Votre téléphone sonne et le numéro affiché est bien celui de votre banque. Au bout du fil, un prétendu conseiller vous alerte sur une opération suspecte et vous demande d’agir immédiatement. Tout semble crédible, sauf que votre banque n’a jamais appelé. Cette escroquerie porte un nom : le spoofing bancaire. Les fraudeurs usurpent un numéro de téléphone légitime pour gagner la confiance de leur victime avant de lui soutirer des informations ou de lui faire valider des opérations.
Malgré le renforcement des protections téléphoniques, la fraude par manipulation reste particulièrement préoccupante en France. Au premier semestre 2025, elle représentait environ 40 % de la valeur totale des fraudes étudiées par la Banque de France.
Qu’est-ce que le spoofing bancaire ?
Le spoofing consiste à falsifier l’identité affichée lors d’une communication. Dans le cadre d’une fraude bancaire, l’escroc cherche généralement à faire apparaître sur le téléphone de sa victime le numéro de sa banque ou d’un interlocuteur de confiance.
Le véritable numéro du fraudeur est ainsi masqué. Pour la victime, l’appel peut sembler parfaitement authentique puisque son écran affiche parfois le même numéro que celui enregistré dans ses contacts.
La Banque de France définit le bank spoofing comme une usurpation de l’identité de la banque. Elle peut passer par l’affichage frauduleux d’un numéro de téléphone, mais aussi par une adresse électronique ou un logo utilisé sur une messagerie comme WhatsApp.
Cette technique ne permet pas nécessairement au fraudeur d’accéder directement au compte bancaire. Son efficacité repose surtout sur l’ingénierie sociale. L’escroc utilise la peur, l’urgence et la confiance accordée à la banque pour convaincre sa cible de réaliser elle-même les actions nécessaires au vol.
Comment se déroule l’arnaque au faux conseiller bancaire ?
Le scénario commence souvent par une alerte particulièrement anxiogène. Un homme ou une femme se présente comme membre du service antifraude de la banque. Une dépense inhabituelle, un virement suspect ou une tentative de piratage aurait été détecté.
Le faux conseiller connaît parfois le nom de la victime, son établissement bancaire ou certaines informations personnelles récupérées auparavant par phishing, fuite de données ou autre moyen frauduleux.
Il explique ensuite qu’il faut agir immédiatement pour protéger le compte.
La victime peut être invitée à communiquer son identifiant bancaire, un code reçu par SMS ou d’autres informations confidentielles. Dans certains scénarios, l’escroc lui demande directement de valider une notification dans son application bancaire.
Il présente évidemment cette validation comme une opération destinée à annuler une fraude. En réalité, elle peut servir à autoriser un paiement, ajouter un bénéficiaire ou valider un virement.
La Banque de France rappelle qu’un établissement bancaire ne demande jamais à un client de communiquer ses codes de connexion ou ses codes à usage unique par téléphone.
Pourquoi cette fraude est-elle aussi efficace ?
Le spoofing exploite un réflexe très simple : nous accordons naturellement davantage de confiance à un numéro que nous reconnaissons.
La victime peut même vérifier le numéro pendant l’appel et constater qu’il correspond effectivement à celui publié sur le site de sa banque. Cette apparente confirmation réduit considérablement sa méfiance.
Le fraudeur ajoute ensuite une pression psychologique. Il affirme généralement que plusieurs milliers d’euros sont sur le point de disparaître ou qu’une opération doit être bloquée dans les prochaines minutes.
Cette urgence empêche la victime de prendre le temps de réfléchir.
Le discours peut aussi être particulièrement professionnel. Les escrocs connaissent le vocabulaire bancaire et reproduisent les méthodes d’un véritable service client. Certains possèdent suffisamment d’informations sur leur cible pour rendre l’histoire encore plus crédible.
L’authentification forte ne supprime pas complètement ce risque. Au lieu de contourner directement le dispositif de sécurité, le fraudeur cherche à convaincre le titulaire du compte de valider lui-même l’opération.
La fraude par manipulation repart fortement à la hausse
Les dernières statistiques de la Banque de France montrent l’ampleur du problème.
Au premier semestre 2025, les fraudes par manipulation sur les paiements par carte avec authentification forte et les virements effectués depuis la banque en ligne ont représenté environ 245 millions d’euros, contre 179 millions un an auparavant. La hausse atteint ainsi 37 %.
La situation est particulièrement préoccupante pour les virements réalisés depuis les services bancaires en ligne. Les montants de fraude associés à ces opérations ont progressé de 31 % en six mois et de 54 % sur un an.
La fraude par manipulation représentait environ 40 % de la valeur totale de la fraude observée au premier semestre 2025, contre 32 % en 2023 et 2024.
Les méthodes évoluent toutefois. Les fraudeurs ne dépendent plus systématiquement de l’usurpation du véritable numéro fixe d’une banque. Ils utilisent également des numéros mobiles classiques en 06 ou 07 tout en prétendant appartenir au service antifraude.
Le numéro affiché ne doit donc jamais constituer, à lui seul, une preuve de l’identité de l’interlocuteur.
La France tente de bloquer les faux numéros bancaires
Pour lutter contre cette pratique, les opérateurs télécoms ont déployé le Mécanisme d’Authentification des Numéros, ou MAN.
Le dispositif découle de la loi Naegelen. Il utilise des mécanismes d’authentification destinés à vérifier que l’appelant possède effectivement le droit d’utiliser le numéro qu’il affiche.
Le MAN est devenu effectif à grande échelle en octobre 2024 pour les lignes fixes. Son déploiement a ensuite été étendu à la majorité des communications depuis et vers les téléphones mobiles début 2025.
Cette évolution complique l’usurpation directe des numéros officiels des banques. Elle ne fait cependant pas disparaître l’arnaque au faux conseiller.
Les cybercriminels adaptent leurs méthodes. La Banque de France observe notamment qu’ils utilisent désormais davantage des numéros mobiles banalisés pour contacter leurs victimes.
L’escroc n’a alors même plus besoin de reproduire le numéro de la banque. Il lui suffit de construire un scénario suffisamment crédible pour convaincre sa cible.
Comment reconnaître un faux conseiller bancaire ?
Quelques comportements doivent immédiatement éveiller les soupçons. Le premier est une demande de données confidentielles.
Un véritable conseiller ne vous demandera jamais par téléphone votre mot de passe bancaire, vos codes de connexion ou le code à usage unique reçu par SMS.
La même prudence s’impose lorsqu’un interlocuteur demande de valider une opération depuis l’application bancaire sous prétexte de la bloquer.
Il faut également se méfier de toute pression temporelle excessive. Les fraudeurs cherchent souvent à empêcher leur victime de raccrocher, de contacter son agence ou de réfléchir à la situation.
Face au moindre doute, la solution la plus sûre consiste à interrompre l’appel.
Il faut ensuite contacter soi-même la banque depuis son application officielle ou en composant manuellement le numéro inscrit sur son site, sa carte bancaire ou ses documents contractuels. Il ne faut surtout pas rappeler directement le numéro communiqué par l’interlocuteur.
Que faire si vous avez été victime de spoofing ?
La rapidité devient essentielle lorsqu’une information ou une opération bancaire a déjà été compromise.
La première démarche consiste à contacter immédiatement sa banque. Elle pourra bloquer les moyens de paiement concernés, sécuriser l’accès au compte et tenter d’interrompre certaines opérations lorsque cela reste possible.
Les identifiants compromis doivent également être modifiés sans délai.
Si des débits frauduleux apparaissent, ils doivent être signalés à l’établissement bancaire. En principe, une opération non autorisée doit être contestée au plus tard dans les 13 mois suivant le débit. Ce délai peut être ramené à 70 jours lorsque l’établissement du bénéficiaire se situe hors de l’Union européenne ou de l’Espace économique européen.
La question du remboursement dépend toutefois des circonstances de la fraude. La Banque de France précise que le simple fait qu’une opération ait fait l’objet d’une authentification forte ne suffit pas, à lui seul, à démontrer que le client l’a véritablement autorisée. L’établissement doit examiner plus largement les circonstances du dossier.
Une victime peut également conserver les SMS, captures d’écran, numéros utilisés et relevés bancaires afin de documenter les faits lors de ses démarches et d’un éventuel dépôt de plainte.
Un numéro connu n’est plus une preuve d’identité
Le spoofing bancaire montre les limites d’un réflexe longtemps considéré comme rassurant. Voir apparaître le numéro de sa banque sur son téléphone ne garantit plus que la banque se trouve réellement au bout du fil.
Les protections techniques progressent. Le Mécanisme d’Authentification des Numéros rend notamment certaines formes d’usurpation plus difficiles. Mais les fraudeurs déplacent leurs attaques vers d’autres numéros et perfectionnent leurs techniques de manipulation.
La meilleure protection reste donc une règle simple : aucun appel inattendu ne doit conduire à communiquer un code bancaire ou à valider précipitamment une opération.
Lorsqu’un prétendu conseiller annonce une fraude, raccrocher puis contacter soi-même son établissement bancaire reste le moyen le plus sûr de vérifier la situation. Quelques minutes de vérification peuvent éviter qu’une fausse urgence ne se transforme en véritable perte financière.
