Elle a validé sur son téléphone l’opération que son conseiller lui dictait : 8 400 euros sont partis, et c’est une phrase de l’appel qui décide si la banque rembourse

Elle a suivi les instructions à la lettre, ouvert son application bancaire, appuyé là où la voix au téléphone lui disait d'appuyer. Résultat : 8 400 euros envolés en quelques minutes, un compte vidé sans qu'aucun code secret n'ait jamais été demandé. Et c'est une phrase précise, prononcée pendant cet appel, qui va déterminer si la banque rembourse ou non.

Le numéro affiché sur son écran était pourtant le vrai numéro de son agence.

C'est là tout le piège : la technique dite de spoofing téléphonique permet à un appelant de choisir librement ce qui s'affiche sur le téléphone du destinataire, y compris le numéro exact d'une banque, d'une administration ou d'un service public. Le réflexe enseigné depuis vingt ans, celui qui consiste à vérifier le numéro avant de décrocher, ne protège plus de rien face à cette manipulation. Le spoofing téléphonique est une menace qui exploite la confiance du client en sa banque pour provoquer des virements frauduleux, et la jurisprudence récente s'oriente vers une protection du client tant l'efficacité de ces stratagèmes met la victime dans l'incapacité de déceler la fraude. Un numéro juste n'est donc plus une garantie, c'est parfois l'appât lui-même.

Des informations trop justes pour être fausses

L'escroc n'improvise jamais son entrée en matière. Il connaît le nom du client, l'agence de rattachement, parfois les derniers débits ou un ordre de grandeur du solde. Cette précision-là désarme plus sûrement qu'un accent professionnel ou un ton rassurant.

Les fraudeurs utilisent des données personnelles supplémentaires pour renforcer la crédibilité de leurs messages, un faux message étant plus convaincant lorsqu'il contient une information réelle sur la personne visée. Ces données proviennent le plus souvent d'une fuite antérieure ou d'un hameçonnage passé, parfois sans lien direct avec la banque elle-même.

Une exactitude qui rassure, mais qui ne prouve rien du tout.

Le vrai but n'est jamais un code

Contrairement à l'image classique de l'arnaque au SMS, l'escroc au faux conseiller ne réclame presque jamais un code reçu par texto. Il vise autre chose : faire valider une opération directement depuis l'application bancaire, en la présentant comme une annulation ou une mise en sécurité des fonds. La fraude par manipulation consiste pour le fraudeur à faire valider les paiements frauduleux par la victime elle-même, en prétextant des opérations de mise en sécurité des fonds ou d'annulation d'opérations en cours.

Dans la quasi-totalité des cas, c'est la victime elle-même qui valide l'opération, empreinte digitale ou visage à l'appui sur son téléphone. Ce mécanisme a explosé récemment : ce type d'escroquerie représentait 21,6 % de la fraude aux moyens de paiement en 2021, contre 41,6 % en 2025, avec une accélération nette de 34 % sur la seule dernière année. Le montant en jeu dépasse désormais le demi-milliard d'euros par an à l'échelle nationale. Une progression que même les autorités monétaires qualifient d'inhabituellement rapide.

Valider une opération n'est donc jamais un geste anodin, même quand la voix au bout du fil semble tout savoir de vous.

Trois phrases qu'une banque ne prononce jamais

Certaines formulations trahissent immédiatement l'arnaque, à condition de savoir les repérer sur le moment.

• « Pour annuler cette opération frauduleuse, validez celle que je vous envoie maintenant »
• « Donnez-moi le code que vous venez de recevoir, c'est pour la sécuriser »
• « Ne raccrochez surtout pas, restez en ligne pendant la manipulation »

Un vrai conseiller ne demande jamais de valider quoi que ce soit en urgence pendant un appel entrant, et il n'a jamais besoin d'un code que la banque possède déjà de son côté. L'insistance à garder la ligne ouverte, elle, sert surtout à empêcher la victime de raccrocher et de vérifier ailleurs.

Le seul réflexe qui fonctionne

Raccrocher, toujours. Puis rappeler soi-même, depuis un autre appareil si possible, le numéro imprimé au dos de la carte bancaire.

Ce numéro-là ne peut pas être usurpé dans l'autre sens : c'est vous qui composez, pas l'inverse. L'opposition à la carte ou au compte peut être demandée à tout moment, de jour comme de nuit, dès le moindre doute sur une opération en cours. Attendre le lendemain matin pour vérifier, c'est laisser le temps à l'argent de transiter par plusieurs comptes intermédiaires, souvent à l'étranger. Le premier réflexe utile n'est donc jamais de répondre aux questions du correspondant, c'est de couper court et de reprendre la main sur l'appel.

Un appel entrant ne prouve jamais rien, même quand il semble parfaitement légitime.

Ce qui décide vraiment du remboursement

La loi distingue deux situations qui se ressemblent en apparence mais qui n'ont rien à voir juridiquement. Le régime issu du Code monétaire et financier, transposant les directives européennes sur les services de paiement, repose sur un principe protecteur : toute opération non autorisée doit être remboursée immédiatement. Le remboursement doit intervenir au plus tard à la fin du premier jour ouvrable suivant le signalement.

Le problème, c'est que la banque considère souvent l'opération comme autorisée dès lors que le client a lui-même appuyé sur « valider » dans son application. Les établissements bancaires opposent alors fréquemment l'article L. 133-19 IV du Code monétaire et financier, soutenant que le client aurait commis une négligence grave justifiant le refus de remboursement.

La Cour de cassation a pourtant jugé, dans un arrêt du 1er juin 2023, qu'un virement dont les coordonnées bancaires du bénéficiaire ont été falsifiées après émission ne peut être considéré comme autorisé, le consentement n'ayant pas porté sur le bénéficiaire réel. C'est exactement ce qui se joue dans le faux conseiller bancaire : le client a validé une action, mais pas celle qu'il croyait valider. La contestation écrite doit donc préciser deux choses, l'absence de toute demande de code confidentiel pendant l'appel et le fait que l'opération a été présentée comme une annulation ou une sécurisation, jamais comme un virement sortant. Ce détail-là, sur le papier, peut faire toute la différence entre un remboursement obtenu et un refus.

Le signalement d'une opération non autorisée peut être fait dans un délai de treize mois après le débit.

La Banque de France, par la voix de son Observatoire de la sécurité des moyens de paiement, a présenté début septembre 2026 son dixième rapport annuel sur le sujet. Des mesures de prévention ont été engagées avec les opérateurs de téléphonie, notamment sur l'authentification des numéros appelants, tandis qu'une campagne nationale de sensibilisation a rappelé aux consommateurs les bons réflexes à adopter. De quoi limiter la casse, sans doute, mais pas encore de quoi rendre le numéro affiché digne de confiance.

Sources : banque-france.fr | tresor.economie.gouv.fr | assemblee-nationale.fr