Une campagne d'hameçonnage circule en France depuis quelques jours. Elle est signalée par Libération et par Frandroid, et elle mérite un avertissement clair parce qu'elle exploite un ressort inhabituel.

Nous n'avons pas pu ouvrir ces deux articles depuis nos outils et nous nous en tenons donc à ce qu'ils rapportent : un message annonçant un abonnement à « Cellcast Vidéos » facturé 49,99 euros, proposant de le résilier ou d'en obtenir le remboursement, et affichant le véritable IBAN du destinataire.

Pourquoi le vrai IBAN change tout

C'est le cœur du dispositif, et il faut le comprendre pour ne pas tomber dedans.

Un message d'hameçonnage classique est générique. Celui-ci contient une donnée que vous savez exacte, et que vous croyez confidentielle. Le raisonnement du destinataire est immédiat : s'ils ont mon IBAN, c'est qu'ils ont un lien réel avec ma banque, donc l'abonnement existe vraiment, donc je dois agir vite.

Ce raisonnement est faux à chaque étape.

Un IBAN qui apparaît dans un mail non sollicité ne prouve pas qu'un contrat existe. Il prouve seulement que quelqu'un dispose de cette donnée. Les IBAN circulent beaucoup plus qu'on ne l'imagine : ils figurent sur les factures, les mandats de prélèvement, les fichiers clients de commerçants, d'assureurs, d'associations, de syndics. Une fuite chez n'importe lequel de ces acteurs suffit à alimenter une campagne comme celle-ci.

Autrement dit, la présence de votre IBAN est un signal, mais pas celui que l'escroc veut vous faire lire. Elle signale une fuite de données, pas un abonnement.

Ce qu'un IBAN permet, et ne permet pas

Autre point qu'il faut poser calmement, parce qu'il évite la panique comme l'imprudence.

Votre IBAN n'est pas un secret bancaire absolu : vous le communiquez à votre employeur, à votre bailleur, à votre opérateur. Il ne permet ni de vider un compte ni d'effectuer un virement sortant. Ce qu'il permet, c'est de tenter un prélèvement.

Et c'est là que la réglementation européenne joue en votre faveur, à condition de la connaître. Dans l'espace SEPA, un prélèvement que vous avez autorisé peut être contesté auprès de votre banque et remboursé pendant huit semaines, sans avoir à vous justifier. Un prélèvement non autorisé, c'est-à-dire pour lequel vous n'avez jamais signé de mandat, peut être contesté pendant treize mois.

Votre banque est le bon interlocuteur pour cette contestation. Pas le site indiqué dans le message.

Les trois gestes qui règlent la question

Ne cliquez sur rien dans le message. Ni pour résilier, ni pour être remboursé. Ce sont les deux boutons du piège : le premier mène à un formulaire qui réclamera vos identifiants bancaires, le second à une demande de coordonnées de carte « pour créditer le remboursement ». Un remboursement légitime ne demande jamais de numéro de carte.

Vérifiez chez vous, pas chez eux. Ouvrez l'application de votre banque, ou son site que vous saisissez vous-même dans le navigateur, et regardez vos opérations et vos mandats de prélèvement actifs. Si aucun prélèvement Cellcast n'apparaît, il n'y a rien à résilier.

Si un prélèvement a effectivement eu lieu, appelez votre banque et demandez à la fois le remboursement et l'opposition sur le mandat concerné. Vous pouvez également signaler le message sur la plateforme officielle de signalement des contenus illicites de l'internet.

Le réflexe général, valable au-delà de cette campagne

Ce qui rend cette arnaque efficace n'est pas la technique, c'est l'exactitude d'un détail personnel.

La même mécanique est employée avec les quatre derniers chiffres d'une carte, une adresse postale, un numéro de commande, un modèle de véhicule. La conclusion à en tirer est toujours identique : une information exacte dans un message inattendu ne valide pas le message. Elle indique seulement que la donnée a circulé.

Le seul canal fiable reste celui que vous ouvrez vous-même, en tapant l'adresse ou en composant le numéro figurant au dos de votre carte bancaire.