L’essentiel
- Si vous avez seulement ouvert la page, fermez-la sans saisir d’information ni télécharger de fichier, puis vérifiez vos opérations.
- Si vous avez communiqué un mot de passe ou un code, contactez immédiatement votre banque depuis un canal fiable.
- Si vous avez transmis les données de votre carte, faites opposition sans attendre auprès de votre banque.
- Ne validez aucune notification et ne communiquez aucun code à une personne qui vous appelle ou vous écrit.
- Conservez le SMS ou le mail et signalez-le au dispositif adapté à son canal de réception.
Si vous avez cliqué sur un faux SMS ou mail de banque, fermez la page et ne saisissez plus rien. La suite dépend de ce que vous avez fait : un clic sans saisie n’expose pas les mêmes données qu’un mot de passe communiqué, une validation dans l’application bancaire ou des coordonnées de carte transmises.
En cas de doute, contactez votre banque immédiatement depuis son application officielle ou le numéro indiqué sur votre carte ou un relevé, jamais depuis le message reçu. Si vous avez donné des données de carte, faites opposition sans attendre. Gardez le message et les captures d’écran : ils pourront aider la banque à comprendre la fraude.
Cliquer sur un lien suffit-il à compromettre votre compte ?
Pas nécessairement. Un lien peut mener à une fausse page conçue pour voler vos identifiants ou à un téléchargement malveillant. Si vous avez uniquement ouvert la page, sans rien saisir, télécharger ni autoriser, les fraudeurs n’ont pas automatiquement accès à vos identifiants bancaires. Fermez l’onglet et ne retournez pas sur le site.
Un appareil à jour réduit certains risques, sans permettre de garantir qu’il n’y en a aucun. Si un fichier s’est téléchargé, si vous avez installé une application ou si une personne a pris le contrôle de votre téléphone ou ordinateur, cessez d’utiliser cet appareil pour vos opérations bancaires. Appelez la banque depuis un autre appareil fiable et expliquez précisément ce qui s’est passé.
Vous avez saisi des informations ou validé une opération
La saisie d’un identifiant, d’un mot de passe, d’un code reçu par SMS ou d’une réponse à une notification change le niveau de risque. La banque doit alors être prévenue rapidement, même si aucune opération suspecte n’apparaît encore. Les fraudeurs peuvent attendre, tenter une connexion ou utiliser les informations pour vous appeler en se faisant passer pour un conseiller.
Une notification d’authentification forte n’est pas un simple contrôle
Une demande de validation peut autoriser une connexion, l’ajout d’un bénéficiaire ou un paiement. Ne l’approuvez que si vous avez vous-même lancé l’action et que les informations affichées correspondent. Pour comprendre ce que votre banque vérifie lors d’une validation, consultez notre page sur l’authentification forte.
Quels signes permettent de repérer un faux SMS ou mail ?
Un message frauduleux cherche souvent à vous faire agir vite : carte bloquée, paiement à confirmer, compte suspendu ou remboursement à recevoir. Il peut comporter une adresse inhabituelle, des fautes, une formule impersonnelle ou un lien dont le nom ressemble à celui de votre banque. Mais un message bien rédigé et personnalisé peut aussi être frauduleux.
Vérifiez l’expéditeur, sans considérer son nom affiché comme une preuve. Une adresse d’expédition peut être imitée ou usurpée, et un numéro de téléphone peut être falsifié. Ne répondez pas au message et n’appelez pas le numéro qu’il fournit. Ouvrez plutôt l’application bancaire déjà installée ou saisissez vous-même l’adresse habituelle de votre banque.
- Le message crée une urgence ou menace de bloquer un service si vous n’agissez pas immédiatement.
- Le lien mène vers une adresse différente de celle de la banque, avec une faute, un ajout ou une suite de caractères inhabituelle.
- La page demande des informations qui ne sont pas nécessaires à l’action annoncée, comme plusieurs codes successifs ou des données de carte complètes.
- L’interlocuteur vous demande de garder l’échange secret, d’installer un outil ou de valider une opération pour la « sécuriser ».
- Le message vous pousse à poursuivre depuis le lien plutôt qu’à vérifier directement dans l’application officielle.
L’adresse d’expédition, le logo et le cadenas affiché dans le navigateur ne suffisent pas à authentifier un site. Si le message semble plausible, vérifiez par un autre canal : une opération à confirmer doit apparaître dans votre espace officiel, pas seulement dans le lien reçu. Ne cliquez pas une seconde fois pour examiner l’adresse.
Quels gestes faire dans les premières minutes ?
Commencez par interrompre l’échange : fermez la page, ne répondez pas et n’ouvrez pas les pièces jointes. Si vous avez fourni une information, appelez votre banque sans attendre de voir si une opération apparaît. Une alerte rapide peut permettre de bloquer un accès, une carte ou une opération avant qu’elle ne soit utilisée.
Sécuriser la situation dans le bon ordre
1. Utilisez un canal fiable
Ouvrez l’application bancaire officielle déjà installée ou appelez le numéro inscrit sur votre carte ou un relevé. Si votre téléphone ou votre ordinateur peut être contrôlé, prenez un autre appareil pour contacter la banque.
2. Décrivez les informations exposées
Précisez si vous avez saisi un identifiant, un mot de passe, un code SMS, les données de carte ou des informations personnelles. Dites également si vous avez validé une notification, ajouté un bénéficiaire, effectué un virement ou installé une application.
3. Demandez les mesures adaptées
Selon le cas, demandez le blocage de l’accès en ligne, la déconnexion des sessions ouvertes, la sécurisation du compte ou l’opposition à la carte. Suivez les consignes de la banque et demandez comment contester une opération déjà enregistrée.
4. Changez les accès depuis un appareil sûr
Si un mot de passe a été saisi, modifiez-le depuis l’application officielle ou un appareil fiable. Changez aussi le mot de passe de votre messagerie si le même code était utilisé, car l’accès au mail peut servir à réinitialiser d’autres comptes.
5. Notez les faits et vérifiez le compte
Consignez l’heure du message, du clic et de votre appel à la banque, puis consultez les opérations et les alertes. Gardez une trace des mesures prises et de la référence de votre échange avec le service bancaire.
Que faire selon les données que vous avez communiquées ?
Agissez en fonction de l’information exposée, et dites à la banque exactement ce que vous avez fait. Un identifiant seul, un code de validation et les données complètes d’une carte ne donnent pas les mêmes possibilités aux fraudeurs. Le tableau ci-dessous indique les premiers gestes, mais les consignes de votre banque restent prioritaires.
| Ce que vous avez fait | Risque principal | Premier geste |
|---|---|---|
| Vous avez seulement ouvert le lien | Exposition limitée, sauf téléchargement ou faille de l’appareil | Fermez la page, ne téléchargez rien et vérifiez les opérations. Contactez la banque si vous avez le moindre doute ou constatez une activité inconnue. |
| Vous avez saisi un identifiant ou un mot de passe | Connexion possible à votre espace, surtout si le mot de passe est réutilisé | Appelez la banque, faites bloquer ou sécuriser l’accès et changez le mot de passe depuis un appareil fiable. |
| Vous avez donné un code ou validé une notification | Connexion, ajout de bénéficiaire ou paiement potentiellement autorisé | Alertez immédiatement la banque. Dites ce que la notification affichait et demandez la vérification des opérations et bénéficiaires. |
| Vous avez saisi le numéro, la date ou le cryptogramme de la carte | Paiement à distance possible | Faites opposition auprès de la banque, même sans débit constaté, puis surveillez les opérations. |
| Vous avez installé un fichier ou autorisé une prise en main à distance | Accès possible aux données ou à l’écran de l’appareil | Cessez d’utiliser l’appareil pour la banque. Appelez depuis un autre appareil fiable et demandez conseil avant de le réutiliser. |
| Vous avez envoyé un virement ou ajouté un bénéficiaire | Transfert d’argent, parfois difficile à récupérer | Appelez tout de suite la banque et demandez si un blocage ou un rappel du virement est encore possible. |
Si vos identifiants bancaires ont été saisis
Changez le mot de passe bancaire uniquement depuis l’application ou le site officiel, sur un appareil que vous estimez sûr. Si vous réutilisiez ce mot de passe ailleurs, modifiez aussi les accès concernés, en commençant par votre messagerie. Ne choisissez pas un nouveau mot de passe à partir d’un lien reçu par SMS ou mail, même si le message se présente comme une alerte de sécurité.
Demandez à la banque de vérifier les connexions récentes, les appareils enregistrés, les coordonnées de contact et les bénéficiaires ajoutés. Si vous ne pouvez plus accéder au compte, n’essayez pas de passer par un numéro trouvé dans un message ou une annonce : utilisez un numéro officiel connu ou rendez-vous dans une agence si votre banque en dispose.
Si vous avez communiqué des données de carte
Faites opposition sans attendre par l’application officielle ou le service d’opposition indiqué par votre banque. Bloquer temporairement la carte dans l’application peut être utile, mais vérifiez avec la banque si cette action équivaut à une opposition définitive et si une nouvelle carte doit être commandée. Les démarches de contestation diffèrent selon qu’il s’agit d’un paiement inconnu ou d’une opération que vous avez vous-même validée sous manipulation.
Pour une opération inconnue, signalez-la à la banque et suivez la procédure de contestation. Notre guide sur la fraude à la carte bancaire détaille les démarches de remboursement. Si vous avez vous-même envoyé un virement après avoir été trompé, expliquez-le sans attendre : la situation relève d’un autre examen, présenté dans notre page sur le virement effectué après manipulation.
Comment surveiller les opérations et contester un débit ?
Après votre appel, consultez régulièrement les opérations récentes, les paiements en attente, les virements programmés et les bénéficiaires enregistrés. Activez les notifications proposées par votre banque si elles ne le sont pas déjà. Une petite opération peut aussi servir à tester une carte : signalez toute opération que vous ne reconnaissez pas, quel que soit son montant.
La loi prévoit le remboursement d’une opération de paiement non autorisée au plus tard à la fin du premier jour ouvrable suivant le signalement, sauf si la banque prouve une fraude ou une négligence grave du client. Cette règle concerne une opération non autorisée ; elle ne garantit pas automatiquement le remboursement d’un virement que la victime a elle-même validé après avoir été manipulée. La banque examine les circonstances et la nature de l’opération.
Pour contester un paiement non autorisé, avertissez la banque dès que vous le repérez et fournissez les éléments demandés. Le délai maximal de contestation prévu est de 13 mois à compter du débit, mais attendre peut compliquer les démarches et laisser passer d’autres opérations. En cas de perte ou de vol de la carte avec utilisation du code avant opposition, une franchise de 50 euros au plus peut rester à votre charge, sous réserve des règles applicables à votre situation.
Si une notification vous a fait croire que vous bloquiez une fraude alors que vous validiez un paiement, racontez précisément la scène : contenu du message, appel reçu, consignes données et écran affiché. L’authentification forte prouve qu’une étape de vérification a eu lieu, mais les circonstances de l’opération doivent aussi être examinées. Si le service client puis le service réclamations ne résolvent pas le litige, vous pouvez saisir gratuitement le médiateur bancaire désigné par votre banque.
Comment signaler le message et conserver des preuves ?
Conservez le SMS ou le mail d’origine, les captures d’écran de la fausse page, l’adresse du site si elle est visible sans la rouvrir, ainsi que les notifications reçues. Notez la date et l’heure, les informations transmises et les échanges avec la banque. Ne transférez pas le message à vos proches avec son lien actif : prévenez-les séparément pour éviter qu’ils cliquent à leur tour.
Le signalement dépend du canal : les SMS suspects peuvent être signalés au 33700, les courriels indésirables à Signal Spam et les sites de hameçonnage à Phishing Initiative. Cybermalveillance.gouv.fr fournit également des conseils aux victimes. Utilisez les consignes officielles de ces dispositifs et ne retournez pas sur le site frauduleux pour tenter de vérifier s’il fonctionne encore.
Si de l’argent a été débité, si votre identité est utilisée ou si vous subissez une menace, gardez les éléments de preuve et envisagez de déposer plainte auprès de la police ou de la gendarmerie. Le signalement d’un message et la plainte n’ont pas le même rôle : l’un aide à faire repérer le contenu frauduleux, l’autre permet de déclarer les faits subis. Dans les deux cas, la déclaration à votre banque reste une démarche distincte.
Quelles erreurs éviter après un hameçonnage bancaire ?
Ne culpabilisez pas et ne minimisez pas l’incident. Les faux messages sont conçus pour imiter des échanges ordinaires et provoquer une réaction rapide. Le bon réflexe est de décrire les faits à la banque, même si vous avez communiqué un code ou approuvé une demande : cacher une étape peut retarder la sécurisation du compte.
- Ne rappelez pas le numéro du message et ne répondez pas à la personne qui prétend vous aider à annuler la fraude.
- Ne validez pas une demande de connexion ou de paiement pour « bloquer » le fraudeur et ne transmettez aucun code de confirmation.
- Ne vous contentez pas de changer un mot de passe si vous avez aussi saisi des données de carte, installé un logiciel ou approuvé un virement.
- Ne supprimez pas les messages avant d’avoir conservé des preuves utiles à la banque ou à un dépôt de plainte.
- Ne réutilisez pas le lien pour consulter votre compte : ouvrez vous-même l’application officielle ou contactez la banque par un canal connu.
Si vous avez perdu le contrôle de l’espace bancaire ou constatez des connexions et opérations que vous n’avez pas faites, demandez à la banque de sécuriser le compte et suivez ses consignes pour reprendre l’accès. Notre guide consacré au compte bancaire piraté détaille les vérifications utiles lorsque l’accès lui-même est compromis. Prévenez aussi les proches susceptibles de recevoir le même faux message, surtout si votre compte de messagerie ou votre téléphone a été touché.
Questions fréquentes
J’ai cliqué sur un faux lien bancaire sans rien saisir, dois-je appeler ma banque ?
Si vous avez seulement ouvert la page, sans saisir d’information, télécharger de fichier ni valider de demande, le risque est généralement plus limité. Fermez l’onglet, n’y retournez pas et vérifiez vos opérations depuis l’application officielle. Contactez la banque si vous avez le moindre doute, si une activité inconnue apparaît ou si un fichier s’est téléchargé. Si votre appareil semble contrôlé, appelez depuis un autre appareil fiable.
J’ai donné mon mot de passe bancaire sur un faux site, que faire en premier ?
Appelez immédiatement votre banque depuis son application officielle ou un numéro vérifié, et demandez la sécurisation de l’accès. Changez ensuite le mot de passe depuis un appareil fiable, pas depuis le lien reçu. Si ce mot de passe était réutilisé pour votre messagerie ou un autre service, modifiez aussi ces accès. Demandez à la banque de vérifier les connexions, les bénéficiaires et les coordonnées enregistrées.
Faut-il faire opposition si j’ai seulement saisi les données de ma carte ?
Oui, contactez immédiatement votre banque pour faire opposition si vous avez communiqué le numéro de carte, sa date d’expiration ou son cryptogramme. N’attendez pas de voir apparaître un paiement : les données peuvent être utilisées plus tard. Utilisez l’application officielle ou le service d’opposition connu, puis surveillez les opérations et contestez sans délai tout débit que vous ne reconnaissez pas.
La banque doit-elle rembourser un virement que j’ai validé après un faux SMS ?
Le remboursement n’est pas automatique lorsque vous avez vous-même validé le virement, même si vous l’avez fait sous l’effet d’une tromperie. Appelez immédiatement la banque pour demander si un blocage ou un rappel est encore possible et déclarez les circonstances exactes. La banque examine la nature de l’opération et les éléments du dossier. Conservez le message, les échanges et les preuves de validation.
Puis-je supprimer le SMS ou le mail après l’avoir signalé ?
Conservez d’abord le message d’origine et, si possible, des captures d’écran montrant l’expéditeur, le contenu et l’adresse frauduleuse. Ces éléments peuvent aider la banque ou les autorités à comprendre les faits. Vous pouvez ensuite signaler le message au dispositif adapté à son canal. Évitez de le transférer avec son lien actif à vos proches : avertissez-les dans un nouveau message.
Que faire si un faux conseiller m’a fait installer une application ?
Cessez d’utiliser l’appareil pour vos opérations bancaires et contactez la banque depuis un autre téléphone ou ordinateur fiable. Expliquez quelle application vous avez installée et si vous avez autorisé un partage d’écran ou un contrôle à distance. Suivez les consignes de la banque avant de réutiliser l’appareil. Changez vos accès depuis un appareil sûr et faites vérifier les opérations et les paramètres du compte.
