Arnaque au faux conseiller bancaire : comment ça marche, comment se défendre

L’arnaque au faux conseiller bancaire a bondi de +159 % en 2025 selon les chiffres officiels du dispositif Cybermalveillance.gouv.fr. Elle est devenue, devant l’hameçonnage par mail, l’une des principales sources de pertes financières pour les particuliers français. Et le profil des victimes ne correspond pas au cliché du « senior naïf » : les escrocs touchent aujourd’hui des cadres, des professions libérales, des indépendants — souvent des gens qui pensaient « ne jamais se faire avoir ».

Cet article décortique le mécanisme exact de cette arnaque, explique pourquoi elle marche aussi bien, donne la procédure à suivre si vous êtes victime, et liste les recours pour obtenir le remboursement.

Le scénario type

L’arnaque se déroule presque toujours en cinq actes, dans cet ordre.

Acte 1 — L’appel entrant. Vous recevez un appel d’un numéro qui s’affiche comme étant celui de votre banque (le vrai numéro, celui inscrit au dos de votre carte). C’est le spoofing : la technique de falsification d’identifiant d’appelant. Elle est massive : les chiffres Cybermalveillance 2025 montrent une augmentation de +517 % des cas d’usurpation de numéros. N’importe qui peut aujourd’hui afficher n’importe quel numéro.

Acte 2 — La crédibilisation. L’interlocuteur se présente comme « conseiller fraude » de votre banque. Il connaît vos 4 derniers chiffres de carte, votre solde approximatif, parfois vos opérations récentes. Comment ? Une fuite de données antérieure (Free, Air France, une marketplace), ou un phishing ancien sur lequel vous avez cliqué il y a six mois. Cette connaissance ne prouve rien, mais elle baisse votre garde.

Acte 3 — L’urgence créée. « Madame / Monsieur, nous détectons en ce moment même une tentative de virement frauduleux de 4 200 € depuis votre compte vers la Roumanie. Pour bloquer ce virement, j’ai besoin que vous validiez l’opération qui va apparaître sur votre application bancaire dans les 30 secondes, en tapant le code SMS qui va arriver. »

L’urgence est calibrée : 30 secondes, c’est juste assez pour vous empêcher de réfléchir et vérifier, mais juste assez pour avoir le temps de valider.

Acte 4 — La validation par vous-même. Vous voyez effectivement une notification 3D Secure arriver sur votre application bancaire, ou un SMS avec un code. Vous validez en toute bonne foi, en pensant « bloquer » la fraude. En réalité, vous VALIDEZ le virement frauduleux que l’attaquant venait d’initier depuis ses propres systèmes vers son propre compte de mule.

Acte 5 — La fuite des fonds. En quelques minutes, l’argent transite par un compte de mule en France (souvent un compte ouvert au nom d’une autre victime qui a été manipulée pour servir de relais), puis vers un pays sans coopération bancaire, puis en cryptomonnaie. Au-delà de 24 à 48 heures, il est généralement irrécupérable.

Pourquoi ça marche aussi bien

Quatre raisons cumulatives :

1. La crédibilité technique. Le vrai numéro de banque qui s’affiche, le ton professionnel, les détails connus du compte — tout fait illusion.

2. L’asymétrie d’information. L’escroc connaît parfaitement le script bancaire (procédures, vocabulaire, ton). Vous, vous ne savez pas exactement comment votre banque fonctionne en cas de vraie alerte fraude.

3. L’urgence émotionnelle. L’amygdale cérébrale prend le dessus sur le cortex préfrontal. Vous n’êtes plus en train de réfléchir, vous êtes en train de réagir.

4. La validation par vous-même. L’arnaque vous fait techniquement valider l’opération, ce qui sera utilisé par votre banque pour invoquer la « négligence grave » et refuser le remboursement. C’est le piège juridique le plus pervers du scénario.

La règle absolue à connaître

Aucun vrai conseiller bancaire ne vous demandera jamais de valider une opération sur votre application, ni de communiquer un code SMS, ni de faire un virement vers un « compte de mise en sécurité ». Si quelqu’un vous demande cela au téléphone, c’est une arnaque. Point. Pas d’exception.

La règle dérivée : si vous avez le moindre doute sur la légitimité d’un appel bancaire, RACCROCHEZ. Aucun vrai conseiller ne vous reprochera de raccrocher pour vérifier. Rappelez vous-même votre banque au numéro inscrit au dos de votre carte, ou sur l’application officielle, ou sur le site officiel tapé manuellement. JAMAIS au numéro de l’appel entrant.

Vous êtes victime : que faire dans la première heure

1. Opposition immédiate

Appelez votre banque au numéro officiel (carte ou app). Demandez :

Une opposition immédiate sur la carte concernée.
Un blocage des opérations en cours, si possible le rappel du virement frauduleux (cela fonctionne parfois si l’alerte est dans la première heure).
L’examen de toutes les opérations des 7 derniers jours, pour repérer toute autre activité suspecte.

2. Signalement officiel

Rendez-vous sur 17cyber.gouv.fr. C’est gratuit, étatique, et vous obtenez un numéro de dossier utile pour la suite. Voyez aussi notre article pour bien comprendre comment utiliser le 17Cyber.

3. Dépôt de plainte

Allez au commissariat le plus proche déposer plainte pour escroquerie. Demandez explicitement une copie du procès-verbal — vous en aurez besoin pour la banque et l’assurance. Si vous êtes au Mans, voyez aussi notre guide pour porter plainte au Mans après une cyberattaque.

4. Demande écrite de remboursement à la banque

Adressez à votre banque une lettre recommandée avec accusé de réception demandant le remboursement au titre de la DSP2 (directive européenne sur les services de paiement, transposée aux articles L133-18 et suivants du Code monétaire et financier). Joignez le procès-verbal de plainte et le numéro de dossier 17Cyber.

Obtenir le remboursement : la bataille juridique

C’est ici que les choses se compliquent. La loi est claire en théorie : la banque doit rembourser une opération non autorisée sous 1 jour ouvré (article L133-18). Mais elle peut s’en exonérer si elle prouve la « négligence grave » de l’utilisateur (article L133-19). Et puisque vous avez vous-même validé l’opération via 3D Secure, c’est exactement l’argument qu’elle invoquera.

Quelques éléments qui jouent en votre faveur :

L’usurpation du numéro de téléphone. Le fait que l’arnaque ait utilisé le vrai numéro de la banque (spoofing) tend à exonérer le client d’une partie de la responsabilité. Plusieurs jugements récents en ont tenu compte.
Le scénario d’urgence créée. Si vous pouvez démontrer que l’attaquant a créé une urgence artificielle pour vous empêcher de vérifier, c’est un facteur atténuant.
L’absence de précédents. Si c’est votre première opération de ce type, votre comportement n’est pas suspect.

Quelques éléments qui jouent contre vous :

Le fait d’avoir validé volontairement le 3D Secure.
Le fait d’avoir communiqué un code SMS reçu sur votre propre téléphone.
Le délai entre le virement et la déclaration à la banque (plus c’est long, plus la banque arguera de votre passivité).

Si la banque refuse le remboursement, plusieurs recours en cascade :

Médiation bancaire : gratuit, obligatoire avant toute action judiciaire. Le médiateur de votre banque a 90 jours pour répondre. Délai souvent rallongé en pratique mais c’est un préalable légal.
Médiateur ACPR / AMF : pour les litiges plus larges.
Tribunal judiciaire : compétent pour les litiges bancaires de moins de 10 000 € (juge des contentieux de la protection au-delà). L’aide juridictionnelle est possible selon vos revenus.

Et l’assurance ?

Beaucoup de comptes bancaires premium incluent une « garantie fraude » qui rembourse une partie du préjudice non couvert par la banque. Vérifiez vos conditions. De même, certaines assurances habitation incluent une option « cybersécurité » qui couvre les pertes liées aux arnaques en ligne. Lisez les contrats : les plafonds vont typiquement de 1 500 à 10 000 € selon les formules.

Comment éviter la prochaine fois

Trois habitudes qui éliminent quasi totalement le risque :

Jamais valider une opération bancaire à la demande d’un appel entrant. Toujours raccrocher, rappeler la banque vous-même, vérifier.
Activer les notifications instantanées sur chaque opération (la plupart des banques le permettent gratuitement). Vous voyez en direct ce qui passe sur votre compte.
Plafonner vos virements en ligne au montant strictement nécessaire à votre usage habituel. Un plafond hebdomadaire à 1 000 € casse l’efficacité d’une grande partie des arnaques.

En résumé

L’arnaque au faux conseiller bancaire repose sur un cocktail de spoofing téléphonique, urgence créée et validation manipulée. La règle absolue : aucun vrai conseiller ne vous demande de valider une opération ou de communiquer un code par téléphone. Si vous êtes victime : opposition, signalement 17Cyber, plainte, lettre recommandée à la banque sous DSP2, médiation puis tribunal si nécessaire. Et préventivement : notifications instantanées, plafonds bas, réflexe « je rappelle moi-même ».

Si vous êtes au Mans ou en Sarthe et que vous voulez un accompagnement complet pour gérer un cas concret (constitution du dossier banque, accompagnement plainte, vérification de l’écosystème compromis), je propose un forfait curatif à 199 € (99,50 € après crédit d’impôt service à la personne). Le détail est sur la page intervention d’urgence. Premier contact gratuit au 07 51 13 37 69.