissance, email et numéro de téléphone, ils peuvent construire des scénarios ultra-crédibles. Et quand ils ont aussi votre IBAN, l'arnaque devient presque parfaite.

Ce qui rend le piège particulièrement retors, c'est la couche technologique par-dessus tout ça. La méthode repose sur une illusion technologique redoutable, baptisée "spoofing". Grâce à cette usurpation d'identité numérique, les escrocs contournent les filtres habituels. Votre téléphone sonne et l'écran affiche avec exactitude le numéro de votre agence locale ou du service dédié aux fraudes. Le résultat : leur objectif est de vous mettre en confiance afin de vous faire valider une ou plusieurs opérations sur votre application ou d'obtenir des informations sensibles comme vos données de carte bancaire, vos identifiants et vos codes d'accès.

Le détail qui aurait tout changé

Voici ce que les victimes rapportent presque toutes après coup : l'escroc connaissait les opérations passées, mais il ne connaissait pas les opérations en cours au moment de l'appel. Il citait des transactions de la semaine précédente, jamais celles de la veille au soir. Un vrai conseiller bancaire, lui, voit votre compte en temps réel.

Mais le signe le plus révélateur reste comportemental. Signaux d'alerte : ton alarmiste, pression pour répondre immédiatement, demande de code confidentiel, invitation à valider une opération, appel insistant, interlocuteur refusant que vous raccrochiez pour rappeler votre banque vous-même. Ce dernier point est décisif. Un vrai conseiller ne s'oppose jamais à ce que vous raccrochiez pour le rappeler. L'escroc, lui, fait tout pour vous maintenir en ligne, car il sait que la seconde où vous posez le téléphone, le charme se brise.

Contrairement aux arnaques par email ou SMS, qui laissent le temps de réfléchir, l'instantanéité d'un appel téléphonique vous force à réagir immédiatement. C'est précisément ce que les fraudeurs exploitent : ils affirment qu'un paiement suspect, un virement anormal ou une tentative de piratage est en cours, puis vous demandent d'agir dans l'urgence. La pression temporelle court-circuite le jugement. On ne réfléchit plus, on obéit.

L'usage massif de l'IA produit des messages sans fautes, avec un ton adapté au profil. Certaines opérations combinent SMS et appel : un SMS rassure, un appel vérifie, un second SMS valide l'opération frauduleuse. La sophistication de la mise en scène n'a plus rien à voir avec les tentatives grossières d'il y a dix ans.

Le réflexe qui coupe court à tout

Face à un appel aussi bien préparé, un seul geste suffit à déjouer le piège. La Fédération bancaire française préconise une méthode verbale très directe. Prononcez simplement la phrase : "Je raccroche et je vous rappelle immédiatement sur le numéro officiel de la banque." Si votre interlocuteur cherche à vous en dissuader, c'est un escroc. Sans exception.

Règle d'or : votre banque ne vous demandera jamais votre code de carte ou de validation SMS. Si on vous le demande, raccrochez et rappelez votre banque via le numéro officiel au dos de votre carte. Ce numéro, pas celui affiché sur l'écran au moment de l'appel entrant, que le spoofing peut avoir falsifié.

Si vous avez déjà fourni des informations ou validé une opération, demandez la réinitialisation immédiate de vos identifiants si les escrocs ont accédé à votre espace en ligne. Gardez tout : historique d'appels, SMS reçus, notifications bancaires, relevés de compte. Ces éléments seront essentiels pour votre plainte et votre demande de remboursement. La Cour de cassation a confirmé en octobre 2024 que les victimes de spoofing ne peuvent pas se voir reprocher une "négligence grave". Aucune négligence grave ne peut être imputée au client lorsque le mode opératoire (spoofing du numéro officiel, mise en confiance, urgence simulée) a précisément pour effet de diminuer sa vigilance. La jurisprudence, au moins, a suivi la réalité du terrain.

Une évolution technique mérite d'être signalée pour finir : depuis le 1er janvier 2026, la règle se durcit, un appel émis depuis l'étranger avec un numéro mobile français qui ne peut être authentifié s'affiche automatiquement en "numéro masqué". Cette mesure complique sérieusement la tâche des fraudeurs qui imitaient jusqu'ici le numéro d'une banque. Un filet de plus dans le dispositif, mais les escrocs s'adaptent vite, et les appels passés depuis des numéros français compromis restent hors de ce filtre. La vigilance, elle, ne se délègue pas à la réglementation.

Sources : planet.fr | marseille.quechoisirensemble.fr