Faux mail de banque : les gestes des premières heures et vos droits

Un message annonce une activité inhabituelle sur votre compte, une fonctionnalité de sécurité à activer, des coordonnées à confirmer sous peine de blocage. Si vous lisez cette page après avoir cliqué, allez directement à la section « Les premières heures ». L'ordre des gestes compte, et certains délais sont fixés par la loi.

Le déroulé d'une fausse connexion

Cybermalveillance.gouv.fr décrit la séquence dans son analyse de l'hameçonnage bancaire. La connaître permet de mesurer ce que vous avez réellement communiqué.

1. Le lien ouvre une page de connexion qui reproduit fidèlement, parfois à l'identique, celle de la banque. Vous y saisissez identifiant et mot de passe.
2. Une fois « connecté », un message demande de confirmer les informations de la carte : numéro, date de validité, cryptogramme.
3. Il peut ensuite vous être demandé votre numéro de mobile, puis un code reçu par SMS à recopier sur la page.
4. À la fin, vous êtes renvoyé vers le vrai site de la banque. On croit à une déconnexion ou à un bogue, on se reconnecte, cette fois pour de bon, et rien ne paraît anormal.

Avec ces éléments, l'escroc peut se connecter à votre espace, ajouter des comptes bénéficiaires, émettre des virements, modifier vos coordonnées et votre mot de passe, récupérer vos RIB et relevés. Les données de carte servent à des achats en ligne.

Ces messages sont envoyés en masse, sans savoir qui est client de quelle banque. Recevoir un courriel au nom d'un établissement où vous n'avez aucun compte en est la démonstration : le même message, reçu au nom de votre propre banque, mérite la même méfiance.

Ce qu'une banque ne fait pas

Deux repères donnés par Cybermalveillance.gouv.fr :

• votre banque ne devrait jamais vous adresser de message contenant un lien direct vers la page de connexion à votre compte ;
• elle ne vous demandera jamais, dans un message ou par téléphone, de fournir vos identifiants, votre mot de passe, votre code secret ou toute autre information confidentielle.

L'adresse de l'expéditeur ne permet de conclure dans aucun sens. La CNIL rappelle qu'elle n'est pas un critère fiable, parce qu'elle peut être usurpée.

La vérification se fait donc hors du message : ouvrez votre application bancaire ou le site de la banque par un favori que vous avez créé, et regardez si une alerte ou une opération en attente y figure. Pour joindre la banque, utilisez un numéro que vous possédez déjà, celui de vos relevés ou de votre contrat, jamais celui du message. Notre analyseur d'email et SMS peut relever les indices d'un message douteux, et le vérificateur de lien indiquer où mène une adresse, mais ni l'un ni l'autre ne remplace ce contrôle dans votre espace.

Les premières heures

1. Prévenez votre banque et dites précisément ce que vous avez saisi : identifiants, carte, numéro de mobile, code reçu par SMS. Si l'agence est fermée, Cybermalveillance.gouv.fr conseille de laisser un message (messagerie de l'agence, courriel au conseiller) qui atteste du moment où vous avez tenté de la joindre.
2. Faites opposition sur la carte si ses données ont été communiquées ou si des débits apparaissent. Le serveur interbancaire répond au 0 892 705 705, 7 jours sur 7 et 24 heures sur 24 (numéro majoré). Un numéro d'enregistrement vous est remis : il constitue une trace datée et sera demandé pour la suite. La fiche Service-Public.fr précise que l'opposition peut être payante selon les banques.
3. Faites réinitialiser vos accès par la banque. Vérifiez avec elle que l'adresse électronique, l'adresse postale et le numéro de téléphone associés au compte n'ont pas été modifiés, et qu'aucun bénéficiaire de virement n'a été ajouté. Si c'est le cas, faites-en des captures avant suppression.
4. Conservez les preuves : le message reçu, l'adresse du faux site, des captures d'écran.
5. Contestez chaque opération que vous n'avez pas autorisée et demandez-en le remboursement. Renseignez-vous auprès de la banque sur la forme attendue.
6. Signalez les débits par carte sur Perceval. Le téléservice est ouvert si la fraude a eu lieu sur internet, si la carte est toujours en votre possession et si vous avez déjà fait opposition. Il faut se connecter avec FranceConnect et préparer le numéro d'opposition, le numéro de carte et les relevés. La demande est traitée par la gendarmerie nationale, et un récépissé vous est adressé.
7. Déposez plainte au commissariat ou à la gendarmerie, ou par courrier au procureur de la République. Certaines banques demandent la preuve du dépôt de plainte pour lancer le remboursement.

Remboursement : ce que prévoit le Code monétaire et financier

Quatre articles encadrent la contestation d'une opération que vous n'avez pas autorisée.

Le délai pour signaler. Vous devez signaler l'opération « sans tarder », et au plus tard dans les treize mois suivant la date de débit, sous peine de forclusion (article L133-24). Service-Public.fr indique que ce délai est de 70 jours pour un paiement effectué hors de l'Espace économique européen, et qu'une opposition tardive peut conduire la banque à refuser le remboursement.

Le délai pour rembourser. La banque rembourse le montant de l'opération non autorisée immédiatement après en avoir été informée, et au plus tard à la fin du premier jour ouvrable suivant. Seule exception : si elle a de bonnes raisons de soupçonner une fraude de l'utilisateur et qu'elle les communique par écrit à la Banque de France (article L133-18). Le compte doit être rétabli dans l'état où il se serait trouvé, ce qui inclut, selon Service-Public.fr, les frais d'incident éventuels.

La charge de la preuve. Quand vous niez avoir autorisé une opération, c'est à la banque de prouver qu'elle a été authentifiée, dûment enregistrée et comptabilisée. L'utilisation de l'instrument de paiement telle qu'elle l'a enregistrée ne suffit pas nécessairement à prouver que vous avez autorisé l'opération ou commis une négligence grave : la banque doit fournir des éléments (article L133-23).

La limite. Les pertes restent à votre charge si elles résultent d'un agissement frauduleux de votre part ou d'un manquement intentionnel ou par négligence grave à vos obligations (article L133-19). C'est sur ce terrain que se jouent les refus après un hameçonnage, et c'est pourquoi Cybermalveillance.gouv.fr prévient que le remboursement ne peut pas être considéré comme acquis. D'où l'intérêt de décrire les faits exactement et de garder le message qui vous a trompé.

En cas de litige, Service-Public.fr indique que vous pouvez saisir le médiateur bancaire, puis le tribunal si la médiation n'aboutit pas.

L'appel qui suit souvent

Les données récupérées par hameçonnage alimentent la fraude au faux conseiller bancaire : un appel d'une personne qui connaît votre nom et votre carte et dit vouloir bloquer une fraude. Dans un grand nombre de cas, les données dérobées servent à cette fraude dans les heures ou les jours qui suivent l'hameçonnage, relève Cybermalveillance.gouv.fr dans son article sur l'hameçonnage à la livraison de colis. Le même article rappelle que jamais un conseiller de votre banque ne vous appellera pour vous faire effectuer des actions sur votre application bancaire ou lui transmettre des codes pour de supposées fraudes en cours sur vos comptes. Raccrochez et rappelez la banque par votre numéro habituel.

Signaler le message

Transférez un SMS au 33700 et signalez un email sur Signal Spam. Signalez aussi le message à la banque dont le nom est utilisé : la plupart disposent d'une adresse dédiée, dont Cybermalveillance.gouv.fr donne des exemples, ce qui leur permet d'agir pour faire supprimer le faux site. Le fonctionnement de chaque canal et les suites pénales sont détaillés dans le guide Phishing par email et SMS. Pour les débits par carte, voir Fraude à la carte bancaire. Un prétexte voisin, très utilisé par SMS, est décrit dans Faux colis par SMS.