Elle décroche, le numéro de son agence de Caen s’affiche à l’écran : trois minutes plus tard, 4 870 euros quittent son compte courant

Ne manquez aucune actuSuivez-nous sur Google News→

Le lave-vaisselle venait de lancer son cycle, un grondement sourd sous le plan de travail. Il était 18 h 40, un mardi de novembre, et Sylvie épluchait des carottes au-dessus de l'évier. Son téléphone a vibré contre la corbeille à fruits. Sur l'écran, ce nom qu'elle connaissait par cœur, enregistré depuis des années : Agence Caen Vaucelles. Elle s'est essuyé les mains et a décroché.

Une maison tranquille à Caen, et une banque qu'on connaît depuis vingt ans

Sylvie a 58 ans et travaille comme secrétaire médicale dans un cabinet de kinésithérapie, près du Jardin des Plantes. Elle vit avec Gérard, son mari, chauffeur de bus à la retraite, dans une petite maison de la rue Caponière. Leur fille Manon est partie à Rennes pour ses études, et la maison paraît parfois trop grande le soir. Ils ont leurs habitudes, leurs courses du samedi au marché Saint-Sauveur, leurs rituels simples. Rien dans leur vie ne ressemble à une histoire qu'on raconte.

Leur compte est dans la même agence depuis vingt-deux ans. Sylvie y a ouvert son premier livret, signé le prêt de la maison, puis celui de la voiture. Elle connaît le nom de sa conseillère, une certaine Mme Lebrun, qui lui envoie chaque année une carte de vœux un peu impersonnelle. Elle a enregistré le numéro de l'agence dans son téléphone depuis longtemps. Quand ce nom s'affiche, elle répond toujours, parce que c'est souvent pour un rendez-vous ou un papier à signer.

Depuis trois ans, elle gère tout avec l'application de la banque. Gérard se méfie, il préfère encore les relevés papier, mais Sylvie trouve cela pratique. Elle valide ses achats en ligne d'un coup de pouce, reçoit des notifications à chaque paiement, consulte le solde dans le tram. Soyons honnêtes, elle s'en croyait plutôt protégée. Elle avait lu des articles sur les arnaques par SMS et ne cliquait jamais sur les liens bizarres. Elle se pensait du bon côté de la barrière, celle des gens prudents.

Une voix calme annonce qu'un paiement suspect est en cours

La voix au bout du fil était posée, professionnelle, avec un léger accent du Sud. L'homme s'est présenté comme Julien, du service sécurité, travaillant en lien avec l'agence de Vaucelles. Il a donné le nom exact de Mme Lebrun, puis celui de Sylvie, son adresse, et même les quatre derniers chiffres de sa carte. Il expliquait qu'un paiement de 4 870 euros était en train d'être tenté depuis un site d'électronique en Belgique. Il fallait agir vite, disait-il, avant que l'opération ne soit définitivement acceptée par le système.

Sylvie a senti son ventre se serrer. Elle n'avait rien acheté en Belgique, évidemment, et cette somme représentait presque toutes leurs économies du compte courant. Julien l'a rassurée tout de suite, sans précipitation apparente. Il allait bloquer la carte, disait-il, et faire annuler l'opération frauduleuse. Elle n'avait qu'à rester en ligne et suivre ses indications. Elle s'est assise sur une chaise de la cuisine, le couteau à éplucher encore posé à côté des carottes, et elle a écouté.

Tout semblait logique, et c'est bien ce qui l'a convaincue. Le numéro était le bon, la voix connaissait son dossier, le ton n'avait rien de menaçant. Julien lui a même conseillé de ne jamais communiquer ses codes à personne, pas même à lui. « Je ne vous demanderai jamais votre mot de passe, madame, c'est la règle. » Cette phrase-là l'a définitivement mise en confiance. Un escroc, pensait-elle, ne lui aurait pas fait ce genre de recommandation. Elle se sentait accompagnée, presque protégée par ce professionnel attentif.

« Je ne vous demanderai jamais votre mot de passe, madame, c'est la règle. »

Une notification à valider, présentée comme un bouton d'annulation

Julien a alors expliqué la marche à suivre. Une notification allait arriver dans son application bancaire, et elle devrait la valider pour que l'annulation soit enregistrée. C'était une procédure de sécurité renforcée, disait-il, imposée par les nouvelles normes européennes. Sylvie a vu apparaître le message quelques secondes plus tard sur son écran. Il mentionnait un montant de 4 870 euros et un nom de commerçant qu'elle ne connaissait pas. Le petit bouton vert attendait en bas de l'écran.

Un détail l'a fait hésiter, l'espace d'une seconde. Le message ne parlait pas d'annulation, il demandait de confirmer un paiement. Elle l'a dit à voix haute, un peu gênée de contredire un spécialiste. Julien a eu un petit rire rassurant, comme s'il entendait cette remarque tous les jours. Il a expliqué que le système affichait toujours l'opération d'origine, et que la validation servait justement à la renverser. « C'est contre-intuitif, je sais, tout le monde me pose la question », a-t-il ajouté doucement.

Dans la pièce d'à côté, Gérard regardait les informations régionales, le son un peu trop fort. Le lave-vaisselle poursuivait son cycle. Sylvie a regardé l'écran encore un instant, puis elle a posé son pouce sur le bouton vert. Une petite coche s'est affichée, puis un message de confirmation. Julien l'a remerciée chaleureusement, lui a dit que sa carte serait remplacée sous dix jours. Il a raccroché poliment. Toute l'affaire avait duré sept minutes, et elle s'est sentie soulagée d'avoir réagi aussi vite.

Le soulagement dure une heure, puis le solde ne bouge pas

Pendant le dîner, Sylvie a raconté l'appel à Gérard, presque fière. Elle avait évité une fraude, disait-elle, grâce à la réactivité de la banque. Gérard a froncé les sourcils sans rien dire, puis il a demandé à voir le compte. Elle a ouvert l'application. Le paiement de 4 870 euros apparaissait bien, mais pas comme annulé. Il figurait dans les opérations en cours, avec le statut validé. Elle a pensé que la mise à jour prendrait un peu de temps, comme souvent.

Vers 21 heures, elle a voulu rappeler Julien, mais il ne lui avait laissé aucun numéro direct. Elle a composé celui de l'agence, le même qui s'était affiché plus tôt. Une messagerie automatique a annoncé que l'agence était fermée et rouvrirait le lendemain à 9 heures. Ce détail l'a frappée. Comment un conseiller avait-il pu l'appeler depuis cette ligne à 18 h 40, alors que l'agence fermait à 18 heures ? Elle a raccroché, les mains un peu moites.

Gérard a cherché le numéro d'opposition au dos de la carte. Ils l'ont appelé ensemble, sur haut-parleur, assis côte à côte sur le canapé. Une conseillère de la plateforme nationale a pris l'appel, et sa voix a changé quand Sylvie a raconté l'histoire. « Madame, nous ne vous avons pas contactée ce soir. » La carte a été bloquée immédiatement, mais le paiement, lui, était déjà parti. Sylvie s'est entendue répéter qu'elle avait vu le nom de l'agence, comme pour se défendre.

« C'est contre-intuitif, je sais, tout le monde me pose la question au téléphone. »

Le vrai numéro était faux, et l'annulation était un paiement

Le lendemain matin, Mme Lebrun l'a reçue dans son bureau, entre deux rendez-vous. Elle a expliqué ce qui s'était passé, avec la patience de quelqu'un qui raconte la même histoire chaque semaine. Les escrocs utilisent des logiciels qui permettent d'afficher n'importe quel numéro sur le téléphone de la personne appelée. On appelle cela l'usurpation de numéro, le spoofing. Le nom de l'agence apparaissait parce que Sylvie l'avait elle-même enregistré dans ses contacts. Le téléphone avait simplement associé le faux appel au vrai nom.

Quant aux informations personnelles, elles provenaient probablement d'une fuite de données, ou d'un faux site sur lequel Sylvie avait laissé sa carte des mois plus tôt. Les quatre derniers chiffres, l'adresse, le nom de la conseillère : tout cela se revend en ligne. Mais le cœur de l'arnaque, c'était la validation. La banque n'avait jamais vu passer de fraude, puisque c'était Sylvie elle-même qui avait autorisé le paiement, avec son téléphone et son empreinte. Pour le système, tout était parfaitement en règle.

Mme Lebrun a répété une phrase que Sylvie n'a plus jamais oubliée. Une banque ne demande jamais de valider une opération pour l'annuler. Jamais. Valider, c'est toujours accepter, quel que soit le discours autour. Si quelqu'un explique le contraire au téléphone, c'est qu'il ment. Sylvie a repensé à la seconde d'hésitation devant le bouton vert, à ce petit rire rassurant. On connaît tous ça, cette envie de faire confiance à celui qui a l'air de savoir. Les escrocs comptent précisément sur cette politesse ordinaire.

Contester vite, porter plainte, et ne plus jamais rester en ligne

Mme Lebrun l'a aidée à remplir une contestation le matin même, en expliquant que chaque heure comptait. Sylvie a aussi déposé plainte au commissariat de la rue Daniel-Huet, récépissé à l'appui. La banque a ouvert un dossier, sans rien promettre. Parce que Sylvie avait validé elle-même, le remboursement n'était pas automatique, et il faudrait discuter. « On m'a dit que ça pouvait prendre des semaines, et qu'il faudrait peut-être aller plus loin. » Trois semaines plus tard, la banque a finalement remboursé une partie de la somme.

Le reste, ils l'ont pris sur l'épargne prévue pour les études de Manon. Gérard ne lui a jamais fait de reproche, mais Sylvie s'en fait encore. Elle a changé ses habitudes. Elle ne répond plus aux appels de sa banque sans raccrocher et rappeler elle-même le numéro inscrit sur sa carte. Elle lit chaque notification jusqu'au bout avant de toucher l'écran. « Si c'est vraiment la banque, elle comprendra que je rappelle, c'est tout. » Elle raconte son histoire à ses collègues du cabinet, sans honte désormais.

Ce que Sylvie retient tient en quelques gestes simples. Un numéro affiché ne prouve rien, même s'il porte le nom de l'agence. Un conseiller qui presse, qui rassure trop, qui demande une validation, doit faire raccrocher aussitôt. Il faut rappeler soi-même, avec le numéro officiel, après avoir attendu quelques minutes. Et en cas de doute ou d'erreur, faire opposition puis contester sans attendre, plainte en main. « J'ai perdu de l'argent, mais j'ai appris à couper la conversation », dit-elle aujourd'hui en souriant à moitié.

« Si c'est vraiment la banque, elle comprendra que je rappelle moi-même, c'est tout. »

• Un numéro affiché, même celui de votre agence, peut être usurpé : il ne prouve rien.
• Une banque ne demande jamais de valider une opération pour l'annuler : valider, c'est payer.
• Raccrochez, attendez quelques minutes, puis rappelez vous-même le numéro inscrit au dos de votre carte.
• Lisez chaque notification de l'application jusqu'au bout avant d'appuyer sur un bouton.
• En cas de doute, faites opposition immédiatement et contestez l'opération auprès de votre banque sans attendre.
• Déposez plainte et gardez le récépissé, il vous sera demandé pour le dossier de contestation.