« Achat non reconnu sur Amazon » : le faux appel ou SMS pour « l'annuler »

« Ici le service de sécurité d'Amazon. Nous avons détecté l'achat d'un iPhone pour 1 149 euros sur votre compte. Si vous n'êtes pas à l'origine de cet achat, tapez 1. » Parfois c'est une voix enregistrée, parfois une personne avec un script bien rodé, et parfois un SMS avec un lien pour « annuler la commande ». Le nom peut être Amazon, PayPal, AliExpress, une grande enseigne ou n'importe quelle boutique connue. Ce qui ne change jamais, c'est l'objectif : que, dans la précipitation pour bloquer un débit qui n'existe pas, vous donniez les coordonnées de votre carte, un code de votre banque ou le contrôle de votre téléphone ou de votre ordinateur.

Comment fonctionne cette arnaque ?

Le scénario se répète avec peu de variations :

1. L'hameçon. Un appel automatique, un SMS ou un message WhatsApp vous signale une commande coûteuse que vous ne reconnaissez pas : un téléphone, un ordinateur portable, une console, des cartes cadeaux. Le montant est volontairement élevé pour vous affoler.
2. Le passage à un « conseiller ». Si vous tapez une touche, rappelez ou touchez le lien, quelqu'un vous répond en se présentant comme le service de sécurité ou le service client. Il connaît souvent votre nom, parfois votre adresse, car ces données circulent depuis d'anciennes fuites.
3. L'« annulation ». Pour « annuler l'achat » ou « vous rembourser », on vous demande l'une de ces choses :
   • les coordonnées complètes de votre carte, « pour vérifier que vous en êtes le titulaire » ;
   • le code que vous venez de recevoir par SMS, qui autorise en réalité un paiement ou une modification dans votre banque en ligne ;
   • d'installer une application d'« assistance » ou d'« accès à distance » (AnyDesk, TeamViewer, QuickSupport ou similaire) pour qu'« un technicien règle le problème » ;
   • de vous connecter à votre banque en ligne « pendant qu'ils regardent » pour « traiter le remboursement ».
4. Le coup. Avec votre carte, ils font des achats ; avec le code, ils autorisent des paiements ou ajoutent votre carte sur leur propre téléphone ; avec l'accès à distance, ils voient votre écran, lisent vos SMS et déplacent votre argent pendant que vous croyez qu'ils vous aident.

Il existe une variante particulièrement perverse : le faux « trop-remboursé ». Avec l'accès à distance, l'escroc manipule ce que vous voyez à l'écran pour faire croire qu'on vous a remboursé 1 000 euros au lieu de 100, puis vous demande, l'air paniqué, de « renvoyer la différence » par virement ou en cartes cadeaux. Il n'y a jamais eu de remboursement : l'argent que vous envoyez est le vôtre.

Quels sont les signaux d'alerte ?

• On vous parle d'un achat que vous ne voyez pas dans l'application officielle de la boutique. Si la commande n'apparaît pas dans « Mes commandes », elle n'existe pas.
• On vous presse : « l'achat sera traité dans 30 minutes », « si vous raccrochez, nous ne pourrons pas l'arrêter ».
• On vous demande d'installer une application pour annuler une commande. Aucune boutique n'a besoin de contrôler votre appareil pour annuler un achat.
• On vous demande des codes reçus par SMS. Ces codes sont votre signature : celui qui vous les demande au téléphone veut s'en servir.
• On vous demande de payer pour recevoir de l'argent : cartes cadeaux, virements ou « renvoyer la différence ».
• Le lien du SMS ne mène pas au site officiel, mais à une adresse ressemblante avec des lettres ou des mots en plus.
• Le numéro semble légitime. Méfiez-vous : le numéro affiché peut être falsifié (spoofing), et un nom connu sur l'identifiant d'appel ne prouve rien.

Que faire tout de suite si on m'appelle ou si je reçois le SMS ?

1. Raccrochez ou ne répondez pas. N'appuyez sur aucune touche, ne rappelez pas le numéro qu'on vous donne et ne touchez pas le lien.
2. Vérifiez vous-même, de votre côté. Ouvrez l'application officielle de la boutique ou tapez son adresse à la main dans le navigateur et consultez vos commandes. Si rien d'anormal n'apparaît, vous avez votre réponse.
3. S'il y a réellement une commande que vous ne reconnaissez pas, annulez-la depuis l'application elle-même ou contactez la boutique via la rubrique d'aide de son site ou de son application officielle, jamais avec le numéro donné par votre interlocuteur.
4. Ne donnez ni informations, ni codes, ni mots de passe, même si la personne connaît votre nom, votre adresse ou les derniers chiffres de votre carte.
5. N'installez rien à la demande de quelqu'un qui vous a contacté sans que vous l'ayez sollicité.
6. Bloquez le numéro et signalez-le dans l'annuaire des numéros spam pour prévenir les autres.

Une règle simple résume tout : si c'est eux qui appellent, raccrochez et appelez vous-même par un canal que vous avez trouvé vous-même.

Et si j'ai déjà donné mes informations ou installé l'application ?

Agissez vite et dans cet ordre :

1. Coupez la connexion. Si vous avez installé une application d'accès à distance, fermez la session, déconnectez l'appareil d'internet (mode avion ou Wi-Fi coupé) et désinstallez l'application.
2. Appelez votre banque immédiatement, au numéro officiel figurant au dos de votre carte ou dans son application, pas à un numéro qu'on vous a donné. Demandez le blocage de la carte, la vérification des opérations récentes et l'arrêt de tout virement en attente. Plus vous appelez tôt, plus il y a de solutions.
3. Changez vos mots de passe, depuis un autre appareil sain si possible : d'abord l'e-mail, puis la banque en ligne et le compte de la boutique. Activez la validation en deux étapes.
4. Vérifiez votre compte sur la boutique : appareils connectés, nouvelles adresses de livraison, cartes enregistrées et solde de cartes cadeaux. Supprimez ce que vous ne reconnaissez pas.
5. Vérifiez l'appareil. Si quelqu'un y a eu accès à distance, lancez un antivirus de confiance et, en cas de doute, sauvegardez vos données et réinitialisez l'appareil.
6. Conservez les preuves : captures des SMS, numéro qui vous a appelé, heure, justificatifs de paiement et nom de l'application installée.
7. Portez plainte. En Espagne, auprès de la Policía Nacional ou de la Guardia Civil ; ailleurs, auprès de la police ou de la gendarmerie de votre pays, avec tous les éléments ci-dessus. Votre banque demandera généralement le dépôt de plainte pour traiter une réclamation.

S'il y a déjà eu des débits ou des virements, comment récupérer son argent après une arnaque téléphonique détaille les voies de réclamation.

Où signaler et à qui demander de l'aide ?

• Police : en Espagne, la Policía Nacional (091) ou la Guardia Civil (062), au commissariat ou à la caserne ; ailleurs, la police ou la gendarmerie de votre pays. En cas de danger immédiat, appelez le 112 (numéro d'urgence dans toute l'UE) ou le numéro d'urgence de votre pays.
• Ligne d'aide en cybersécurité : en Espagne, le 017 d'INCIBE, ligne gratuite et confidentielle qui vous conseille sur vos comptes et vos appareils ; ailleurs, l'agence nationale de cybersécurité ou le service de signalement des fraudes de votre pays.
• OSI (Oficina de Seguridad del Internauta), rattachée à INCIBE en Espagne : elle publie des alertes sur les campagnes de fraude en cours, utiles pour vérifier si le message reçu circule déjà. De nombreux pays disposent d'un service public d'alertes similaire.
• Votre banque, toujours par ses canaux officiels.
• La boutique elle-même : les grandes plateformes proposent dans leur aide une rubrique pour signaler les messages ou appels suspects utilisant leur nom.

Questions fréquentes

Amazon m'appelle-t-il parfois pour un achat suspect ? Une boutique peut vous contacter, mais elle ne vous demandera pas au téléphone les coordonnées de votre carte, des codes de votre banque ni d'installer un logiciel d'accès à distance. Au moindre doute, raccrochez et consultez vos commandes dans l'application officielle.

Je n'ai pas de compte Amazon et on m'a quand même appelé. Pourquoi ? Parce que les appels sont massifs. Les escrocs utilisent le nom de la boutique la plus connue en sachant que beaucoup de gens y ont un compte. Le fait que vous n'en ayez pas confirme que c'est une fraude.

J'ai seulement tapé 1 puis raccroché. Est-ce grave ? Normalement non. Le plus probable est qu'ils ont confirmé que votre numéro est actif et que vous recevrez d'autres tentatives. Ne donnez aucune information lors des appels suivants et bloquez les numéros.

Je leur ai donné les coordonnées de ma carte mais pas le code SMS. Suis-je tranquille ? Pas complètement. Appelez votre banque pour bloquer la carte : avec ces données, ils peuvent tenter des achats chez des marchands qui ne demandent pas de vérification supplémentaire, et ils vous rappelleront pour obtenir le code.

En résumé

Un achat que vous ne reconnaissez pas se vérifie dans l'application officielle de la boutique, jamais à partir de l'appel ou du lien qui vous l'annonce. Personne de légitime n'a besoin de vos codes, de votre carte ni du contrôle de votre téléphone pour annuler une commande. Si vous êtes déjà tombé dans le piège, coupez l'accès, appelez votre banque, changez vos mots de passe et portez plainte. Une application comme NoCall peut vous avertir qu'un numéro a déjà été signalé par d'autres personnes avant que vous ne répondiez, et si vous recevez un de ces appels, signalez-le dans l'annuaire des numéros spam de NoCall : votre signalement aide les autres à raccrocher à temps.