Une octogénaire perd 50 000 euros en deux appels téléphoniques après un simple clic sur un faux lien. L’arnaqueur connaissait déjà son nom, sa banque et son IBAN. Cette attaque personnalisée révèle une nouvelle ère de la cybercriminalité alimentée par des fuites massives de données.
50 000 € vidés en deux appels : il connaissait son nom, sa banque et son IBAN avant même de décrocher
Par
Le lundi 13 avril 2026, une résidente octogénaire reçoit ce qui ressemble à un banal courriel de reprogrammation de livraison. Pensant simplement réorganiser la réception d'une commande, elle clique sur le lien frauduleux, initiant sans le savoir la première phase d'un piège soigneusement organisé. Quelques heures plus tard, un complice entre en scène par téléphone, se faisant passer pour un conseiller de son agence bancaire. Au terme de deux appels et d'une visite à domicile d'un faux coursier, la résidente de 80 ans lui confie sa carte bancaire ainsi qu'un lot de bijoux précieux. Bilan : 50 000 euros envolés. Ce fait divers n'est pas une anecdote isolée. C'est le signe d'une bascule.
À retenir
- Comment un escroc peut connaître vos informations bancaires avant même que vous décrochiez
- Les deux méga-fuites de données qui alimentent le marché noir des arnaqueurs français
- La psychologie redoutable du fraudeur qui se fait passer pour votre sauveur
Une hausse à trois chiffres qui n'a rien d'anecdotique
La fraude au faux conseiller bancaire poursuit une forte progression de +159 % avec quelques évolutions telles que l'hameçonnage au faux numéro d'opposition et le recours à WhatsApp pour abuser les victimes, selon le rapport d'activité 2025 de Cybermalveillance.gouv.fr. Malgré la médiatisation intensive et les campagnes de prévention des banques, la fraude au faux conseiller bancaire a ainsi atteint 15 000 demandes d'assistance chez les particuliers. Plus parlant encore : les fraudes au virement, en constante augmentation pour tous les publics depuis des années, se sont intensifiées de +170 % en 2025.
Ce qui a changé, ce n'est pas la technique de base, elle date. C'est le niveau de personnalisation de l'attaque. L'année 2026 franchit un nouveau palier dans les méthodes employées par les cybercriminels : finies les grossières fautes de syntaxe, place à des attaques personnalisées d'une précision redoutable. L'escroc qui appelle cette octogénaire connaissait son prénom, le nom de son agence, les derniers chiffres de son IBAN — avant même qu'elle décroche. Ce niveau de détail ne s'invente pas. Il se vole.
Free, France Travail : des millions de données qui alimentent les arnaques
D'où viennent ces informations ? De deux cyberattaques massives qui ont alimenté, depuis 2024, un marché noir d'une ampleur inédite en France.
En octobre 2024, l'opérateur Free a été victime d'un piratage massif ayant entraîné la fuite des données personnelles de près de 19 millions d'abonnés, dont 5 millions d'IBAN. Cette violation concernait notamment les noms, prénoms, adresses email et postale, dates et lieux de naissance, numéros de téléphone et, pour certaines personnes, les références du compte bancaire ou IBAN. Résultat concret : les IBAN volés ont été mis en vente sur le Dark Web, alimentant les craintes concernant la possibilité de fraudes à grande échelle.
Quelques mois plus tôt, c'était France Travail qui subissait une brèche d'une tout autre ampleur. Une attaque informatique a permis à des hackers d'accéder aux données de 36,8 millions de personnes, ce qui a valu à France Travail une condamnation à une amende de cinq millions d'euros par la CNIL. Les données personnelles ayant fuité comprenaient les noms et prénoms, numéros de sécurité sociale, identifiants France Travail, adresses mail et postales ainsi que les numéros de téléphone. Additionner les deux fuites donne un réservoir de données suffisant pour cibler n'importe qui en France avec une précision chirurgicale.
En exploitant ces fuites massives, le fraudeur récite le nom, l'adresse postale et parfois même les derniers chiffres de l'IBAN de sa victime. Certains fraudeurs se font ainsi passer pour le conseiller bancaire, gagnant la confiance de la victime par leur connaissance de ses données personnelles dont l'IBAN, pour lui faire effectuer ou confirmer une action en urgence, telle qu'un paiement. La crédibilité du scénario n'est plus construite sur la ruse orale : elle repose sur des faits réels, volés.
La mécanique du piège, décortiquée
En général, l'escroc appelle la victime ou l'incite à le contacter et se présente comme conseiller ou agent du service anti-fraude de sa banque. Il dispose souvent de nombreuses informations la concernant pour crédibiliser son arnaque : identité, adresse, coordonnées de carte bancaire, voire numéro de compte. Dans certains cas, il usurpe même un numéro de téléphone de sa banque. Cette dernière technique, le spoofing, est particulièrement redoutable : le fraudeur parvient à afficher le numéro officiel de l'établissement bancaire sur l'écran de la victime.
La séquence suit toujours le même schéma. L'escroc annonce un problème, opération suspecte sur le compte, incident de paiement, puis exige une action rapide : communiquer un code, valider une opération, effectuer un virement. Il insiste sur le caractère confidentiel de l'échange et déconseille de parler à un proche ou à l'agence. Ce dernier point est décisif. Pour asseoir son emprise, l'interlocuteur impose un isolement total, dictant des instructions strictes : "Il ne faut plus qu'elle décroche le téléphone et ne doit contacter personne." Cette consigne empêche la victime de valider la situation auprès d'un membre de sa famille ou de sa véritable agence.
Le fraudeur demande à la victime de lui communiquer des codes qu'elle reçoit par SMS ou lui fait confirmer des actions sur son application bancaire. Ces codes ou confirmations permettent en réalité à l'escroc de valider des opérations frauduleuses sur les comptes de la victime : achats par carte bancaire, ajout de bénéficiaire et virements. L'argent sort en quelques minutes. Deux appels. Cinquante mille euros.
L'arnaqueur cultive savamment l'effet "sauveur". À l'inverse d'un pirate classique qui tente visiblement de soutirer de l'argent, la personne au bout du fil se présente comme un allié protecteur, affirmant travailler pour annuler un fameux débit frauduleux imaginaire. C'est précisément ce retournement psychologique qui désarme les plus vigilants. Se méfier d'un agresseur, tout le monde sait faire. Se méfier de son "sauveur" est infiniment plus difficile.
Ce que la loi dit, et ce que vous devez faire immédiatement
Bonne nouvelle, juridiquement parlant. La Cour de cassation s'est prononcée dans un arrêt du 23 octobre 2024 sur le spoofing téléphonique et a estimé que la victime ne peut se voir reprocher d'avoir commis une négligence grave. La Cour relève en outre que la vigilance d'une personne face à un appel téléphonique émanant prétendument de sa banque est inférieure à celle d'une personne réceptionnant un courriel, laquelle dispose de davantage de temps pour repérer des anomalies révélatrices de fraude. : se faire piéger par un appel parfaitement crédible, avec le vrai numéro affiché et vos vraies données récitées, ne constitue pas une faute qui vous priverait du remboursement.
Si vous êtes victime ou si vous suspectez une tentative, les réflexes sont les suivants. Raccrochez sans négocier. Ne rappelez jamais depuis l'historique d'appels. Rappelez en composant vous-même le numéro officiel de votre banque, indiqué sur le site, l'appli ou votre carte. Faites sans délai opposition sur votre carte bancaire, alertez la banque de l'ensemble des paiements frauduleux et conservez toutes les preuves : numéros de téléphone, messages reçus, ordres de virement, relevés de paiements. Pour être conseillé dans vos démarches, la plateforme Info Escroqueries du ministère de l'Intérieur est joignable au 0 805 805 817, appel gratuit, de 9h à 18h30 du lundi au vendredi.
La règle absolue à graver, et à répéter à ceux que vous aimez : jamais un conseiller de votre banque ne vous demandera de lui communiquer votre mot de passe, des codes de confirmation ou encore d'effectuer des actions de validation ou d'annulation d'opérations sur votre application bancaire pour de supposées fraudes en cours sur vos comptes. Un code reçu par SMS sert à confirmer une opération que vous êtes en train de faire, jamais à en annuler une autre. Quand un inconnu vous demande ce code, c'est lui qui est en train d'opérer, pas vous.
Une dernière donnée qui mérite d'être connue : une variante est apparue en 2025, où ce n'est plus l'escroc qui appelle la victime mais la victime qui appelle l'escroc via un faux numéro d'opposition bancaire. Les fraudeurs référencent de faux numéros sur des moteurs de recherche pour capter les personnes qui cherchent elles-mêmes à joindre leur banque en urgence. Même le réflexe de "rappeler sa banque" peut être retourné contre vous, si vous cherchez ce numéro sur Google plutôt que de le lire sur votre carte ou vos relevés.
Sources : economie.gouv.fr | planet.fr