L'appel semble réel. L'interlocuteur connaît votre nom, votre banque, et même vos transactions récentes. Il y a un problème avec votre compte, et il vous appelle pour vous aider à le résoudre.

À la fin de l'appel, vous avez vous-même transféré l'argent. Vers un compte qui appartient à l'escroc.

Qu'est-ce que l'ingénierie sociale ?

L'ingénierie sociale est une manipulation psychologique : un escroc joue un rôle de confiance pour vous inciter à lui donner vous-même un accès, de l'argent ou des informations.

L'ingénierie sociale consiste à s'immiscer dans votre esprit avant que l'escroc ne s'introduise dans votre compte. L'attaquant joue un rôle : un enquêteur sur les fraudes, un agent de sécurité bancaire, le service client de votre opérateur téléphonique. C'est tout ce dont il a besoin pour commencer à poser des questions. Dans le domaine bancaire, ces attaques se font principalement par appels téléphoniques, SMS, ou les deux. Parfois les trois, à quelques semaines d'intervalle.

L'IA rend ces attaques plus difficiles à repérer. Un court extrait audio suffit désormais à cloner la voix de quelqu'un : un message vocal, quelques secondes d'une vidéo publique. Des deepfakes en temps réel peuvent afficher un visage sur un appel vidéo pendant qu'il se déroule. Des éléments tels que votre nom, votre banque et une transaction récente sont assemblés automatiquement à partir de profils publics et de bases de données piratées. L'escroc n'a pas besoin de vous connaître personnellement.

Comment se déroule une attaque

Elle commence par l'urgence. "Votre compte est attaqué." "Il y a eu une activité suspecte et nous devons sécuriser vos fonds immédiatement." Les escrocs ont besoin que vous vous inquiétiez avant que vous n'ayez le temps de réfléchir. Une personne paniquée agit d'abord et pose des questions ensuite.

Puis l'autorité. L'interlocuteur prétend faire partie de l'équipe de lutte contre la fraude de votre banque, un spécialiste affecté à votre dossier. Il y a un numéro de référence, un titre de poste, parfois le nom d'un véritable employé que vous pourriez vérifier sur LinkedIn. Certains interlocuteurs vous transfèrent même d'un service à un autre. Le but est de donner l'impression qu'il s'agit d'une véritable organisation confrontée à un problème réel.

Au moment où l'on vous demande de transférer des fonds ou de télécharger quelque chose, vous êtes en ligne depuis quinze minutes. Vous avez confirmé vos coordonnées. Vous avez entendu une histoire plausible sur ce qui s'est passé. Vous avez suivi des étapes qui ressemblaient exactement à une véritable enquête sur les fraudes. À ce stade, vous dites simplement oui.

Toutes les attaques ne commencent pas par un appel téléphonique. Certaines débutent des semaines plus tôt par un e-mail de phishing ou un SMS suspect. Vous cliquez sur un lien, remplissez un formulaire, et l'escroc dispose désormais de votre nom, de votre banque et d'assez d'éléments pour paraître crédible lorsqu'il vous appellera plus tard. Au moment où le téléphone sonne, il a l'impression de vous connaître, car il a déjà obtenu ce dont il avait besoin.

Certaines attaques combinent tous ces éléments : un SMS d'abord, puis un e-mail, puis un appel, parfois à des jours ou des semaines d'intervalle. Chaque contact rend le suivant plus légitime. Le phishing est souvent le point de départ de la chaîne. L'intercepter tôt peut stopper les choses avant même qu'elles n'atteignent l'étape de l'appel. Les appels qui usurpent spécifiquement l'identité de votre banque sont traités plus en détail dans les sections sur les faux appels bancaires et le vishing.

Pourquoi cela fonctionne même sur des personnes prudentes

Un technicien en uniforme est autorisé à entrer dans le bâtiment. Un médecin qui se présente est suivi dans la salle de traitement. Ce n'est pas de la naïveté. C'est simplement ainsi que fonctionne la confiance. Au téléphone, un titre professionnel et un numéro de référence suffisent pour paraître légitime.

Sous la pression du temps, vous réfléchissez plus vite et vous vous posez moins de questions. Après quinze minutes de coopération et de transferts d'un service à l'autre, s'arrêter commence à vous donner l'impression que c'est vous qui posez problème.

Ces attaques sont conçues pour fonctionner sur des personnes prudentes. Si vous en avez été victime, ce n'est pas de votre faute.

Comment bunq vous protège

La règle la plus fiable : ne réagissez jamais à un appel téléphonique sans avoir d'abord vérifié le chat de l'application.

bunq n'appelle jamais. Tout appel prétendant provenir de bunq est une arnaque. Ouvrez l'application : une alerte réelle s'y trouvera si quelque chose requiert votre attention.

Les escrocs misent sur l'urgence. Le Safety Shield est conçu pour contrer cela. Lorsqu'un paiement semble inhabituel, il est suspendu pendant 24 heures avant d'être traité. Ce délai ne peut être contourné ni par vous ni par bunq. C'est intentionnel. Si le transfert était légitime, il est effectué une fois les 24 heures écoulées. Si ce n'était pas le cas, vous avez le temps de l'intercepter.

Les escrocs vous demandent souvent d'installer un logiciel d'accès à distance, tel qu'AnyDesk ou TeamViewer. Leur explication : "l'équipe fraude" a besoin d'y jeter un coup d'œil à distance. Une fois ce logiciel lancé, l'attaquant peut tout voir et tout contrôler sur votre écran, y compris votre application bancaire. bunq détecte lorsqu'une application de partage d'écran est active et limite automatiquement les paiements sortants.

En tant que banque, bunq voit tout ce qu'un escroc ne verra jamais : l'historique complet de votre compte, vos habitudes, en temps réel. Si nous constatons quelque chose d'inhabituel, nous agissons avant même que vous n'ayez à le demander.

En savoir plus sur la façon dont bunq protège votre argent, y compris la protection des dépôts et la détection des fraudes. Pour les étapes que vous pouvez configurer vous-même, la section banque en ligne sécurisée couvre l'aspect pratique.

Si vous pensez être ciblé en ce moment même

Raccrochez le téléphone.

Fermez tout logiciel d'accès à distance que vous avez installé (AnyDesk, TeamViewer ou similaire). Réinitialisez votre code de sécurité dans l'application pour empêcher le fraudeur d'accéder à votre compte. Contactez ensuite le support SOS de bunq, joignable en moins de 20 secondes dans l'application, et signalez la fraude via le Guide Anti-Fraude.

La ligne SOS de bunq est joignable en moins de 20 secondes dans l'application. Le Guide Anti-Fraude détaille chaque étape.

Si un transfert a déjà été effectué, signalez-le. bunq examine les cas de fraude en vue d'un remboursement commercial.

Dernières pensées

L'ingénierie sociale fonctionne mieux sur les personnes qui ne savent pas ce que c'est. Maintenant, vous le savez.

Qu'il s'agisse d'un SMS, d'un e-mail ou d'un appel, l'urgence est un signal d'alarme, pas une raison d'agir. Ouvrez d'abord l'application. Si quelque chose ne va vraiment pas, l'information s'y trouvera.