Que faire si
vous vous êtes fait avoir

Deux choses, dans cet ordre. Si la conversation avec l'escroc est toujours ouverte, que ce soit un appel, un chat ou une session de prise en main à distance, coupez-la : raccrochez, fermez le chat et, si l'on vous a fait installer un programme pour voir votre écran, déconnectez cet ordinateur d'internet en débranchant le câble et le wifi. Ensuite, appelez votre banque au numéro inscrit au dos de la carte ou dans son application officielle et dites que vous avez été victime d'une fraude : demandez le blocage de la carte et une tentative d'arrêt de tout virement ou paiement que vous ne reconnaissez pas. Tout le reste, changer les mots de passe, porter plainte, prévenir vos contacts, est important mais peut attendre quelques minutes. L'argent, non : un virement qui part maintenant peut avoir quitté le compte destinataire peu après, et la marge pour l'arrêter se compte en heures, pas en jours. Si vous ne passez qu'un seul appel aujourd'hui, que ce soit à la banque.

Celui que vous aviez déjà avant tout cela : celui imprimé au dos de la carte, celui de l'application officielle de la banque que vous utilisiez déjà ou celui de son site, en tapant vous-même l'adresse dans le navigateur. Jamais le numéro donné par la personne qui vous a trompé, celui qui figurait dans le SMS ou celui affiché à l'écran lors de l'appel reçu, car ce numéro peut être contrôlé par l'escroc ou usurpé pour ressembler à celui de la banque. C'est un détail qu'on oublie sous le coup de l'émotion, et certaines arnaques comptent précisément là-dessus : on vous appelle « du service sécurité » juste après la première arnaque pour la parachever. Si, pendant que vous parlez à votre banque, vous recevez un autre appel prétendant venir de la banque, ne décrochez pas. Et si l'agence est ouverte et proche, s'y rendre en personne fonctionne aussi, mais l'appel est plus rapide, et dans ces heures-là c'est la rapidité qui compte.

Cela dépend de l'usage de ce code, d'où l'intérêt de lire le SMS en entier, pas seulement les chiffres. Les codes envoyés par la banque servent généralement à confirmer une opération précise : un paiement par carte, un virement, l'ajout d'un nouveau téléphone dans l'application ou la modification d'une donnée de sécurité. Si vous l'avez lu à voix haute à quelqu'un, cette personne l'a très probablement utilisé pour autoriser exactement cela, même si elle vous a dit que c'était pour « annuler un débit » ou « vérifier votre identité ». Dites-le en ces termes à la banque quand vous appelez : que vous avez donné un code et à quelle heure, pour qu'elle vérifie ce qui a été autorisé avec et si un nouvel appareil est associé à votre compte ou à votre carte. Si le code venait de WhatsApp ou d'une autre messagerie, votre compte a probablement été enregistré sur un autre téléphone : il faut alors récupérer le compte et prévenir vos contacts au plus vite.

Le désinstaller est nécessaire, mais pas suffisant. Commencez par déconnecter l'ordinateur d'internet pour couper la session, puis désinstallez le programme depuis les paramètres du système. Le problème, c'est que pendant que l'autre personne avait le contrôle, elle a pu faire des choses invisibles : voir les mots de passe enregistrés dans le navigateur, ouvrir votre banque en ligne, télécharger des documents ou laisser installé un autre programme qui lui permettra de revenir plus tard sans vous demander la permission. C'est pourquoi cet ordinateur ne doit pas servir à accéder à la banque ni à la messagerie tant que quelqu'un ne l'a pas vérifié, et les mots de passe se changent depuis un autre appareil qui n'a pas été concerné par cette session, comme le téléphone. Si l'ordinateur contenait des données de clients ou de l'entreprise, la vérification n'est pas facultative. Parfois, un nettoyage soigneux suffit ; d'autres fois, le plus prudent est de réinstaller le système. Cela se décide en examinant l'ordinateur, pas par téléphone, et c'est ce dont nous nous occupons en support informatique.

Cela dépend surtout de la façon dont l'argent est parti, et personne ne peut le garantir à l'avance. La réglementation des services de paiement distingue les opérations que vous n'avez pas autorisées, comme un débit sur votre carte effectué par quelqu'un d'autre avec les données que vous lui avez données, et les opérations que vous avez faites vous-même en les croyant légitimes, comme un virement vers le compte d'une fausse facture. Dans le premier cas, la loi prévoit en principe que la banque rembourse le montant, avec des exceptions, par exemple si la banque estime qu'il y a eu négligence grave, et il convient de le signaler sans délai. Dans le second, puisque c'est vous qui avez ordonné le paiement, le récupérer est bien plus difficile et dépend de la capacité de la banque à bloquer l'argent sur le compte destinataire. Dans les deux cas, ce qui aide le plus, c'est d'avoir prévenu vite, d'avoir porté plainte et de conserver toutes les preuves. Si la banque refuse le remboursement et que vous n'êtes pas d'accord, vous pouvez réclamer par écrit et demander conseil.

Auprès de la Policía Nacional ou de la Guardia Civil, selon votre lieu de résidence, ou des Mossos d'Esquadra si vous êtes en Catalogne. La plainte ne rend pas l'argent à elle seule, mais la banque la demande généralement pour traiter la réclamation, et elle laisse une trace officielle de ce qui s'est passé au cas où quelqu'un utiliserait plus tard vos données à d'autres fins. Apportez tout ce que vous avez, de façon ordonnée : captures des messages ou du chat, le numéro depuis lequel on vous a appelé ou écrit et l'heure, les e-mails avec leurs pièces jointes, les justificatifs de paiements ou de virements et les mouvements que vous ne reconnaissez pas sur le compte. Notez aussi, tant que c'est frais, ce qu'on vous a dit et ce que vous avez fait à chaque moment. Si vous ne savez pas bien quelles démarches faire, le 017 de l'INCIBE, l'organisme espagnol de cybersécurité, répond gratuitement et de façon confidentielle aux questions de cybersécurité et peut vous orienter selon ce que vous avez communiqué.

Il s'agit presque certainement d'une deuxième arnaque, très fréquente juste après la première. Quelqu'un qui s'est déjà fait avoir une fois figure sur la liste des personnes qui répondent, il est nerveux et veut récupérer ce qu'il a perdu : c'est la cible idéale. Le scénario varie peu : une prétendue société, un avocat ou même quelqu'un qui se présente comme policier vous propose de retrouver l'argent et de vous le rendre en échange d'un paiement anticipé, de « frais », ou de l'installation d'un programme pour « vérifier votre compte ». Ni la police ni la banque ne font payer la récupération de l'argent d'une fraude, et aucune personne sérieuse ne peut promettre d'y parvenir. Si quelqu'un vous contacte sans que vous l'ayez sollicité et vous demande de l'argent ou l'accès à votre ordinateur pour vous rendre ce qui a été volé, raccrochez. La récupération, si elle est possible, passe par votre banque et par la plainte, pas par des intermédiaires qui vous trouvent eux-mêmes.

Par un autre canal qui vous appartient toujours, et le plus tôt possible, car le but habituel de la prise de contrôle d'un tel compte est d'écrire à vos contacts en se faisant passer pour vous pour leur demander de l'argent, un code ou de cliquer sur un lien. Si vous avez perdu WhatsApp, prévenez par SMS, par téléphone ou depuis un autre réseau social votre famille et les personnes avec qui vous échangez le plus : « si je vous écris pour vous demander de l'argent ou un code, ce n'est pas moi ». Si c'est la messagerie, faites de même avec vos clients et fournisseurs habituels, surtout si vous parlez de paiements avec eux, car depuis votre boîte on peut envoyer une facture avec un autre compte bancaire. En attendant, essayez de récupérer le compte via la procédure officielle de chaque service et, dès qu'il est de nouveau à vous, activez la validation en deux étapes. Inutile de raconter les détails de l'arnaque à tout le monde : il suffit qu'ils sachent que, pendant quelques jours, toute demande bizarre envoyée à votre nom ne vient pas de vous.