"Vous avez gagné un prix" : le faux tirage au sort par appel ou SMS qui vous demande de payer

« Félicitations ! Vous avez été sélectionné pour recevoir un iPhone », « Vous avez gagné une carte cadeau de 500 euros », « Votre numéro a été tiré au sort lors de notre jeu annuel ». Le message arrive par SMS ou lors d'un appel, et il est toujours assorti d'une petite condition : payer des frais de livraison, une taxe ou un impôt, ou donner les données de votre carte « pour vérifier votre identité ». C'est l'une des plus vieilles arnaques, et elle fonctionne encore parce que la somme demandée paraît dérisoire à côté de ce qui est promis. La règle qui règle tout : un vrai gain ne vous coûte jamais d'argent à l'avance.

Comment fonctionne l'arnaque au faux gain ?

Elle existe en plusieurs versions, mais toutes partagent le même squelette : une bonne nouvelle inattendue, une petite condition et l'urgence.

• SMS avec un lien. On vous annonce que vous avez gagné un téléphone, un bon d'achat ou un cadeau d'une marque connue (une chaîne de supermarchés, votre opérateur, une boutique en ligne). Le lien mène à un site qui copie le design de la marque, souvent avec un questionnaire ou une roue de la fortune où vous gagnez « toujours ». À la fin, on vous demande 1 ou 2 euros de frais de port et les données complètes de votre carte. Ce petit paiement n'est qu'un prétexte : ce qu'ils veulent, c'est votre carte, et parfois ils vous inscrivent à un abonnement mensuel caché dans les petites lignes.
• Appel pour un prétendu gain. Une voix aimable (ou un enregistrement) vous félicite pour un tirage organisé par votre opérateur téléphonique, une « loterie internationale » ou un concours auquel vous n'avez jamais participé. Pour débloquer le lot, on vous demande de payer d'avance des taxes, des impôts, des frais de notaire ou de douane, par virement, par paiement mobile instantané (Bizum en Espagne) ou avec des cartes cadeaux.
• Données de carte et code. Dans la variante la plus dangereuse, on ne vous demande pas de payer, mais de dicter le numéro de votre carte « pour vous verser le gain », puis le code reçu par SMS. Ce code ne sert pas à recevoir de l'argent : il sert à autoriser un paiement ou à associer votre carte à un autre téléphone.

Si vous payez les premiers frais, il en apparaît presque toujours d'autres : « le lot est bloqué en douane », « il manque l'assurance ». La chaîne de paiements ne s'arrête que lorsque vous arrêtez de payer.

Pourquoi cela paraît-il crédible ?

Parce que tout est conçu pour. Ils utilisent les logos et les noms de vraies entreprises, le site en imite l'apparence, le SMS peut s'afficher dans le même fil que les messages légitimes de cette marque et l'appel peut présenter un numéro qui semble local. En plus, la somme est petite à dessein : personne n'hésite pour 1,95 euro. Et l'urgence (« plus que 3 lots », « l'offre expire aujourd'hui ») vous empêche de prendre le temps de vérifier.

Quels sont les signaux d'alerte ?

1. Vous avez gagné quelque chose sans avoir participé. Personne ne gagne un tirage auquel il ne s'est pas inscrit.
2. Il faut payer pour encaisser. Frais de port, taxes, impôts ou « frais de dossier » : pour un gain légitime, on ne les paie jamais d'avance à la personne qui vous prévient. En Espagne, l'impôt sur un vrai gain est retenu au moment du paiement ou déclaré ensuite à l'administration fiscale, et le principe est le même dans la plupart des pays.
3. On vous demande les données de votre carte ou un code SMS. Personne n'a besoin de votre cryptogramme, de la date d'expiration ni du code envoyé par votre banque pour vous donner de l'argent.
4. Il y a urgence ou secret. « Répondez sous 24 heures », « n'en parlez à personne pour ne pas perdre votre lot ».
5. Le moyen de paiement est inhabituel. Cartes cadeaux, cryptomonnaies, paiement instantané à un particulier ou virement vers un compte à l'étranger.
6. Le lien n'est pas le domaine officiel. Adresses longues, avec des tirets, des chiffres ou des extensions bizarres au lieu du site habituel de la marque.

Un seul de ces signaux suffit pour raccrocher ou fermer le message.

Que faire si l'on vient de m'appeler ou de m'écrire ?

1. Ne touchez pas au lien et ne répondez pas au SMS. Même pas pour dire que cela ne vous intéresse pas : répondre confirme que votre numéro est actif.
2. Si c'est un appel, raccrochez. Inutile d'être poli ou de vous justifier. Ne donnez ni votre nom complet, ni votre numéro de pièce d'identité, ni votre adresse, ni vos coordonnées bancaires.
3. Vérifiez par vous-même en cas de doute. Cherchez vous-même le numéro ou le site officiel de l'entreprise qui vous aurait fait gagner (pas celui indiqué dans le message) et demandez si ce tirage existe.
4. Faites une capture d'écran du SMS ou notez le numéro, l'heure et ce qu'on vous a dit. Cela servira si vous devez porter plainte.
5. Bloquez le numéro et signalez-le dans l'annuaire des numéros de spam pour que d'autres le reconnaissent.

Et si j'ai déjà payé ou donné les données de ma carte ?

Agissez vite, sans honte : ces sites sont faits pour tromper n'importe qui.

1. Appelez votre banque tout de suite, au numéro inscrit au dos de votre carte ou dans son application officielle. Demandez à faire opposition sur la carte et à en recevoir une nouvelle.
2. Dites-lui si vous avez donné un code SMS : un paiement a peut-être déjà été autorisé, ou votre carte associée au téléphone de quelqu'un d'autre.
3. Surveillez vos opérations pendant les semaines suivantes et activez les notifications de débit. Les débits frauduleux ou les abonnements mettent parfois du temps à apparaître.
4. Si vous avez payé par paiement instantané ou par virement, prévenez votre banque au plus vite ; dans certains cas, il existe des possibilités de récupération, que nous expliquons dans comment récupérer l'argent d'une arnaque téléphonique.
5. Si vous avez donné votre numéro de pièce d'identité ou d'autres données personnelles, surveillez les usurpations d'identité : demandes de crédit ou ouvertures de lignes à votre nom.
6. Ne payez plus aucun frais, même si on vous promet que c'est le dernier pour débloquer le lot.

Où porter plainte ?

• La police : en Espagne, la Policía Nacional (091) ou la Guardia Civil (062) ; ailleurs, la police ou la gendarmerie de votre pays. Portez plainte avec les captures, le numéro et les justificatifs de paiement. C'est indispensable si vous avez perdu de l'argent.
• Une ligne d'aide en cybersécurité : en Espagne, le 017 de l'INCIBE est une ligne gratuite et confidentielle qui vous oriente sur la marche à suivre et la protection de vos comptes, et le site de l'OSI (le bureau espagnol de sécurité de l'internaute) publie des alertes sur les campagnes en cours. Ailleurs, adressez-vous à l'agence nationale de cybersécurité ou au service d'aide aux victimes de votre pays.
• 112 : uniquement en cas d'urgence ou de menace immédiate.
• Votre banque : toujours par ses canaux officiels.

Questions fréquentes

Et si j'ai vraiment participé à un jeu de cette marque ? Vérifiez sur le site ou l'application officielle de la marque, en y allant vous-même directement, si des gagnants ont été publiés. Un jeu légitime peut vous demander vos coordonnées pour vous envoyer le lot, mais il ne vous facturera pas de frais et ne vous demandera pas le cryptogramme de votre carte.

Ce n'était que 1,95 euro, dois-je m'inquiéter ? Oui : le problème n'est pas le 1,95 euro, mais le fait qu'ils disposent maintenant des données complètes de votre carte. Faites opposition par précaution.

On m'a appelé de « la loterie » pour me dire que j'ai gagné. Les gains de loterie s'encaissent en présentant votre billet dans un point de vente ou un établissement agréé. En Espagne, c'est la loterie d'État, Loterías y Apuestas del Estado, et il en va de même pour les loteries nationales ailleurs. Personne ne vous appelle pour vous l'annoncer ni pour vous réclamer des frais.

Comment connaissent-ils mon nom ? Grâce à des fuites de données ou à des fichiers achetés. Qu'ils connaissent votre nom ne prouve pas que le gain soit réel.

En résumé

Si, pour toucher un gain, vous devez payer quelque chose ou donner votre carte, ce n'est pas un gain : c'est une arnaque. Raccrochez, ne touchez pas au lien, vérifiez par le canal officiel et, si vous avez déjà donné vos données, appelez votre banque et portez plainte. NoCall vous prévient lorsqu'un numéro a déjà été signalé par d'autres utilisateurs ; et si vous avez reçu l'un de ces messages, signalez-le dans l'annuaire des numéros de spam pour que la prochaine personne le voie avant de tomber dans le piège.