Faux conseiller bancaire : ce que l'escroc sait déjà

Au téléphone, le faux conseiller bancaire se présente avec le numéro de votre agence et des informations exactes sur vous, puis réclame un code reçu par SMS ou une validation dans l’application. Ces deux atouts se préparent bien avant l’appel. La parade tient pourtant en une règle : raccrocher, puis rappeler la banque au numéro que vous connaissez.

Usurpation de numéro : l’écran n’authentifie personne

Le numéro qui s’affiche quand le téléphone sonne n’est pas une preuve d’identité. Dans sa fiche pratique sur l’usurpation de numéro, mise à jour le 9 mars 2026, l’Arcep explique l’origine de la faille : les entreprises peuvent régler le numéro que présente leur installation téléphonique, une souplesse ancienne fondée sur la confiance. C’est ce réglage que les escrocs détournent pour afficher le numéro de leur choix, celui d’une agence bancaire compris.

Ce que l’authentification des appels a changé

Le régulateur a fixé une première règle en 2018 : présenter le numéro d’un tiers suppose son accord préalable. La loi du 24 juillet 2020, dite loi Naegelen, a ensuite obligé les opérateurs à authentifier les numéros, au moyen d’un dispositif commun baptisé MAN et fondé sur les protocoles STIR/SHAKEN : l’opérateur de départ signe chaque appel, et un appel sans signature valide doit être coupé. Selon l’Arcep, ce blocage s’applique depuis le 1er octobre 2024 aux appels vers les lignes fixes et depuis janvier 2025 aux appels vers les mobiles. Une règle complémentaire vise l’international : depuis le 1er janvier 2026, quand un appel arrive de l’étranger avec un numéro mobile français impossible à authentifier, l’opérateur masque ce numéro.

Pourquoi votre téléphone ne peut pas trancher

Le dispositif réduit le procédé sans le faire disparaître. L’Arcep le reconnaît : un opérateur peut encore, volontairement ou non, laisser un client afficher le numéro qu’il veut. Surtout, les informations d’authentification ne parviennent pas jusqu’à votre appareil, qui ignore donc si l’appel a été vérifié. Et si le numéro usurpé figure dans vos contacts sous le nom « Ma banque », c’est votre propre répertoire qui affiche ce nom rassurant.

Ce que l’escroc sait déjà de vous, et d’où il le tient

L’appel commence rarement par une question. Votre interlocuteur cite votre nom, votre adresse, parfois des éléments de votre carte, et c’est précisément ce qui désarme. Dans la page qu’il dédie au faux conseiller bancaire, mise à jour le 7 mai 2026, le dispositif public Cybermalveillance.gouv.fr décrit des escrocs qui disposent souvent de l’identité, de l’adresse, des coordonnées de carte, voire du numéro de compte de leur cible.

Ces données ont été récoltées plus tôt, par d’autres canaux. L’organisme cite notamment :

• un hameçonnage, faux SMS ou faux courriel menant vers une page où vous avez saisi vos coordonnées ;
• le piratage d’un de vos comptes en ligne ;
• un programme espion qui vole les mots de passe sur un ordinateur ou un téléphone ;
• une fuite de données chez une organisation qui détenait votre dossier.

Le décalage dans le temps fait tout. Le faux message de livraison auquel vous avez répondu il y a quelques semaines est oublié, et le jour de l’appel, ces détails exacts passent pour la preuve que la personne consulte votre dossier. Les indices qui trahissent ce premier message figurent dans notre article sur les signes d’un mail de phishing. Le droit d’accès à vos données personnelles vous aide ensuite à savoir qui les détient.

Faux conseiller bancaire : deux phrases à confier à vos parents

Un numéro crédible, des informations exactes, une voix posée : quand le téléphone sonne, rien ne distingue l’escroc d’un vrai conseiller. Vos parents ne sont pas en cause, ce scénario est écrit pour déstabiliser n’importe qui en jouant sur la surprise et l’inquiétude. Le tri ne peut donc pas se faire pendant la conversation, il se décide avant, sous la forme d’une règle que chacun connaît par cœur.

Pour préparer cet échange, la fiche que Méfio consacre à cette arnaque reprend un appel type, du numéro usurpé au complice qui se dit policier : une lecture utile avant d’aborder le sujet en famille, pour qui veut en savoir plus. Elle rappelle qu’aucune banque ne sollicite au téléphone un code ou un transfert d’argent, et pose le réflexe du rappel au numéro inscrit au dos de la carte. Le service lui-même, souscrit pour un proche et avec son accord, envoie à ce proche, une fois par semaine, un conseil par SMS sur une arnaque du moment. Ses messages ne demandent jamais ni code ni argent, si bien que la règle qu’ils répètent, ils l’appliquent.

Le script de réponse tient en deux phrases : « Je raccroche et je rappelle mon agence au numéro que je connais », puis « Un code, je ne le lis à personne et je ne valide rien au téléphone ». La première coupe le seul canal que l’escroc contrôle, l’appel entrant : en composant le numéro inscrit sur la carte ou sur un relevé de compte, votre parent joint la vraie banque, et l’usurpation de numéro ne sert plus à rien. La seconde vise l’instant où tout bascule, puisque le code ou la validation est la seule pièce que l’escroc ne peut pas fabriquer lui-même. Formulées à la première personne, ces phrases mettent fin à l’échange sans débat, et aucun vrai conseiller n’y trouvera à redire.

Le code reçu par SMS signe une opération précise

Le prétexte varie peu : un paiement suspect vient d’être repéré, le conseiller propose de le bloquer, et il suffirait de lui lire le code qui arrive par SMS. Cybermalveillance.gouv.fr décrit l’inverse de ce qui est annoncé : ces codes et ces confirmations servent en réalité à valider des opérations au profit de l’escroc, achats par carte, ajout d’un bénéficiaire, virements. Le paiement que vous croyez annuler est souvent celui qu’il est en train de passer.

Ce code ne prouve pas votre identité au conseiller. Il signe une action déterminée, et le SMS qui le transporte la nomme en général en toutes lettres : ajout d’un bénéficiaire, paiement chez un commerçant, montant. D’où la règle à transmettre, lire le message jusqu’à la dernière ligne avant de faire quoi que ce soit du code de confirmation. Le fonctionnement de ces codes à usage unique, et leurs limites, est détaillé dans notre dossier sur la double authentification.

Les escrocs connaissent cette faiblesse et préparent le terrain. Ils annoncent à l’avance que le message mentionnera un bénéficiaire ou un paiement, présenté comme une étape technique de la sécurisation. Un ajout de bénéficiaire reste pourtant un ajout de bénéficiaire, quel que soit le commentaire qui l’accompagne au bout du fil.

Ce mécanisme explique l’efficacité du procédé. Le rapport 2025 de l’Observatoire de la sécurité des moyens de paiement, publié par la Banque de France en septembre 2026, range le faux conseiller bancaire parmi les détournements obtenus en manipulant le payeur. Cette famille pèse un peu plus de 40 % du montant total détourné sur les moyens de paiement en 2025, et l’Observatoire la décrit en progression. Dans ces cas, aucun système n’est forcé : le titulaire du compte valide lui-même, convaincu de se protéger.

Application bancaire et accès à distance : la sécurité retournée contre vous

La notification qui demande votre accord

Sur un smartphone, la confirmation passe souvent par l’application de la banque : une notification apparaît, vous ouvrez l’application, vous confirmez. Le faux conseiller présente ce geste comme un blocage ou une annulation. Cybermalveillance.gouv.fr est catégorique : jamais un conseiller ne vous demandera d’effectuer des actions de validation ou d’annulation dans votre application pour de prétendues opérations douteuses. Pour la banque, la validation dans l’application vaut le code : elle approuve l’opération affichée, quel que soit le commentaire de votre interlocuteur.

Le logiciel qui ouvre votre écran à un inconnu

Variante plus lourde, l’escroc fait installer un logiciel d’accès à distance, présenté comme un outil de sécurisation. Dans sa fiche sur les arnaques au faux support technique, mise à jour le 17 septembre 2026, Cybermalveillance.gouv.fr décrit ce que permet cette prise de contrôle : entrer dans les comptes bancaires de la victime sous prétexte de les sécuriser, puis en détourner les fonds. Son conseil est net : ne jamais ouvrir l’accès à un appareil à la suite d’une sollicitation que vous n’avez pas provoquée. Ces ruses d’ingénierie sociale font partie des nouvelles menaces en ligne qui visent les particuliers.

Ce que votre banque ne vous demandera jamais au cours d’un appel, d’après ce même dispositif public :

• votre mot de passe d’accès au compte ;
• un code de confirmation reçu par SMS ;
• une validation ou une annulation dans l’application ;
• le code secret de votre carte ;
• la remise de cette carte à un coursier venu la chercher.

Le faux policier, seconde voix du même scénario

Quand la cible hésite, une autre voix prend parfois le relais. Un complice se présente comme policier ou gendarme, confirme qu’une enquête est en cours et réclame la plus grande discrétion, y compris envers l’agence ou la famille. Ce second rôle transforme le doute en devoir civique : refuser de coopérer reviendrait à gêner l’enquête. Le rôle du faux policier exploite le même ressort que le numéro usurpé, l’autorité d’une institution que personne n’a envie de contrarier.

Le scénario se prolonge parfois jusqu’à la porte d’entrée. Cybermalveillance.gouv.fr décrit des cas où le faux conseiller obtient le code secret de la carte, puis envoie un coursier ou un prétendu employé de la banque la récupérer au domicile, sous prétexte de la sécuriser ou de la détruire, et recommande de ne la confier à personne, même découpée. L’Arcep a d’ailleurs publié en juillet 2025 un avertissement sur des appels qui usurpent son propre nom : un sigle se copie aussi facilement qu’un numéro.

Cette répartition des rôles, entre appelant, complice et coursier, rappelle le fonctionnement des groupes cybercriminels organisés. Une troisième phrase complète donc les deux premières : « Ma carte et mon code restent avec moi, quel que soit le titre de la personne. »

Trois gestes à faire cette semaine avec vos parents

Le meilleur moment pour parler de cette arnaque est un jour où personne n’appelle. Trois gestes suffisent à rendre les phrases concrètes :

1. Noter sur papier, dans un carnet rangé près du téléphone, le numéro de la banque inscrit au dos de la carte, pour rappeler sans chercher.
2. Relire ensemble le SMS de validation reçu lors d’un vrai achat en ligne, afin de repérer l’endroit où figurent l’opération et le montant.
3. Convenir de la personne que votre parent prévient après avoir raccroché, quand un appel l’a laissé dans le doute.

Si un code a déjà été lu ou une opération validée, le premier appel va à la banque, au numéro habituel, avant le dépôt de plainte.

Prochaine étape : choisissez un moment calme, un repas ou un appel du dimanche, et proposez de dire les trois phrases une fois à voix haute, chacun à son tour. Une règle déjà prononcée revient plus facilement quand la surprise frappe.