Phishing après une fuite de données : reconnaître les arnaques

Une fuite de données donne aux escrocs ce qui leur manquait : votre nom, votre adresse, votre banque, parfois votre numéro client. Leurs messages deviennent beaucoup plus crédibles qu'un spam classique. C'est ce qu'on appelle l'hameçonnage ciblé.

Les scénarios les plus fréquents

Le faux conseiller bancaire

Un appel, souvent après un SMS, d'un prétendu service fraude de votre banque. Il connaît votre nom et votre IBAN, signale des opérations suspectes et vous demande de « valider une opération d'annulation » dans votre application ou de lui donner un code reçu par SMS. En réalité, vous validez un virement ou l'ajout de votre carte sur son téléphone.

Le faux service client de l'entreprise piratée

Un e-mail qui reprend la charte graphique de l'entreprise touchée, s'excuse pour la fuite et vous invite à « sécuriser votre compte » ou à recevoir un « dédommagement » via un lien. Le lien mène vers une copie du site qui vole vos identifiants ou votre carte bancaire.

Le faux organisme public

Assurance maladie, impôts, CAF, SPF Finances : de faux messages annoncent un remboursement ou une régularisation et demandent vos coordonnées bancaires.

Le colis ou l'amende

Un SMS court annonce un colis bloqué ou une amende impayée, avec un lien de paiement de quelques euros. L'objectif : récupérer votre carte bancaire.

Les signaux d'alerte

• Une urgence : « votre compte sera bloqué dans 24 heures ».
• Un lien à cliquer ou une pièce jointe inattendue.
• Une demande de code reçu par SMS, de mot de passe ou de numéro de carte : aucune organisation sérieuse ne les demande.
• Une adresse d'expéditeur ou un lien qui ne correspond pas exactement au site officiel.
• Un interlocuteur qui vous demande de rester en ligne ou de ne parler à personne.

Les bons réflexes

1. Ne cliquez sur aucun lien : ouvrez vous-même l'application ou tapez l'adresse du site officiel.
2. Raccrochez et rappelez votre banque au numéro inscrit au dos de votre carte.
3. Ne communiquez jamais un code de validation, même à quelqu'un qui dit travailler pour votre banque.
4. Signalez le message : au 33700 pour les SMS en France, sur Signal Spam pour les e-mails, ou en le transférant à suspicious@safeonweb.be en Belgique.

J'ai cliqué ou donné des informations

Agissez immédiatement : faites opposition à votre carte, prévenez votre banque, changez les mots de passe concernés depuis un appareil sûr. Puis déposez plainte. Plus vous réagissez tôt, plus vous avez de chances de récupérer les sommes.

Questions fréquentes

Ma banque peut-elle m'appeler pour une opération suspecte ?

Oui, mais elle ne vous demandera jamais de valider une opération, de communiquer un code reçu par SMS ou de transférer de l'argent vers un « compte sécurisé ». Au moindre doute, raccrochez et rappelez le numéro officiel.

Comment signaler un SMS frauduleux ?

En France, transférez-le gratuitement au 33700. En Belgique, transférez-le à suspicious@safeonweb.be ou faites une capture d'écran. Supprimez-le ensuite sans cliquer sur le lien.

Les escrocs peuvent-ils afficher le vrai numéro de ma banque ?

Oui, l'usurpation du numéro affiché est possible. Un numéro qui semble officiel ne prouve rien : rappelez toujours vous-même.