Plus personne ne valide une opération dans son application pendant un appel : voici ce qu’un vrai conseiller ne demande jamais

Un appel arrive avec le numéro exact de votre agence affiché à l'écran. Une voix professionnelle évoque un virement suspect en cours et demande de le bloquer d'urgence. En 2026, cette mise en scène représente l'une des arnaques bancaires les plus redoutables et les plus répandues en France, selon les fiches réflexes publiées par cybermalveillance.gouv.fr.

Le montant moyen dérobé s'élève à 3 000 euros par victime, ce qui en fait la fraude par manipulation la plus coûteuse du secteur. Le scénario varie peu d'un cas à l'autre, ce qui trahit une organisation rodée plutôt qu'une improvisation isolée.

Le détail qui trahit l'appel, sans exception

Un conseiller réel ne bloque jamais une fraude en vous faisant valider quoi que ce soit. Pourtant c'est exactement ce que propose le faux conseiller : confirmer un code reçu par SMS, qui ne bloque rien mais valide au contraire un virement réel vers le compte de l'escroc.

Cette inversion logique constitue la faille imparable du procédé. Pour « annuler » l'opération, l'interlocuteur demande de lire un code reçu par SMS, ou de valider une notification sur l'application, alors que ce code confirme un virement bien réel, déjà initié en parallèle grâce à un identifiant et un mot de passe obtenus au préalable.

Le spoofing téléphonique reste la technique dominante. L'arnaqueur appelle en affichant le numéro de l'agence ou du conseiller habituel, une prouesse technique qui rassure instantanément la victime.

Ce qu'une banque ne demande jamais

La règle tient en une phrase, martelée par les centres régionaux de cybersécurité : une vraie banque ne demandera jamais les codes secrets ou un virement pour « sécuriser » un compte. Aucune exception, aucune urgence ne justifie une entorse à ce principe.

Trois demandes doivent déclencher l'alarme immédiate : communiquer un mot de passe au téléphone, lire un code de validation à voix haute, ou confirmer une opération dans l'application bancaire pendant l'appel. Aucun de ces gestes n'a jamais fait partie d'une procédure anti-fraude légitime.

Depuis janvier 2026, les appels internationaux passés avec un numéro mobile français non authentifié s'affichent en principe comme masqués. Mais les escrocs contournent déjà ce garde-fou en utilisant des numéros mobiles et en ajoutant parfois le nom de la banque à côté du numéro affiché.

Le délai légal pour contester et la charge de la preuve

Le cadre juridique est fixé par le code monétaire et financier. L'utilisateur doit signaler sans tarder l'opération non autorisée, au plus tard dans les treize mois suivant la date de débit, sous peine de forclusion.

Ce délai de treize mois ne concerne que le signalement à la banque, pas l'action en justice qui suit. La chambre commerciale de la Cour de cassation l'a rappelé dans un arrêt du 2 juillet 2025 : le délai concerne uniquement le signalement de l'opération contestée, et non l'engagement de l'action en justice ; en signalant dans le délai imparti, le client peut agir en paiement dans le délai de droit commun.

Sur la preuve, l'obligation de remboursement pèse sur l'établissement. L'article L. 133-18 du code monétaire et financier impose à la banque de rembourser toute opération de paiement non autorisée, sauf à démontrer une négligence grave du client. Ce renversement protège structurellement la victime face à un établissement qui voudrait s'exonérer trop vite.

La marche à suivre dans les premières heures

Raccrocher reste le premier réflexe, avant même de vérifier quoi que ce soit. Il faut appeler la banque via le numéro officiel figurant au dos de la carte bancaire, sans jamais rappeler le numéro qui a servi à l'appel frauduleux.

Vient ensuite une série de gestes techniques à enchaîner sans attendre : demander le blocage immédiat de la carte, changer les codes d'accès à l'espace bancaire en ligne, puis contester formellement les opérations litigieuses auprès de l'agence. Un signalement écrit, daté et détaillé (heure de l'appel, propos tenus, montants évoqués) facilite ensuite toute démarche de remboursement.

Le numéro frauduleux mérite aussi d'être transmis aux autorités. Il est possible de signaler le numéro utilisé au 33700, qui alimente la base des numéros frauduleux consultée par les opérateurs, une démarche gratuite et rapide qui contribue à freiner la propagation de la fraude.

Ce que la jurisprudence récente a changé pour les victimes

Un arrêt de la Cour de cassation daté du 23 octobre 2024 a rebattu les cartes en faveur des victimes de spoofing téléphonique. La Cour a estimé que la victime ne peut se voir reprocher d'avoir commis une négligence grave en suivant les consignes d'un faux conseiller, même lorsqu'elle a elle-même déclenché l'opération.

Cette décision reconnaît implicitement ce que confirment tous les témoignages : le procédé est conçu pour tromper une personne diligente, pas seulement une personne inattentive. La Cour de justice de l'Union européenne a complété ce cadre par un arrêt du 1er août 2025, précisant que le délai de signalement de treize mois reste un délai « glissant », qui court à partir du moment où le titulaire du compte a connaissance de la fraude, et non depuis la date du débit lui-même dans certaines configurations.

Un détail mérite d'être connu avant de raccrocher au moindre appel suspect : l'usurpation de numéro n'exige aucun accès au réseau de la banque. Elle repose sur des logiciels de télécommunication disponibles à bas coût sur internet, ce qui explique pourquoi l'affichage d'un numéro exact ne prouve strictement rien sur l'identité réelle de l'appelant.

Sources : economie.gouv.fr | lemag-juridique.com | assemblee-nationale.fr