Spoofing bancaire : comment l’arnaque au faux conseiller détourne les validations de sécurité

L’arnaque au faux conseiller bancaire, aussi appelée spoofing, ne consiste pas à pirater les outils de sécurité des banques, mais à pousser les clients à les utiliser au profit des fraudeurs. Le procédé repose sur un faux appel affichant le vrai numéro de la banque, des informations personnelles crédibles et des demandes de validation servant de mesures de protection. En 2024, ce type de fraude a représenté 382 millions d’euros en France, soit près d’un tiers des montants volés via les moyens de paiement.

Le mécanisme est désormais bien identifié. Les escrocs se présentent comme le service fraude de la banque, évoquent une opération suspecte, puis demandent à la victime de confirmer sur l’outil d’authentification renforcée de son établissement une action supposée bloquer la fraude. En réalité, cette validation permet d’exécuter de vraies opérations : réinitialisation du mot de passe, ajout de bénéficiaires ou virements instantanés.

Le 24 août 2022, Laura, cliente de la Caisse d’Épargne et de Prévoyance Côte d’Azur, a ainsi perdu 10 000 euros en quelques minutes. La personne qui l’a appelée connaissait son identifiant bancaire, le nom de son conseiller habituel et des informations sur sa famille. Des SMS similaires à ceux de la banque arrivaient en parallèle. Laura n’a communiqué ni mot de passe ni code secret reçu par SMS, mais en validant plusieurs notifications sur Secure Pass, elle a autorisé sans le savoir les opérations frauduleuses.

Une manipulation fondée sur la confiance

Jeanne Le Méliner, fondatrice d’IyWP et ex-bancaire, rappelle que le numéro affiché lors d’un appel « n’est pas forcément une preuve de son identité ». Dans certains systèmes de téléphonie, notamment via internet, ce numéro peut être paramétré. Elle explique que les escrocs récupèrent souvent des informations personnelles « via du phishing ou encore des fuites de données », puis déclenchent, ou font déclencher, une opération que la victime valide en croyant annuler une fraude.

« Ce n’est pas le système de sécurité qui est piraté, mais votre confiance qui est manipulée. »

Jeanne Le Méliner, fondatrice d’IyWP et ex-bancaire

Le schéma est récurrent : prise de contact sous une apparence d’autorité, création d’une urgence, puis obtention d’une action de la victime elle-même, persuadée de se protéger.

D’autres cas illustrent ce mode opératoire. À Paris, une cliente de Société Générale a perdu 3 300 euros après un appel évoquant un paiement suspect depuis l’étranger et une validation obtenue sous pression. À Bordeaux, un client de La Banque Postale a reçu un SMS signalant une transaction suspecte de 700 euros. En rappelant le numéro indiqué, il a cru joindre sa banque. Sa carte, prétendument compromise, devait être récupérée par un coursier ; un homme en gilet jaune s’est présenté à son domicile alors que des retraits avaient déjà commencé.

Des décisions de justice favorables aux victimes

Après les faits, Laura a demandé à sa banque le remboursement des sommes détournées. La Caisse d’Épargne et de Prévoyance Côte d’Azur l’a refusé, estimant qu’elle avait elle-même validé les opérations via Secure Pass et qu’il s’agissait d’une négligence grave.

Le tribunal n’a pas suivi cette analyse. Il a jugé que la validation d’une opération via un dispositif d’authentification renforcée ne prouve pas un consentement éclairé, mais seulement que la bonne action technique a été effectuée sur le bon téléphone. La banque n’ayant pas démontré que sa cliente avait communiqué son code secret ni agi avec une légèreté manifeste, elle a été condamnée à rembourser l’intégralité des 10 000 euros ainsi que les frais de procédure.

Ce raisonnement s’inscrit dans une ligne déjà retenue par la Cour de cassation dans un dossier impliquant un client de BNP Paribas, victime un an plus tôt d’une fraude de 54 500 euros dans des circonstances proches. La haute juridiction a rappelé que ce n’est pas à la victime de prouver l’absence de négligence grave, mais à la banque de l’établir. Le seul fait d’avoir validé l’opération ne suffit pas, à lui seul, à démontrer qu’une personne raisonnablement prudente aurait dû reconnaître l’arnaque.

Une autre décision, rendue quelques mois plus tard, a ensuite étendu cette protection à une salariée manipulée après un faux appel venant de la banque de son entreprise.

Une prévention renforcée, mais un contentieux encore ouvert

Depuis fin 2024, la France a renforcé l’authentification des numéros afin de permettre aux opérateurs de bloquer les appels dont l’origine ne peut pas être correctement vérifiée. L’objectif est d’empêcher l’affichage de faux numéros se faisant passer pour ceux d’une banque.

Pour autant, les litiges ne sont pas clos. En mars 2026, un autre dossier de spoofing est arrivé devant la Cour de cassation. Un client avait obtenu la condamnation de sa banque à le rembourser, mais cette décision a été annulée et l’affaire renvoyée devant une autre juridiction. Le message de validation envoyé par la banque mentionnait clairement un « paiement », alors que l’escroc parlait d’une annulation. La Cour de cassation a estimé que cet écart devait être examiné plus précisément avant d’écarter toute négligence de la victime.

Jeanne Le Méliner rappelle qu’une banque « ne vous demandera jamais de valider une opération pour éviter une fraude ou sécuriser votre compte ». Elle recommande de raccrocher et de rappeler soi-même l’établissement via le numéro figurant sur son site internet ou son application. Si une validation a déjà été effectuée, elle conseille de contacter immédiatement la banque, de faire opposition à la carte, de contester les opérations frauduleuses et de déposer plainte. En cas de refus de remboursement, elle mentionne la possibilité d’une réclamation, d’une saisine du médiateur bancaire ou d’une action en justice.