Fraude par manipulation, les nouveaux outils des banques ne vous dispensent pas de ces réflexes

Un appel, une voix rassurante, une notification sur votre téléphone. Vous validez, et votre argent part. En 2025, ce scénario a coûté plus d’un demi-milliard d’euros aux Français. Les banques déploient de nouvelles armes, mais aucune ne fonctionne si c’est vous qui appuyez sur le bouton.

Fraude par manipulation : de quoi parle-t-on ?

La fraude par manipulation désigne une fraude aux moyens de paiement dans laquelle l’escroc ne pirate rien. Il convainc la victime d’effectuer ou de valider elle-même l’opération. C’est de l’ingénierie sociale pure : la pression, la peur et l’urgence remplacent le piratage informatique.

Les chiffres publiés par la Banque de France donnent le vertige. Les montants dérobés par ce biais ont progressé de 34 % en 2025 et dépassent le demi-milliard d’euros. Cette catégorie pèse désormais plus de 40 % du montant total de la fraude aux moyens de paiement, soit deux fois plus qu’il y a cinq ans.

Le faux conseiller bancaire en est la forme la plus connue. L’escroc se fait passer pour le service fraude de votre banque et vous fait réaliser des opérations « pour protéger votre argent », un scénario détaillé à travers cas réels de faux conseiller bancaire. Deux autres variantes appartiennent à la même famille :

• le faux RIB, où les coordonnées bancaires d’un créancier légitime sont remplacées par celles du fraudeur ;
• le faux placement financier, où vous êtes guidé vers un faux site bancaire ou une offre d’investissement alléchante avant de déposer ou de virer des fonds.

Les réflexes qui protègent, même avec les outils des banques

Le point de départ est simple : si vous validez vous-même l’opération, la meilleure authentification forte du monde ne vous protège plus. Elle prouve que c’est bien vous qui agissez, pas que vous agissez librement. D’où l’importance de quelques gestes à avoir en tête avant que le téléphone ne sonne.

Le premier : aucun conseiller bancaire ne vous demandera jamais votre mot de passe ou votre code de sécurité, ni par téléphone ni par mail. Si on vous les réclame, vous parlez à un fraudeur, quelle que soit la précision des informations qu’il connaît sur vous. Elles viennent souvent de fuites de données.

Le deuxième : raccrochez, puis rappelez vous-même votre agence ou le numéro de votre application (pour un appel suspect, voir aussi comment réagir face à un démarchage suspect). Un faux conseiller déteste cette pause, parce que la pression retombe. Le troisième : ne validez jamais une opération que vous n’avez pas initiée, même si on vous assure qu’il s’agit de l’« annuler » ou de la « sécuriser ».

Voici le socle à garder en mémoire :

1. Ne communiquez jamais un code de sécurité ni un mot de passe, à personne.
2. Raccrochez et rappelez par un canal que vous maîtrisez.
3. Refusez toute urgence : un vrai problème supporte dix minutes de vérification.
4. Avant d’ajouter un bénéficiaire, contrôlez le RIB par un autre moyen que le mail reçu, surtout pour une facture ou un paiement important.
5. Méfiez-vous d’un placement qui promet beaucoup et vous presse de virer vite.

Pourquoi le virement est devenu la cible privilégiée

Le basculement est net. Le nombre de transactions frauduleuses par virement de banque en ligne, c’est-à-dire initié depuis votre espace bancaire ou votre application, a bondi de 182 % entre 2024 et 2025. Dans le même temps, les fraudes par carte reculaient de 10 %, même si elles restent 22 fois plus nombreuses.

Le virement instantané aggrave le problème. Arrivé en 2018, il rend l’argent disponible en quelques secondes chez le destinataire. Selon les chiffres 2025 de la Banque de France, il représente désormais les deux tiers des virements frauduleux. Une fois l’ordre validé, il devient très difficile de rattraper les fonds.

Stephen Kim, directeur associé chez mc2i, résume le changement d’époque : « Nous sommes passés en quelques années d’une fraude utilisant des brèches techniques dans la sécurisation des moyens de paiement à une fraude s’appuyant sur l’ingénierie sociale, facilitée par les nombreuses fuites de données ». Le maillon faible n’est plus la technologie, mais l’humain. Les banques doivent donc tenter de protéger leurs clients malgré eux.

Ce que font les banques et pourquoi cela ne suffit pas

Premier réflexe des établissements : informer. Toutes disposent de pages dédiées à la sécurité et répètent à qui veut l’entendre qu’un conseiller ne demande jamais de code. Deuxième étape : prévenir. La plupart ont inséré des messages d’alerte et des authentifications fortes dans les parcours d’ajout de bénéficiaires et d’émission de virements, quitte à les rendre moins fluides. S’y ajoute depuis octobre 2025 un service de vérification du bénéficiaire, pensé contre le faux RIB.

Les plus avancés testent des solutions plus ambitieuses. Sumeria a lancé dès septembre 2024 les « appels certifiés » : quand un conseiller vous contacte, une notification s’affiche sur votre mobile pour confirmer que l’appel est légitime. La néobanque a aussi abandonné l’authentification par SMS, jugée pas assez robuste, et propose une option pour bloquer les virements vers des IBAN étrangers. Revolut est allé plus loin en renonçant aux appels téléphoniques classiques : elle ne contacte plus ses clients que par des appels « in-app », passés dans l’application.

Le retour des frictions

D’autres banques font le choix inverse et ralentissent. Certaines maintiennent un délai de temporisation après l’ajout d’un nouveau bénéficiaire. C’est le cas du Crédit Agricole, dont plusieurs caisses locales imposent de nouveau, depuis l’été, 24 ou 48 heures entre cet ajout et le premier virement. Cette friction est lourde, mais très efficace : elle laisse à un client manipulé le temps de reprendre ses esprits et d’annuler.

Ce retour en arrière a pourtant des allures d’aveu d’impuissance. Détecter une fraude à l’heure du virement instantané reste un défi technique, car l’opération semble parfaitement normale : bon client, bon appareil, bon code. Les outils de détection comportementale et d’analyse de données progressent, mais ils peinent à lire l’intention de l’opération quand c’est la victime qui la valide. Tant que cette faille existe, vos réflexes restent la dernière barrière.

Que faire si vous êtes victime

Chaque minute compte. Appelez immédiatement votre banque, par un numéro que vous avez vous-même vérifié, pour signaler l’opération et demander le blocage de vos accès et, si nécessaire, une opposition sur vos moyens de paiement. Plus la demande est rapide, plus la chance de bloquer ou de rappeler les fonds augmente.

Conservez ensuite toutes les preuves : captures d’écran, numéros d’appel, SMS, mails, relevés. Elles serviront pour déposer une plainte, étape utile pour la suite de votre dossier. Changez enfin vos mots de passe et ne culpabilisez pas : ces escrocs sont entraînés, et leurs scénarios piègent des profils très variés.

Les banques durcissent le jeu, et c’est heureux. Mais devant un appel qui vous presse d’agir, la meilleure protection reste de raccrocher et de prendre le temps de vérifier.