Vous venez de cliquer sur un faux SMS, saisi vos codes sur une page qui ressemblait à celle de votre banque ou validé une opération que vous ne comprenez pas ? Ne perdez pas de temps à vous reprocher votre geste. La question est maintenant : que faire après un phishing bancaire pour empêcher le fraudeur d’aller plus loin ? Chaque minute compte, surtout si vos identifiants, votre numéro de carte ou un code de validation ont été transmis.
Un phishing bancaire ne s’arrête pas toujours au clic. Le but peut être de récupérer vos accès, d’ajouter un bénéficiaire, de vider un compte, de commander une carte ou de préparer une usurpation d’identité. Il faut donc traiter l’incident comme une compromission réelle, même si aucun débit suspect n’apparaît encore.
Que faire après un phishing bancaire : les 8 réflexes immédiats
- Quittez la page frauduleuse et ne répondez plus au SMS, e-mail ou appel reçu.
- Contactez votre banque par son canal officiel, depuis l’application, le numéro figurant au dos de votre carte ou son site saisi manuellement.
- Faites opposition sur votre carte si son numéro, son cryptogramme ou un code de validation a été communiqué.
- Changez vos identifiants bancaires depuis un appareil fiable, après avoir parlé à la banque si possible.
- Vérifiez les virements, prélèvements, bénéficiaires et coordonnées de contact enregistrés sur votre espace client.
- Sécurisez votre messagerie, car elle permet souvent de réinitialiser les accès bancaires.
- Conservez toutes les preuves : captures d’écran, SMS, e-mails, URL, heure des faits et relevés d’opérations.
- Signalez et contestez sans attendre toute transaction inconnue auprès de votre banque, puis déposez plainte si la fraude est caractérisée.
Ces actions ne doivent pas forcément être effectuées dans cet ordre strict. Si un virement est déjà parti ou si vous voyez un paiement en cours, l’appel à la banque passe avant tout le reste. Si vous avez seulement ouvert un SMS sans cliquer ni donner d’information, le risque est plus faible, mais restez attentif aux tentatives suivantes.
Appelez votre banque, mais jamais le numéro du message
Les escrocs savent créer une pression crédible : alerte de sécurité, paiement suspect, carte bloquée, mise à jour obligatoire ou conseiller prétendument en ligne. Après le premier contact, ils peuvent rappeler en affichant même un numéro qui semble authentique. C’est le principe de l’usurpation de numéro.
Raccrochez et composez vous-même le numéro officiel. Expliquez précisément ce qui a été saisi ou validé : identifiant, mot de passe, numéro de carte, code reçu par SMS, validation dans l’application bancaire, pièce d’identité ou RIB. Ne minimisez pas un code transmis sous prétexte qu’il ne sert qu’une fois. Un code de confirmation peut suffire à autoriser une opération ou à enregistrer un nouvel appareil.
Demandez à votre conseiller ou au service fraude de vérifier les connexions récentes, les appareils reconnus, les bénéficiaires ajoutés et les opérations en attente. Selon la banque et la situation, un blocage temporaire des virements, une opposition de carte ou la réinitialisation de l’accès en ligne peuvent être nécessaires.
Si vous avez validé une opération dans l’application
C’est le scénario le plus urgent. Une validation forte est conçue pour prouver que vous avez autorisé une action. Si vous avez approuvé une notification sans en connaître la raison, signalez-le immédiatement. Indiquez que cette validation a été obtenue par tromperie et donnez l’heure exacte.
N’essayez pas de négocier avec le fraudeur pour annuler l’opération. Il cherchera souvent à vous maintenir en ligne, à récupérer d’autres codes ou à vous convaincre que le problème vient d’un faux conseiller concurrent. Votre interlocuteur utile est exclusivement la banque, jointe par un canal vérifié.
Bloquer l’accès ne suffit pas : sécurisez votre e-mail
Un fraudeur qui contrôle votre messagerie possède une porte d’entrée vers bien plus que votre compte bancaire. Il peut consulter les alertes de paiement, demander une réinitialisation de mot de passe, intercepter les messages de vérification et effacer les notifications qui vous alerteraient.
Depuis un ordinateur ou un téléphone que vous estimez sain, changez le mot de passe de votre boîte e-mail. Choisissez un mot de passe unique, long et impossible à déduire. Déconnectez les sessions inconnues, vérifiez l’adresse e-mail et le numéro de récupération, puis activez la double authentification si elle est disponible.
Contrôlez aussi les règles de transfert automatique et les filtres de la messagerie. Certains pirates configurent une règle discrète pour recevoir une copie des e-mails bancaires ou masquer les alertes contenant certains mots. Cette vérification est souvent oubliée alors qu’elle peut révéler une compromission persistante.
Si vous utilisez le même mot de passe pour votre banque, votre e-mail, vos réseaux sociaux ou une boutique en ligne, changez-les tous. Réutiliser un mot de passe transforme un seul phishing en chaîne de prises de contrôle. Commencez par l’e-mail et les services financiers, puis passez aux comptes contenant des données personnelles ou des moyens de paiement.
Vérifiez ce que le fraudeur a pu modifier
Ouvrez votre espace bancaire officiel et cherchez les anomalies, même minimes. Un bénéficiaire de virement inconnu, une modification d’adresse postale, un nouveau téléphone de contact ou un prélèvement inhabituel ne sont jamais des détails à remettre au lendemain.
Examinez vos opérations récentes, mais aussi celles qui sont en attente. Surveillez les petits paiements inconnus : ils servent parfois à tester une carte avant une fraude plus importante. Regardez vos plafonds de carte et de virement, vos mandats de prélèvement, vos comptes d’épargne et, si vous êtes indépendant, les accès associés à votre activité professionnelle.
La bonne décision dépend de ce qui a fuité. Si seul votre numéro de carte a été transmis, l’opposition est généralement la priorité. Si vos identifiants bancaires et un code ont été remis, demandez également une revue complète de l’accès au compte. Si votre pièce d’identité a été envoyée, le risque s’étend à l’usurpation : conservez la preuve de l’envoi et surveillez toute demande de crédit, ouverture de compte ou changement administratif suspect.
Gardez les preuves sans vous exposer davantage
Prenez des captures d’écran du message reçu, de l’adresse de l’expéditeur, du numéro appelant, de la fausse page et des opérations concernées. Notez la chronologie : heure du SMS, moment du clic, données communiquées, appels reçus et démarches faites auprès de la banque.
Ces éléments facilitent le traitement du dossier, la contestation des opérations et un éventuel dépôt de plainte. Ils peuvent aussi aider à identifier une technique précise : faux site bancaire, appel de faux conseiller, QR code piégé, malware sur téléphone ou vol de session.
En revanche, ne téléchargez pas une nouvelle fois la pièce jointe pour la conserver et ne retournez pas sur le faux site. Une capture suffit. Si vous soupçonnez l’installation d’une application inconnue ou d’un logiciel d’accès à distance, coupez la connexion de l’appareil, supprimez l’application uniquement si vous êtes certain de l’identifier, puis faites contrôler le téléphone ou l’ordinateur. Dans ce cas, changer les mots de passe depuis le même appareil peut être contre-productif.
Contester une fraude et rester vigilant les jours suivants
Après l’alerte téléphonique, confirmez votre signalement selon la procédure demandée par la banque. Contestez les opérations non autorisées avec leurs références, leurs montants et leurs dates. Gardez une copie de chaque échange, y compris le numéro de dossier et le nom du service contacté.
La banque analysera notamment le type d’opération, les mécanismes de validation utilisés et les circonstances de la fraude. Le remboursement et les délais dépendent du dossier, de la nature des opérations et des éléments disponibles. Soyez factuel, rapide et cohérent : décrire précisément la manipulation subie est plus utile que multiplier les hypothèses.
Durant les semaines suivantes, consultez régulièrement vos comptes et vos e-mails. Méfiez-vous des nouveaux messages prétendant vous aider à récupérer votre argent. Après une première attaque, les victimes peuvent être ciblées à nouveau par de faux services de récupération, de faux policiers ou de prétendus experts qui exigent un paiement anticipé. Une banque ne vous demandera jamais de lui communiquer un code reçu par SMS, votre mot de passe complet ou de valider une opération pour annuler une fraude.
Le réflexe le plus protecteur reste simple : face à une alerte qui vous presse d’agir, stoppez la conversation et reprenez le contrôle du canal. Un vrai problème bancaire peut attendre le temps d’un appel au numéro officiel. Un escroc, lui, compte précisément sur le fait que vous n’en prendrez pas le temps.
