Le faux SMS de la banque
Très fréquente Un SMS imite votre banque (« nouveau bénéficiaire ajouté », « opération à valider ») et vous envoie vers un faux site qui vole vos identifiants et votre carte.
| Par où elle arrive | SMS, E-mail, Site web |
|---|---|
| Qui est visé | Tout le monde |
| Ce que vous risquez | Coordonnées bancaires, Un compte piraté, Perdre de l’argent |
| Aussi appelée | smishing bancaire, hameçonnage bancaire, faux SMS nouveau bénéficiaire, phishing banque |
Le message ressemble à une alerte de votre banque : « un nouveau bénéficiaire a été ajouté », « une opération est en attente de validation », « vous devez activer une nouvelle sécurité ». Il contient un lien. Le site qui s’ouvre copie celui de votre banque. Vous y tapez votre identifiant, votre mot de passe, puis le numéro de votre carte et son code au dos. Parfois, on vous demande aussi un code reçu par SMS.
Avec ces informations, les escrocs se connectent à votre compte, ajoutent un bénéficiaire, font des virements ou des achats en ligne. Souvent, le faux site vous redirige ensuite vers le vrai site de la banque : vous ne remarquez rien. Ce premier vol sert aussi à préparer un appel de faux conseiller, plus crédible car l’escroc connaît déjà vos données.
L’hameçonnage est la première menace pour les particuliers en 2025 selon Cybermalveillance.gouv.fr (32,9 % des demandes d’assistance des particuliers), en hausse de 70 % tous publics confondus.
Comment ça se passe
- Vous recevez un SMS ou un courriel aux couleurs de votre banque, avec un ton urgent.
- Le message annonce un nouveau bénéficiaire, une opération à valider ou un compte bientôt bloqué.
- Le lien mène à une copie du site de votre banque.
- Vous saisissez vos identifiants, votre carte, parfois un code reçu par SMS.
- Les escrocs se connectent à votre compte et font des virements ou des achats.
- Le faux site vous renvoie vers le vrai : vous pensez que tout va bien.
À quoi ça ressemble
- Lien dans un SMS de banque
- Adresse du site qui n’est pas celle de votre banque
- Délai très court pour vous presser
- Votre banque ne vous envoie pas de lien de connexion
- Menace de suspension
- Prétexte réglementaire flou
- Bouton qui mène vers un site inconnu
- Formule de politesse générique
Exemple rédigé par IP73 sur le modèle des messages signalés ; le lien et le numéro sont fictifs.
Les signes qui doivent alerter
- Un lien dans un SMS ou un courriel « de votre banque »
- Un ton urgent ou une menace de blocage du compte
- Une adresse de site qui n’est pas exactement celle de votre banque
- On vous demande le numéro complet de votre carte et le code au dos
- On vous demande un code reçu par SMS sur un site ouvert depuis un lien
- Le message ne vous appelle pas par votre nom, ou contient des fautes
Comment vous protéger
- Ne cliquez pas sur les liens reçus par SMS ou courriel : ouvrez votre application ou tapez vous-même l’adresse.
- Vérifiez dans votre application si une alerte existe vraiment.
- Votre banque ne vous demande jamais votre mot de passe ou un code par message.
- Lisez attentivement chaque SMS de validation : il indique l’opération que vous allez autoriser.
- Signalez les SMS suspects au 33700 et les courriels à Signal Spam.
- Activez l’authentification renforcée proposée par votre banque.
Vous êtes victime ?
Tout de suite
- Faites opposition sur votre carte (banque ou 0 892 705 705).
- Appelez votre banque et dites-lui quelles informations vous avez saisies.
- Changez votre mot de passe de banque en ligne.
- Vérifiez que vos coordonnées et vos bénéficiaires n’ont pas été modifiés.
Ensuite
- Gardez le message frauduleux comme preuve.
- Contestez par écrit les opérations que vous n’avez pas autorisées.
- Signalez la fraude à la carte sur Perceval.
- Portez plainte (commissariat, gendarmerie, ou en ligne via THESEE pour une escroquerie sur internet).
- Signalez le SMS au 33700 et le faux site à Phishing Initiative.
- Changez le mot de passe sur tous les sites où vous utilisiez le même.
Vos droits
Les opérations que vous n’avez pas autorisées doivent être remboursées par la banque au plus tard à la fin du premier jour ouvrable après votre signalement (art. L133-18 du Code monétaire et financier), sauf soupçon sérieux de fraude de votre part signalé à la Banque de France. Délai pour contester : 13 mois. La banque peut ensuite invoquer une « négligence grave » (art. L133-19), mais c’est à elle de la prouver. Selon la CJUE (arrêt du 15 octobre 2026, rapporté par Service-public), elle ne peut pas retarder le remboursement pour ce motif. La Cour de cassation (15 janvier 2025) a toutefois jugé qu’une banque n’a pas à supporter la perte d’un client gravement négligent : la décision finale dépend des circonstances.
Qui contacter
Bloque immédiatement votre carte bancaire (perte, vol, fraude). Vous recevez un numéro d’enregistrement qui date votre opposition : gardez-le.
0 892 705 705 (numéro majoré : coût d’un appel vers un fixe + service payant) service-public.gouv.fr/particuliers/vosdroits/F31324 ↗
Bloque la carte, les accès en ligne et les virements, enregistre la contestation des opérations, et peut demander le retour des fonds d’un virement.
Le numéro figurant au dos de votre carte, dans votre appli ou sur le site officiel de votre banque (jamais un numéro donné dans un SMS ou un appel reçu)
Démarche en ligne sur Service-Public.fr pour signaler des achats en ligne faits avec votre carte sans votre accord. Le signalement est traité par la Gendarmerie nationale ; vous recevez un récépissé à transmettre à votre banque.
Téléservice du ministère de l’Intérieur pour déposer plainte ou faire un signalement en ligne pour une e-escroquerie. Après validation, vous êtes informé des suites, des aides possibles et de l’arrestation éventuelle de l’auteur.
Plateforme des opérateurs pour signaler les SMS, MMS et appels indésirables ou frauduleux. Les signalements sont transmis chaque jour aux opérateurs, qui peuvent couper les numéros en cause.
33700 : transférez le SMS suspect par SMS au 33700 (service gratuit) 33700.fr ↗
Association (partenaire de la CNIL et des autorités) qui collecte les signalements de courriels indésirables et d’hameçonnage et les transmet aux acteurs capables d’agir.
Service où chacun peut signaler l’adresse d’un site d’hameçonnage francophone. Après vérification par le CERT Orange Cyberdefense, l’adresse est bloquée dans les navigateurs partenaires.
Plateforme du ministère de l’Intérieur pour signaler les contenus illicites publics sur internet : mise en danger des personnes, terrorisme, menaces, pédocriminalité, haine, traite des êtres humains, trafics, cruauté envers les animaux, escroquerie en ligne.
Assistance en ligne pour toutes les victimes de cybermalveillance : un diagnostic en quelques questions, des conseils adaptés, la mise en relation avec un prestataire informatique et, si la menace le justifie, un échange par tchat avec un policier ou un gendarme. Ce n’est pas un dépôt de plainte.
Dans l’actualité
- Campagnes de phishing IA ciblent les comptes Microsoft et Google 6 novembre 2026
- Compromission de la chaîne npm : le ver Shai-Hulud infecte 500 paquets 3 novembre 2026
- Vulnérabilité Node-RED : exploitation sans authentification sur l’OT 3 novembre 2026
- Unit 42 : l’IA s’intègre aux campagnes d’attaques cybernétiques 3 novembre 2026
- Fuite de données DHS : 40 000 employés exposés via une faille IAM 30 octobre 2026
Arnaques du même type
Sources
- Recrudescence de l’hameçonnage bancaire (DSP2) — Cybermalveillance.gouv.fr (2026-03-17)
- Que faire en cas d’hameçonnage ou de phishing ? — Cybermalveillance.gouv.fr (2026-10-26)
- Cybermalveillance.gouv.fr dévoile les tendances de la menace cyber en France — Cybermalveillance.gouv.fr (2026-03-26)
- Code monétaire et financier, articles L133-18 à L133-20 — Légifrance (2026-11-08)
- Arnaque en ligne : la banque doit-elle vous rembourser si vous avez transmis vos coordonnées bancaires ? — Service-public.gouv.fr (2026-11-02)
Fiche vérifiée le 8 novembre 2026.
Ce guide informe ; il ne remplace ni les services officiels ni un avocat. En cas d’urgence ou de danger, appelez le 17.
Sources : services publics (Cybermalveillance.gouv.fr, CERT-FR, DGCCRF, AMF, police, gendarmerie…) et références internationales, citées sur chaque fiche. Les exemples de messages sont rédigés par nos soins à partir des alertes officielles : ils ne reprennent aucun vrai numéro ni lien. Guide revu chaque semaine (notre méthode). Dernière mise à jour : 8 novembre 2026. Données en JSON (CC BY 4.0).