Arnaques et phishing après une fuite : comment les repérer

Comment les fuites rendent les arnaques plus crédibles

L’arnaque grossière (la faute d’orthographe, le message qui ne vous appelle même pas par votre nom, le gain à un jeu auquel vous n’avez pas joué) existe toujours, mais les fuites permettent de faire bien mieux. Avec une base de données volée, l’expéditeur peut connaître notamment votre vrai nom, votre adresse, votre opérateur, votre banque ou vos derniers achats. Le message qui en sort est exact et détaillé, et c’est cela qui le rend crédible.

Les quatre formes les plus courantes

1. Le mail d’un service que vous utilisez vraiment. Colis en attente, abonnement à renouveler, remboursement à réclamer, facture jointe. Le logo est bon, l’adresse de l’expéditeur ressemble à la vraie à un caractère près. Le bon réflexe : ouvrir le site ou l’application du service par vous-même, sans passer par le lien. Tout est détaillé dans le guide faux mails.
2. Le SMS. Amende à régler, colis bloqué en douane, compte à réactiver. Il piège facilement parce qu’il arrive sur le même écran que les vrais messages de votre banque, parfois dans la même conversation. Le bon réflexe : ne pas toucher au lien et transférer le message au 33700. Tout est détaillé dans le guide faux SMS.
3. L’appel du faux conseiller bancaire. C’est le plus coûteux. La personne connaît votre nom, votre agence, parfois vos dernières opérations, et annonce une fraude en cours qu’il faudrait « bloquer tout de suite ». Elle vous demande ensuite de valider une opération dans votre application ou de lui lire un code reçu par SMS. Le bon réflexe : raccrocher et rappeler le numéro inscrit au dos de votre carte. Tout est détaillé dans le guide faux conseiller bancaire.
4. Le chantage à la webcam. Un mail prétend avoir piraté votre ordinateur et vous avoir filmé par la webcam. Pour paraître crédible, il affiche l’un de vos anciens mots de passe, comme preuve qu’il a eu accès à votre ordinateur. En réalité, ce mot de passe vient d’une fuite : il n’y a ni piratage ni vidéo. Le bon réflexe : ne pas répondre, ne pas payer et supprimer le message. Tout est détaillé dans le guide chantage à la webcam.

Les trois signaux qui ne trompent pas

Les meilleurs messages frauduleux n’ont plus de fautes d’orthographe. Ces trois signaux, eux, restent valables :

1. C’est urgent. Un délai court, une menace de suspension, une somme à récupérer avant demain. L’urgence sert à vous empêcher de vous arrêter pour réfléchir : les organismes sérieux laissent le temps.
2. C’est entrant. Le message ou l’appel vient à vous, sans que vous ayez rien demandé. C’est le point commun de presque toutes les arnaques.
3. On vous demande quelque chose d’inhabituel. Saisir vos identifiants après avoir cliqué, lire un code reçu par SMS, valider une notification dans votre application bancaire, « mettre votre argent à l’abri » sur un autre compte. Aucune banque ni aucune administration ne demande cela.

Et un réflexe unique, qui les couvre tous : ne donnez jamais suite dans le canal où le message est arrivé. Raccrochez, fermez le SMS, ignorez le lien, puis revenez par vous-même : votre application habituelle, votre agence, le numéro au dos de votre carte, le site tapé à la main.

Si vous avez cliqué, ou pire

Cela arrive à des gens prudents, un jour de fatigue. Ce qui est utile dépend de ce que vous avez fait :

1. Vous avez seulement ouvert la page. Il suffit de la fermer sans rien saisir. Le risque est faible.
2. Vous avez saisi un identifiant et un mot de passe. Le plus urgent est de changer ce mot de passe sur le vrai site, et partout où il servait aussi. Le guide mot de passe compromis détaille l’ordre.
3. Vous avez saisi des données bancaires ou validé une opération. Le mieux est d’appeler votre banque tout de suite pour faire opposition et demander le blocage.
4. De l’argent est parti. Mieux vaut le signaler à votre banque par écrit, sans attendre. Un paiement que vous n’avez pas autorisé doit en principe vous être remboursé, sauf négligence grave de votre part. Porter plainte n’est pas obligatoire pour être remboursé, mais c’est conseillé : la plainte appuie votre dossier auprès de la banque.

Où signaler, en France

Un signalement ne règle pas tout dans la minute, mais il aide à faire fermer les sites et couper les numéros :

1. SMS et appels frauduleux : le 33700, le service national de signalement, gratuit.
2. E-mails : signal-spam.fr ; les sites de phishing se signalent sur Phishing Initiative.
3. Conseils et aide : cybermalveillance.gouv.fr, la plateforme publique d’aide aux victimes, et service-public.fr pour les démarches.
4. Préjudice réel : plainte au commissariat, à la gendarmerie ou en ligne selon les cas.