Comment vérifier si un appel ou un SMS de votre banque est réel

Comment vérifier si un appel ou un SMS de votre banque est réel

« Bonjour, ici le service sécurité de votre banque. Nous avons détecté un paiement suspect et nous devons vérifier votre identité. » Ou le SMS : « Votre compte sera bloqué. Vérifiez vos données ici. » Se faire passer pour une banque est un grand classique de l'arnaque téléphonique, non pas parce que les escrocs seraient des génies de l'informatique, mais parce qu'ils ont perfectionné leur scénario : l'urgence, l'autorité et une solution qui exige que vous agissiez tout de suite, sans réfléchir.

La bonne nouvelle : vous n'avez pas besoin de savoir distinguer à chaud un vrai appel d'un faux. Personne n'en est capable, car le numéro affiché peut être falsifié et les scénarios imitent très bien les vrais conseillers. Ce qu'il vous faut, c'est une méthode qui fonctionne sans avoir à trancher. La voici.

La méthode : vous raccrochez, vous rappelez

Elle fonctionne aussi bien pour les appels que pour les SMS, en trois étapes :

1. Ne faites rien dans la communication que vous avez reçue. Ne donnez aucune donnée, ne cliquez sur aucun lien, n'appuyez sur aucune touche, n'installez rien, ne lisez à voix haute aucun code reçu et ne confirmez rien dans itsme ou avec votre lecteur de carte. S'il s'agit d'un appel, prenez congé poliment et raccrochez. Raccrocher au nez de votre vraie banque n'a aucune conséquence : elle vous rappellera, ou vous réglerez la question par un autre canal.
2. Ouvrez vous-même le canal officiel. Appelez le numéro de votre banque (celui qui figure au dos de votre carte ou sur son site officiel, tapé par vous), ou ouvrez l'appli officielle de la banque installée depuis la boutique d'applications. N'utilisez jamais le numéro qui vous a appelé ni le lien reçu.
3. Vérifiez sur place. S'il y a vraiment un paiement suspect, un compte bloqué ou une démarche en attente, cela apparaîtra dans vos opérations ou le vrai conseiller vous le confirmera. Si rien n'apparaît, la communication était fausse.

C'est tout. Le secret, c'est de comprendre pourquoi ça marche : c'est vous qui choisissez le canal, si bien qu'il importe peu à l'escroc d'avoir falsifié le numéro ou copié le site de la banque. Sa tromperie n'existe qu'à l'intérieur de l'appel ou du SMS ; dès que vous en sortez, il n'a plus rien.

Cette même méthode vaut pour vérifier un message du SPF Finances ou de la sécurité sociale, pour un faux SMS d'amende et pour le faux SMS de colis. Apprenez-la une fois, elle vous servira partout.

Ce que votre vraie banque ne vous demandera jamais

Retenez cette liste, c'est le test rapide en cas de doute :

• Votre code PIN, votre mot de passe complet ou vos codes de signature. Votre banque peut vous demander de vous identifier dans SON appli ou sur SON site ; elle ne vous demandera jamais de lui dicter vos codes par téléphone ou par SMS.
• De lui lire les codes reçus par SMS ou affichés par votre lecteur de carte, ou de valider dans itsme une opération que vous n'avez pas lancée. Ces codes et confirmations autorisent des opérations. Celui qui vous les demande au téléphone cherche à vous faire valider une opération que C'EST LUI qui a lancée. C'est le piège central de presque tout le vishing bancaire.
• D'installer une appli de prise de contrôle à distance (AnyDesk, TeamViewer et autres) « pour vous aider ». Aucune banque ne fait ça. C'est l'étape qui précède le vidage de votre compte sous vos yeux.
• De faire un virement « de test » ou « pour annuler la fraude ». Les virements que vous faites vous-même sont irréversibles. Une banque ne vous demande jamais de déplacer votre argent par téléphone pour le protéger.
• D'agir sans raccrocher. « Ne raccrochez pas, c'est urgent, sinon le paiement sera exécuté. » La précipitation est l'outil de l'escroc. Votre vraie banque préfère que vous vérifiiez plutôt que vous obéissiez vite.

Les variantes les plus courantes et leur scénario

• Le paiement que vous ne reconnaissez pas. « Il y a un paiement de 800 € dans un magasin d'électronique, vous le reconnaissez ? » Vous répondez non, et l'on vous guide pour « l'annuler » : installer quelque chose, donner des codes, faire un virement. Tout ce qui suit votre « non » est l'arnaque.
• Le compte bloqué par SMS. Un lien vers un site identique à celui de la banque, où vous saisissez votre identifiant et votre mot de passe. À partir de là, ce sont eux qui opèrent.
• Le faux employé qui vous « protège ». Aimable, professionnel, il connaît vos données de base (nom, adresse, derniers chiffres de votre carte : tout cela circule après des fuites de données). Le professionnalisme ne prouve rien ; seul le canal prouve quelque chose.
• La fausse « confirmation de sécurité ». On vous demande de valider quelque chose dans itsme ou avec votre lecteur de carte « pour vérifier votre identité » ou « bloquer un paiement ». En réalité, vous signez une opération ou une demande de paiement lancée par l'escroc, parfois dans une appli de paiement mobile. Lisez toujours ce que vous confirmez.

Que faire si vous avez déjà donné des données ou des codes

1. Appelez immédiatement votre banque (numéro au dos de la carte) et expliquez ce qui s'est passé. Faites bloquer vos cartes, au besoin via Cardstop au 078 170 170, demandez l'annulation des opérations en cours et changez vos codes d'accès.
2. Surveillez vos opérations les jours suivants, avec les notifications de l'appli activées.
3. Portez plainte à la police (votre zone de police locale) avec des captures d'écran et le numéro qui vous a appelé. Si vous avez reçu un SMS ou un e-mail frauduleux, transférez-le à Safeonweb (Centre pour la Cybersécurité Belgique), à l'adresse [email protected].
4. Signalez le numéro dans l'annuaire des numéros spam pour qu'il soit repéré.
5. L'IBPT, le régulateur des télécoms, décrit les autres fraudes par téléphone et les endroits où les signaler sur sa page Fraudes dans les télécoms.

Questions rapides

Le numéro affiché à l'écran ne prouve-t-il pas que c'est ma banque ? Non. L'identifiant de l'appelant peut être falsifié (c'est le spoofing), et les escrocs s'en servent justement avec de vrais numéros de banques pour qu'une recherche rapide semble rassurante. En Belgique, un arrêté royal oblige les opérateurs à bloquer les appels venant de l'étranger qui affichent faussement un numéro belge, mais ce blocage prévoit des exceptions. La règle reste donc la même : ne jamais décider pendant l'appel.

Et s'ils connaissent déjà mon nom, mon adresse et mon solde ? Les données personnelles circulent après des fuites, et un solde peut s'inventer de façon vague (« un montant important »). Qu'on sache des choses sur vous ne fait pas de votre interlocuteur votre banque. Appliquez la méthode quand même.

Puis-je leur poser une question pour les vérifier moi-même ? Vous pouvez demander le nom de l'agent et une référence de dossier... puis raccrocher et appeler vous-même la banque pour vérifier. Toute « vérification » faite sans raccrocher ne vérifie rien.

Ma banque va-t-elle m'en vouloir si je lui raccroche au nez ? Non. Raccrochez sans remords et rappelez le numéro officiel. C'est exactement ce que son service sécurité souhaite que vous fassiez.

Retenez la règle en une phrase : si votre banque vous contacte, ne faites rien sur le moment ; raccrochez, ouvrez vous-même le canal officiel et vérifiez. Partagez-la avec vos proches : c'est la phrase qui peut leur faire économiser le plus d'argent.