L'appel semble réel. L'interlocuteur connaît votre nom, votre banque, et même vos transactions récentes. Il y a un problème avec votre compte, et il vous appelle pour vous aider à le résoudre.

À la fin de l'appel, vous avez transféré l'argent vous-même. Vers un compte qui appartient à l'escroc.

Qu'est-ce que l'ingénierie sociale ?

L'ingénierie sociale est une manipulation psychologique : un escroc joue un rôle de confiance pour vous inciter à lui donner vous-même un accès, de l'argent ou des informations.

L'ingénierie sociale consiste à s'immiscer dans votre esprit avant que l'escroc ne s'introduise dans votre compte. L'attaquant joue un rôle : un enquêteur sur les fraudes, un agent de sécurité de la banque, le service clientèle de votre opérateur téléphonique. C'est tout ce dont ils ont besoin pour commencer à poser des questions. Dans le domaine bancaire, ces attaques se font principalement par des appels téléphoniques, des SMS, ou les deux. Parfois les trois, à quelques semaines d'intervalle.

L'IA rend ces attaques plus difficiles à détecter. Un court extrait audio suffit désormais pour cloner la voix de quelqu'un : un message vocal, quelques secondes d'une vidéo publique. Des deepfakes en temps réel peuvent afficher un visage lors d'un appel vidéo en direct. Des informations telles que votre nom, votre banque et une transaction récente sont assemblées automatiquement à partir de profils publics et de bases de données piratées. L'escroc n'a pas besoin de vous connaître personnellement.

Comment se déroule une attaque

Elle commence par l'urgence. « Votre compte est menacé. » « Il y a eu une activité suspecte et nous devons sécuriser vos fonds immédiatement. » Les escrocs ont besoin que vous vous inquiétiez avant de vous laisser le temps de réfléchir. Une personne paniquée agit d'abord et pose des questions ensuite.

Puis, l'autorité. L'interlocuteur prétend faire partie de l'équipe de lutte contre la fraude de votre banque, un spécialiste affecté à votre dossier. Il y a un numéro de référence, un titre de poste, parfois le nom d'un véritable employé que vous pourriez vérifier sur LinkedIn. Certains interlocuteurs vous transfèrent même d'un service à un autre. Le but est de donner l'impression qu'il s'agit d'une véritable organisation confrontée à un problème réel.

Le temps qu'ils vous demandent de transférer des fonds ou de télécharger quelque chose, cela fait quinze minutes que vous êtes au téléphone. Vous avez confirmé vos coordonnées. Vous avez entendu une explication plausible de ce qui s'est passé. Vous avez suivi des étapes qui ressemblaient exactement à une véritable enquête sur la fraude. À ce stade, vous dites simplement oui.

Toutes les attaques ne commencent pas par un appel téléphonique. Certaines débutent des semaines plus tôt par un e-mail de phishing ou un SMS suspect. Vous cliquez sur un lien, remplissez un formulaire, et l'escroc dispose désormais de votre nom, de votre banque et d'assez d'éléments pour paraître crédible lorsqu'il vous appellera plus tard. Lorsque le téléphone sonne, il a l'impression de vous connaître, car il a déjà obtenu ce dont il avait besoin.

Certaines attaques combinent tous ces éléments : un SMS d'abord, puis un e-mail, puis un appel, parfois à des jours ou des semaines d'intervalle. Chaque contact rend le suivant plus légitime. Le phishing est souvent le point de départ de la chaîne. Le détecter tôt peut arrêter les choses avant même qu'elles n'atteignent l'étape de l'appel. Les appels qui usurpent spécifiquement l'identité de votre banque sont traités plus en détail dans les sections sur les faux appels bancaires et le vishing.

Pourquoi cela fonctionne-t-il même sur des personnes prudentes ?

On laisse entrer un technicien en uniforme dans le bâtiment. On suit un médecin qui se présente dans la salle de traitement. Ce n'est pas de la naïveté. C'est simplement ainsi que fonctionne la confiance. Au téléphone, un titre de poste et un numéro de référence suffisent pour paraître légitime.

Sous la pression du temps, vous réfléchissez plus vite et vous vous posez moins de questions. Après quinze minutes de coopération et de transferts entre différents services, s'arrêter vous donne l'impression d'être celui qui cause le problème.

Ces attaques sont conçues pour fonctionner sur des personnes prudentes. Si vous en avez été victime, ce n'est pas de votre faute.

Comment bunq vous protège

La règle la plus fiable : ne donnez jamais suite à un appel téléphonique sans avoir d'abord vérifié le chat de l'application.

bunq n'appelle jamais. Tout appel prétendant provenir de bunq est une escroquerie. Ouvrez l'application : une véritable alerte s'y trouvera si une situation nécessite votre attention.

Les escrocs misent sur l'urgence. Le Safety Shield (Bouclier de sécurité) est conçu pour contrer cela. Lorsqu'un paiement semble inhabituel, il est suspendu pendant 24 heures avant d'être traité. Ce délai de rétention ne peut être contourné ni par vous ni par bunq. C'est intentionnel. Si le transfert était légitime, il est effectué une fois les 24 heures écoulées. Si ce n'était pas le cas, vous avez le temps de l'intercepter.

Les escrocs vous demandent souvent d'installer un logiciel d'accès à distance, tel qu'AnyDesk ou TeamViewer. Leur prétexte : l'« équipe fraude » doit jeter un coup d'œil à distance. Une fois que ce logiciel est actif, l'attaquant peut voir et contrôler tout ce qui s'affiche sur votre écran, y compris votre application bancaire. bunq détecte lorsqu'une application de partage d'écran est active et limite automatiquement les paiements sortants.

En tant que banque, bunq voit tout ce qu'un escroc ne verra jamais : l'historique complet de votre compte, vos habitudes, en temps réel. Si nous constatons quelque chose d'inhabituel, nous agissons avant même que vous n'ayez à le demander.

Découvrez-en plus sur la façon dont bunq protège votre argent, y compris la protection des dépôts et la détection des fraudes. Pour les étapes que vous pouvez configurer vous-même, la section banque en ligne sécurisée couvre l'aspect pratique.

Si vous pensez être ciblé en ce moment même

Raccrochez.

Fermez tous les logiciels d'accès à distance que vous avez installés (AnyDesk, TeamViewer ou similaire). Réinitialisez votre code de sécurité dans l'application pour empêcher le fraudeur d'accéder à votre compte. Contactez ensuite le support SOS de bunq, joignable en moins de 20 secondes dans l'application, et signalez la fraude via le Guide Anti-Fraude.

La ligne SOS de bunq est joignable en moins de 20 secondes dans l'application. Le Guide Anti-Fraude détaille chaque étape.

Si un transfert a déjà été effectué, signalez-le. bunq examine les cas de fraude pour un remboursement geste commercial.

Dernières réflexions

L'ingénierie sociale fonctionne mieux sur les personnes qui ne savent pas de quoi il s'agit. Maintenant, vous le savez.

Qu'il s'agisse d'un SMS, d'un e-mail ou d'un appel, l'urgence est un signal d'alarme, pas une raison d'agir. Ouvrez d'abord l'application. Si quelque chose ne va vraiment pas, l'information y figurera.