Usurpation de la banque
par SMS et WhatsApp

Parce que le téléphone regroupe les SMS selon le nom de l'expéditeur, et que ce nom n'est pas vérifié. Quand votre banque vous écrit, vous ne voyez pas un numéro de téléphone mais un texte : le nom de la banque. Ce texte, c'est l'expéditeur qui le saisit, et le réseau SMS ne contrôle pas qu'il ait le droit de l'utiliser. L'escroc qui se fait passer pour votre banque saisit donc exactement le même nom, et votre téléphone, incapable de faire la différence, range son message dans la même conversation que les vrais codes que vous recevez depuis des années. C'est ce qui désarme presque tout le monde : le fil est authentique, l'historique est authentique, et le dernier message ressemble à tous les autres. L'endroit où s'affiche un SMS ne prouve donc rien. Ce qui compte, c'est ce qu'il vous demande : s'il vous envoie vers un lien, un numéro de téléphone ou vous presse d'agir, ce n'est pas la banque.

Non. Le numéro qui s'affiche quand quelqu'un vous appelle peut lui aussi être falsifié, avec des outils qui ne demandent aucune compétence particulière. Voir s'afficher le service client de votre banque, même sous le nom enregistré dans vos contacts, signifie seulement que quelqu'un a choisi d'afficher ce numéro, pas que l'appel vient de la banque. C'est le deuxième volet de la même arnaque : d'abord le SMS dans le fil habituel, ensuite un appel depuis le numéro habituel, et les deux ensemble semblent se confirmer l'un l'autre. Ce n'est pas le cas, puisqu'ils se falsifient de la même façon. Inutile aussi de demander « comment savoir que vous êtes de la banque ? » : ils ont une réponse toute prête, parfois avec vos vraies données. La seule chose qui marche est de couper ce canal : raccrochez et rappelez vous-même le numéro imprimé au dos de votre carte ou celui indiqué dans l'application de la banque. Si c'était vrai, on vous le confirmera là.

C'est la dernière partie du scénario, celle qui transforme l'arnaque en argent perdu. On vous explique que votre compte est compromis, que quelqu'un tente de le vider et que, pour le protéger, il faut transférer le solde vers un compte « sécurisé », « relais » ou « de séquestre » le temps de régler le problème. Parfois on vous donne un IBAN, parfois on vous guide pour faire un Bizum ou un virement depuis votre propre application, parfois on vous demande de retirer des espèces. Ce compte appartient à la personne qui vous appelle. Aucune banque ne protège votre argent en vous demandant de le sortir vous-même de votre compte : si elle détecte vraiment un problème, elle bloque les opérations ou les cartes de son côté, sans que vous ayez à bouger quoi que ce soit. Le virement, c'est vous qui le faites, avec vos identifiants, depuis votre téléphone, et c'est précisément ce qu'ils cherchent, car l'opération apparaît alors comme autorisée par le titulaire. La règle est absolue : si quelqu'un vous demande de déplacer de l'argent pour le protéger, c'est une fraude, sans exception.

Ce code, c'est votre signature. La banque l'envoie pour que vous confirmiez une opération précise : un paiement, un virement, une modification de vos données ou l'ajout de votre carte sur un autre téléphone pour payer avec. Celui qui vous appelle a déjà lancé cette opération de son côté, avec des données qu'il vous a soutirées auparavant ou récupérées sur une fausse page, et il ne lui manque que le code que vous venez de recevoir. C'est pourquoi il vous le demande sous un prétexte : « pour annuler le débit suspect », « pour vérifier que c'est bien vous », « pour annuler le virement ». Lisez d'abord le SMS en entier : bien souvent, il indique exactement ce que vous autorisez et précise de ne le communiquer à personne, pas même à la banque. Aucun employé de votre banque n'a besoin que vous lui dictiez un code pour annuler quoi que ce soit. Si quelqu'un vous le demande par téléphone, par WhatsApp ou par tout autre moyen, raccrochez. Le dicter revient à signer l'opération.

Considérez-le comme faux. Mettre le logo d'une banque en photo de profil WhatsApp et son nom sur le profil est à la portée de n'importe qui : un nouveau numéro de mobile suffit. Le message suit généralement le même scénario que le SMS, avec une opération suspecte, un blocage imminent ou une vérification en attente, et vous propose de poursuivre la conversation à cet endroit, d'envoyer une photo de votre carte ou de votre pièce d'identité, de cliquer sur un lien ou d'accepter un appel. Qu'un profil ait l'air officiel ne veut rien dire ; ce qui en dit long, en revanche, c'est que votre banque vous écrive depuis un numéro inconnu pour vous réclamer des données en urgence. Si votre banque utilise une messagerie, vous en trouverez l'explication dans son application ou sur son site officiel, auquel vous accédez en tapant vous-même l'adresse. Dans le doute, ne répondez pas dans ce chat : ouvrez l'application de la banque ou appelez le numéro au dos de votre carte et demandez si cet incident existe.

Appelez votre banque immédiatement, au numéro inscrit au dos de la carte ou à celui de l'application, jamais à celui qu'on vous a donné pendant l'appel. Expliquez que vous avez été victime d'une usurpation, quelle opération vous avez autorisée et quand, et demandez le blocage des cartes et des accès ainsi qu'une tentative d'arrêt ou de récupération du virement. Rien ne garantit qu'il sera récupéré, mais plus vous appelez tôt, plus les chances sont grandes. Ensuite, depuis un appareil de confiance, changez le mot de passe de votre banque en ligne, et celui de votre messagerie si vous l'avez aussi communiqué ou saisi sur une fausse page. Conservez les SMS, les messages WhatsApp et le journal d'appels : ne supprimez rien, c'est la preuve. Avec tout cela, portez plainte auprès de la Policía Nacional, de la Guardia Civil ou des Mossos d'Esquadra. Le 017 de l'INCIBE, l'organisme espagnol de cybersécurité, vous oriente gratuitement sur la marche à suivre. Si vous avez en plus installé une application à leur demande, ce téléphone doit être vérifié avant de l'utiliser à nouveau pour la banque.

Certains, oui. Des règles obligent les opérateurs à filtrer une partie des appels et des SMS qui usurpent des numéros ou des expéditeurs, et les banques elles-mêmes mettent de plus en plus en garde contre ces arnaques. Mais ne comptez pas sur le filtre pour tout arrêter : les escrocs changent de méthode dès qu'une cesse de fonctionner, utilisent de vrais numéros nationaux, passent à WhatsApp ou combinent les canaux. Un filtre réduit le nombre de messages qui arrivent, mais ne change rien à ce que vous devez faire de celui qui passe. Surtout, l'arnaque ne repose pas sur la technique mais sur la conversation : l'étape décisive, c'est toujours vous qui la franchissez, en dictant un code, en cliquant sur un lien ou en faisant un virement. C'est pourquoi les règles sont les mêmes depuis des années et fonctionnent toujours : la banque ne vous demande ni codes, ni mots de passe, ni de déplacer de l'argent ; vous raccrochez et rappelez le numéro que vous aviez déjà ; on ne touche pas aux liens des SMS.

En trois phrases courtes, écrites sur un papier à côté du téléphone ou sur le frigo, parce qu'au moment de l'appel personne ne se souvient d'un long discours. Un : « la banque ne demande jamais de codes, de mots de passe ni de déplacer de l'argent ». Deux : « si la banque appelle, je raccroche et je rappelle le numéro de la carte ». Trois : « on ne touche pas aux liens des SMS ». Expliquez aussi pourquoi le message sera dans le fil habituel et l'appel viendra du numéro habituel, car c'est exactement ce qui fait douter les personnes prudentes. Et ôtez la gêne : dites-leur que vous préférez dix appels pour demander si quelque chose est normal plutôt qu'un virement vers un compte inconnu. En entreprise, il en va de même pour la personne qui gère les paiements et pour celle qui a le téléphone professionnel : personne n'autorise d'opération sur un appel entrant, et au moindre doute on demande avant de faire quoi que ce soit.