Elle décroche à Metz, son conseiller bancaire lui parle d’un paiement suspect : elle valide l’annulation et 1 900 euros quittent son compte

Ne manquez aucune actuSuivez-nous sur Google News→

Il était 18 h 40, un mardi de novembre, et la pluie tapait contre la fenêtre de la cuisine, rue Mazelle, à Metz. Claire égouttait des pâtes quand son téléphone a vibré sur la toile cirée. Sur l'écran, le nom de sa banque, le même que d'habitude. Elle a coincé l'appareil contre son épaule, une main encore sur la passoire brûlante.

Une vie bien rangée entre la cathédrale et la gare de Metz

Claire a quarante-sept ans et travaille comme assistante dans un cabinet de kinésithérapie, près de la place Saint-Louis. Elle vit seule depuis que son fils est parti étudier à Nancy, dans un trois-pièces au deuxième étage. Ses comptes, elle les tient avec soin, presque avec fierté, sur un petit carnet à spirale rangé dans le tiroir du buffet. Chaque dimanche soir, elle ouvre l'application de sa banque et vérifie les dépenses de la semaine passée. Elle n'a jamais eu de découvert, jamais de mauvaise surprise, jamais besoin d'appeler qui que ce soit.

Elle est cliente de la même agence depuis vingt-deux ans, celle de son premier emploi et de son premier prêt automobile. Elle connaît le prénom de la conseillère, une femme souriante qui lui envoie une carte chaque année en janvier. Claire a entendu parler des arnaques, bien sûr, des faux colis et des messages bizarres. Mais elle se croyait à l'abri, parce qu'elle ne clique jamais sur les liens et efface les courriels douteux.

Ce soir-là, elle avait prévu une soirée ordinaire, un plat de pâtes, une série, un coup de fil à son fils. Sur le compte courant dormaient un peu plus de deux mille euros, mis de côté pour changer la chaudière au printemps. Le chauffagiste lui avait fait un devis, elle l'avait aimanté sur le frigo, juste à côté du calendrier de la pharmacie. Rien, dans cette cuisine éclairée et ce bruit de pluie, ne laissait imaginer que la soirée allait tourner autrement. Le téléphone a vibré, et elle a vu le nom rassurant de sa banque s'afficher sur l'écran.

Un homme poli qui connaît son nom et sa carte

L'homme au bout du fil s'est présenté comme Thomas, du service de sécurité des paiements, avec une voix calme et posée. Il l'a appelée par son nom complet, a cité les quatre derniers chiffres de sa carte bancaire sans la moindre hésitation. Il lui a expliqué qu'une transaction de 1 900 euros venait d'être tentée depuis un site marchand basé à l'étranger. Claire a senti son ventre se serrer, parce que ce montant correspondait presque exactement à son épargne pour la chaudière. Elle a posé la passoire dans l'évier et s'est assise sur la chaise la plus proche.

Je n'ai rien acheté, a-t-elle dit, et l'homme a répondu qu'il s'en doutait, que c'était précisément pour cela qu'il appelait. Il parlait comme un professionnel, sans précipitation, en employant les mots que l'on entend dans les agences. Il a proposé de bloquer l'opération immédiatement, avant qu'elle ne soit définitivement débitée sur son compte. Pour cela, a-t-il précisé, elle allait recevoir une notification sur son application, qu'il faudrait simplement valider. C'était, selon lui, la procédure normale d'annulation, celle qui protège les clients contre ce genre de fraude.

Claire a trouvé cela logique, et même plutôt rassurant, de voir sa banque réagir aussi vite. Elle se souvenait d'avoir lu que les établissements surveillaient les paiements inhabituels avec des systèmes automatiques. Le numéro affiché était celui de son agence, elle l'avait vérifié d'un coup d'œil en décrochant. Rien ne clochait, pensait-elle, puisque l'appel venait de chez eux et que l'homme savait tout d'elle. Elle a ouvert l'application, le pouce un peu tremblant.

« Le numéro de mon agence s'affichait, alors honnêtement, je n'ai même pas imaginé que ça puisse être quelqu'un d'autre. »

Une notification au libellé étrange qu'elle valide quand même

La notification est arrivée quelques secondes plus tard, avec le logo habituel et le bandeau bleu qu'elle connaissait par cœur. Le texte demandait de confirmer une opération de 1 900 euros, sans le mot annulation nulle part sur l'écran. Claire a hésité, le pouce suspendu au-dessus du bouton vert, et elle l'a fait remarquer à son interlocuteur. Ça marque confirmer, pas annuler, a-t-elle dit d'une voix un peu plus aiguë que d'habitude. L'homme n'a pas marqué la moindre pause, comme s'il attendait exactement cette objection depuis le début.

Il a expliqué que le système informatique utilisait toujours le même libellé, qu'il fallait confirmer la demande de blocage. Il a ajouté, d'un ton presque amusé, que beaucoup de clients posaient la même question et que c'était un défaut connu. Puis il a insisté doucement sur le délai, en précisant que l'opération partirait dans deux minutes sans réaction. Claire a regardé l'horloge du four, qui affichait 18 h 47, et elle a senti la pression monter dans sa poitrine. Elle a saisi son code secret, celui qu'elle utilise pour tout, et elle a appuyé sur le bouton.

L'homme l'a remerciée chaleureusement, lui a dit que tout était réglé et qu'elle recevrait un courrier de confirmation. Il lui a conseillé de ne pas utiliser sa carte pendant quarante-huit heures, le temps que le dossier soit traité. Elle a raccroché avec un soulagement immense, comme après avoir évité de justesse un accident sur la route. Elle a même envoyé un message à son fils pour lui raconter que sa banque venait de lui sauver la mise.

Le solde qui ne bouge pas et l'agence qui ne sait rien

Le lendemain matin, avant de partir au cabinet, Claire a ouvert l'application pour vérifier que tout était bien rentré dans l'ordre. Le solde affichait cent vingt euros, et une ligne de 1 900 euros apparaissait en virement vers un compte inconnu. Elle a relu trois fois, en se disant qu'il s'agissait sans doute de l'opération bloquée, encore visible à l'écran. Mais le libellé indiquait bien un virement exécuté, et non une opération annulée ou en attente. Elle a appelé le numéro de son agence, celui qui s'était affiché la veille, les mains glacées.

La conseillère qu'elle connaissait depuis des années a décroché, et elle a tout de suite compris en entendant le récit. Personne chez nous ne vous a appelée hier soir, a-t-elle dit doucement, nous ne demandons jamais de valider une opération par téléphone. Claire a protesté, elle a répété que le numéro était le leur, qu'elle l'avait vu de ses propres yeux. La conseillère a soupiré, puis elle a expliqué que d'autres clients avaient vécu exactement la même scène ce mois-ci. Elle a fait opposition sur la carte et ouvert une demande de contestation dans la foulée.

Claire est partie travailler avec la sensation d'avoir été cambriolée, alors que personne n'était entré chez elle. Entre deux patients, elle a appelé un numéro trouvé sur internet pour joindre le service fraude, sans parvenir à parler à quelqu'un. Le soir, elle a déposé plainte au commissariat, où un policier a noté son récit sans paraître surpris. Une semaine plus tard, un courrier de la banque est arrivé, refusant le remboursement. Le motif tenait en une ligne : l'opération avait été validée par la cliente avec son dispositif d'authentification personnel.

« Ça marque confirmer, pas annuler, je lui ai dit, et il m'a répondu que c'était un défaut connu du système. »

Le numéro était faux, et la validation servait au virement

C'est un ami de son frère, juriste dans une association de consommateurs à Metz, qui lui a expliqué ce qui s'était réellement passé. Le numéro affiché sur son écran n'était pas celui de la banque, il avait été usurpé grâce à une technique appelée spoofing. Les escrocs peuvent faire apparaître n'importe quel numéro sur le téléphone de leur cible, y compris celui d'une agence bancaire. Quant aux quatre chiffres de la carte et à son nom, ils provenaient sans doute d'une fuite de données ancienne. Rien de tout cela ne prouvait que l'homme travaillait pour la banque.

Le cœur de l'arnaque tenait dans la notification elle-même, ce petit écran bleu qu'elle avait pourtant regardé avec méfiance. En réalité, il n'existait aucune opération suspecte à bloquer, le paiement de 1 900 euros n'avait jamais été tenté. C'est l'escroc qui avait lancé le virement depuis son côté, avec les informations qu'il possédait déjà. La validation demandée servait précisément à autoriser ce virement, et le mot confirmer disait exactement la vérité. Le faux conseiller avait simplement transformé, par la parole, un feu vert en feu rouge. C'est la manœuvre des faux conseillers bancaires.

Le juriste lui a ensuite parlé de la règle qui s'applique dans ce genre de cas, en restant prudent sur l'issue. Selon lui, le code monétaire et financier impose à la banque de rembourser une opération que le client n'a pas réellement autorisée. La banque ne peut refuser que si elle prouve une négligence grave de la part de son client, et c'est à elle d'apporter cette preuve. Il a ajouté que les tribunaux, et notamment la Cour de cassation, interprètent cette notion de façon stricte. Avoir été trompé par une manipulation habile ne suffit pas forcément, à ses yeux, pour parler de négligence grave.

Ce que Claire a obtenu, et ce qu'elle surveille désormais

Avec l'aide de l'association, Claire a rédigé une réclamation écrite, envoyée en recommandé avec accusé de réception à son agence. Elle y a joint le dépôt de plainte, une capture d'écran de son journal d'appels et le récit précis de la conversation. Elle a demandé le remboursement en rappelant que la banque devait démontrer une négligence grave, et non simplement constater la validation. Sans réponse satisfaisante sous deux mois, elle savait qu'elle pourrait saisir le médiateur bancaire, puis le tribunal. Le dossier est encore en cours, et la chaudière attendra probablement le printemps suivant.

Ce qui l'a le plus marquée, raconte-t-elle, ce n'est pas l'argent mais la facilité avec laquelle sa vigilance a été retournée. Je croyais être prudente, je l'étais, et c'est justement ma prudence qu'il a utilisée contre moi, dit-elle. Elle en parle désormais autour d'elle, au cabinet, à ses voisins, à sa mère qui a soixante-seize ans. Elle a remarqué que presque tout le monde a déjà reçu un appel de ce genre, sans forcément y répondre. Pour elle, le seul vrai réflexe consiste à raccrocher et à rappeler soi-même le numéro inscrit sur sa carte.

Dans sa cuisine, le devis du chauffagiste est toujours aimanté sur le frigo, à côté d'un papier qu'elle a écrit à la main. On y lit quelques règles simples, notées au feutre noir, qu'elle relit chaque fois que le téléphone sonne. Claire ne prétend pas donner de leçons, elle raconte seulement ce qu'elle aurait voulu savoir ce mardi-là. Chacun peut vérifier chez soi comment fonctionne son application et ce que disent vraiment ses notifications. En cas de doute sur ses droits, elle conseille de se rapprocher d'une association de consommateurs pour faire le point.

« Je croyais être prudente, je l'étais, et c'est justement ma prudence qu'il a utilisée contre moi. »

• Un numéro affiché ne prouve rien : il peut être usurpé, raccrochez et rappelez le numéro au dos de votre carte.
• Lisez chaque notification : « confirmer » ou « valider » autorise une opération, jamais une annulation.
• Aucun conseiller ne doit vous demander de valider une opération ou de donner un code par téléphone.
• En cas de fraude, faites opposition, déposez plainte et contestez par écrit en recommandé auprès de votre banque.
• La banque doit rembourser une opération non autorisée sauf si elle prouve une négligence grave de votre part.
• Sans réponse satisfaisante, saisissez le médiateur bancaire ou demandez conseil à une association de consommateurs.