Daniel a fait ce qu’on dit toujours de faire. Il a vérifié le numéro. C’était le bon. C’est justement ça qui l’a perdu.
L’histoire
La semaine passée, mon téléphone sonne. C’est Daniel. Une bonne connaissance, presque un ami. Le genre de gars prudent, qui me demande mon avis avant d’installer une application.
Au ton de sa voix, j’ai compris que c’était pas pour une application.
« Éric, je pense que je me suis fait avoir. Pis pas à peu près. »
Il m’a tout raconté d’une traite. Je te le redonne dans l’ordre, parce que lui, il l’avait pas mal dans le désordre (c’est normal, il était encore sous le choc).
L’appel du matin
Deux semaines plus tôt, un matin, son cellulaire sonne. Sur l’afficheur : le nom de sa banque.
Il répond. Une voix calme, polie, très professionnelle. On lui dit qu’il y a des transactions inhabituelles sur sa carte de crédit.
Daniel est pas naïf. Il pose la question tout de suite :
« C’est une arnaque, ça, je présume ? »
Le gars rit presque.
« Non, pas du tout, monsieur. Si vous voulez, vous pouvez nous rappeler à ce numéro-ci. »
Et il lui donne un numéro.
Daniel dit « attendez », il regarde son téléphone. C’est le même numéro que sur l’afficheur. Pas convaincu, il ouvre son navigateur et va chercher le numéro officiel de sa banque.
C’est le bon.
À ce moment-là, dans sa tête, le doute est parti. Le numéro concorde. Qu’est-ce que tu veux de plus ?
« Avez-vous fait ces achats-là ? »
Le faux conseiller enchaîne :
« Avez-vous fait des transactions ce matin de 1 850 $, de 3 000 $ et de 5 000 $ ? »
Ben non. Évidemment que non.
« Vous avez été piraté. Je vais annuler les transactions tout de suite. Donnez-moi deux minutes. »
Il revient. Les transactions sont annulées, qu’il dit. La carte est désactivée. Une nouvelle carte va arriver par la poste d’ici sept jours.
Mais pour l’émettre, il a besoin de « confirmer quelques informations ».
Le nom. L’adresse. Le numéro de téléphone. Correct, rien de bien grave.
Ensuite : les numéros de la carte, la date d’expiration et le code de sécurité à l’endos. « Avant de la détruire », qu’il dit.
Pis la dernière :
« Pour confirmer votre identité, j’aurais besoin de votre limite de crédit autorisée. »
Daniel a quand même tiqué.
« Je comprends pas. Vous l’avez pas déjà dans votre ordinateur, ça ? »
« Oui, oui. C’est simplement pour m’assurer que je parle à la bonne personne. »
Ça se tient. C’est ce que toutes les banques disent. Daniel répond qu’il pense que sa limite est de 15 000 $.
La musique d’attente
« Parfait. Je vous reviens dans quelques minutes. »
Musique d’attente. Pour vrai. Daniel me l’a répété deux fois : « Il y avait même de la musique d’attente, Éric. J’y croyais vraiment. »
Presque dix minutes plus tard (peut-être plus, il savait plus trop), le gars revient :
« C’est parfait, j’ai tous les renseignements. Vous allez recevoir votre carte d’ici une dizaine de jours. D’ici là, vous allez sûrement recevoir des textos de la banque. Vous pouvez les ignorer. »
Vous pouvez les ignorer.
Retiens cette phrase-là. C’est elle qui a coûté le plus cher.
Les textos
Le soir même, un texto de sa banque. Un achat de 1 850 $.
Le lendemain : 3 000 $.
La journée d’après : 5 000 $. Pis un autre de 5 000 $.
Daniel a vu passer les textos. Il les a ignorés. Comme on lui avait dit. Les montants étaient exactement ceux que le gars avait nommés au téléphone, alors dans sa tête, c’était juste les annulations qui rentraient. Il y en avait un de 5 000 $ de trop, mais bon. Il s’est dit que c’était la banque qui s’arrangeait avec ça.
Le vrai appel
Vers le troisième jour, le téléphone sonne encore. Sa banque. Encore.
« Monsieur, nous avons peut-être des transactions frauduleuses dans votre compte. Avez-vous fait une transaction de 5 000 $ aujourd’hui ? »
Les mêmes mots. La même question. Daniel a perdu patience.
« Ben voyons. Je le sais, vous m’avez appelé y a quelques jours pour ça ! »
« Non, monsieur. Ce n’était pas nous. »
« Là, vous me niaisez. »
Il a raccroché. Il est allé sur le site de sa banque, a pris le numéro, a appelé lui-même.
Cette fois-là, c’était vraiment la banque. Et cette fois-là, c’était trop tard.
Deux semaines plus tard
La banque lui a dit qu’elle allait « essayer » de retirer les transactions et qu’elle le rappellerait.
Quand il m’a appelé, ça faisait deux semaines. Pas de rappel. Pas de nouvelle carte. Et quand il ouvre son compte en ligne, sa carte est encore pleine.
Je lui ai dit la même chose qu’à tout le monde. Appelle ta banque. Va porter plainte à la police, fais faire un rapport. Dénonce au Centre antifraude. Sans rapport de police, la banque peut te donner pas mal plus de misère.
Il l’a fait. Il attend encore.
J’aurais aimé en faire plus pour lui. Mais quand il m’a appelé, le mal était déjà fait. Des fois, c’est ça, ma job : arriver après.
Le moment où ça a dérapé
Ce qui me frappe dans cette histoire, c’est que Daniel a pas été imprudent. Il a été méthodique. Et les fraudeurs avaient prévu chacune de ses vérifications.
Étape 1 — L’afficheur falsifié. Le nom et le numéro de la banque sur l’écran ? Ça se falsifie facilement. Ça s’appelle l’usurpation d’afficheur (en anglais, spoofing). Ça coûte presque rien et ça prend quelques minutes.
Étape 2 — La fausse vérification. « Rappelez-nous à ce numéro. » Daniel a comparé l’afficheur avec le site officiel. Les deux concordaient. Sauf que ça ne prouve rien : l’afficheur est faux, mais le numéro qu’il imite est vrai. Vérifier le numéro, ça sert à rien. Raccrocher et rappeler soi-même, ça, ça sert.
Étape 3 — Le faux sauvetage. On annonce une fraude, on « l’annule », on « bloque » la carte. Daniel se sent pris en charge. Il baisse sa garde.
Étape 4 — La collecte déguisée. Numéro de carte, date, code de sécurité. Avec ces trois infos-là, n’importe qui peut acheter en ligne à ta place.
Étape 5 — La question sur la limite. C’est la plus vicieuse. Elle ne servait pas à l’identifier. Elle servait à savoir combien prendre.
Fais le calcul : 1 850 + 3 000 + 5 000 + 5 000 = 14 850 $. Sur une limite de 15 000 $.
Ils ont vidé la carte à 150 $ près.
Étape 6 — Couper l’alarme d’avance. En nommant les montants le matin même, pis en disant « ignorez les textos », ils ont transformé le système d’alerte de la banque en rien du tout. Les vrais textos de fraude sont arrivés. Daniel les a pris pour des confirmations.
Franchement, c’est du travail de pro.
🚩 Les drapeaux rouges qu’il aurait fallu voir
- C’est eux qui ont appelé. Une banque qui t’appelle pour une fraude, ça existe. Mais c’est toujours toi qui dois rappeler, au numéro à l’endos de ta carte.
- On t’a demandé le code de sécurité. Aucune banque ne te demande le code à trois chiffres à l’endos de ta carte au téléphone. Jamais.
- On t’a demandé ta limite de crédit. Ta banque la connaît. Si quelqu’un a besoin que tu la dises, c’est qu’il ne la connaît pas.
- « Détruisez votre carte, mais donnez-moi les numéros avant. » Si la carte est vraiment désactivée, pourquoi il aurait besoin des numéros ?
- « Ignorez les textos de la banque. » Aucune vraie banque ne te dira d’ignorer ses propres alertes de fraude.
- Un achat de trop. Le gars avait nommé trois montants. Il y a eu quatre textos. C’était le signal que quelque chose clochait.
✅ Ce qu’il fallait faire à la place
- Raccrocher, point. Même si le numéro concorde. Même si la voix est polie. Tu dis « je vais vous rappeler » et tu raccroches.
- Rappeler au numéro à l’endos de ta carte. Idéalement d’un autre téléphone, ou attends quelques minutes avant de composer.
- Ne jamais donner le code de sécurité, la date d’expiration ou la limite. Ta banque a déjà tout ça.
- Lire chaque texto d’alerte. Et si t’as un doute, appelle la banque toi-même. C’est pour ça que ces alertes existent.
- Parler à quelqu’un avant d’agir. Daniel m’a appelé après. Un appel de deux minutes avant, et tout ça arrivait pas.
🆘 Si ça t’arrive : les 30 prochaines minutes
- Appelle ta banque au numéro à l’endos de ta carte. Fais bloquer la carte immédiatement. Note la date, l’heure et le nom de la personne à qui tu parles.
- Conteste chaque transaction une par une. Donne les montants et les dates. Demande un numéro de dossier.
- Change tes mots de passe bancaires si tu as donné quoi que ce soit d’autre (NIP, mot de passe, code reçu par texto).
- Porte plainte à la police et demande une copie du rapport ou le numéro d’événement.
- Signale la fraude au Centre antifraude du Canada : 1-888-495-8501.
- Envoie une plainte écrite au service des plaintes de ta banque. Par écrit, pas juste au téléphone. Joins le rapport de police. Garde une copie.
- Si ta banque ne règle pas, va à l’Ombudsman bancaire (OSBI). C’est gratuit et indépendant. Tu peux t’y adresser 56 jours après ta plainte à la banque, ou plus tôt si elle ferme ton dossier par écrit.
Si on te dit que la banque n’a pas à te rembourser parce que tu as donné tes infos toi-même, c’est pas si simple. Au Québec, la Loi sur la protection du consommateur (article 123) limite ta responsabilité à 50 $ en cas d’utilisation non autorisée de ta carte de crédit, et à 0 $ pour ce qui se passe après que tu as avisé la banque. Les banques contestent parfois dans les cas où la victime a elle-même donné ses informations. Ne lâche pas pour autant : fais valoir tes droits par écrit, et rends-toi à l’OSBI s’il le faut. En cas de doute, l’Office de la protection du consommateur peut t’orienter.
💬 Le mot de la fin
Ce qui me reste de cette histoire-là, c’est pas le montant. C’est que Daniel a fait exactement ce qu’on répète partout. Il a douté. Il a posé la question. Il a vérifié le numéro.
Pis ça a pas suffi.
Les fraudeurs ne cherchent plus des gens naïfs. Ils préparent des réponses à tes vérifications. Ils savent que tu vas regarder l’afficheur, alors ils le falsifient. Ils savent que tu vas recevoir des alertes, alors ils te disent de les ignorer.
La seule vérification qui marche, c’est celle qu’ils ne peuvent pas contrôler : raccrocher, pis rappeler toi-même.
Daniel attend encore des nouvelles de sa banque. Je vais le suivre. Pis s’il y a du nouveau, je t’en reparle.
Ta banque ne te dira jamais d’ignorer ta banque.
🎯 Tu veux voir cette arnaque de l’intérieur, du bord du fraudeur ? Lis le décryptage : Tu appelles 200 personnes par jour. Tu as juste besoin d’une qui vérifie le numéro.
📚 Ressources utiles
- Centre antifraude du Canada : 1-888-495-8501 — antifraudcentre-centreantifraude.ca
- Signalement SMS frauduleux (Canada) : Transférer le SMS au 7726 (gratuit)
- Ombudsman des services bancaires et d’investissement (OSBI) : obsi.ca/fr — recours gratuit si ta banque refuse de régler
- Office de la protection du consommateur (Québec) : opc.gouv.qc.ca — tes droits en cas de fraude par carte de crédit
- Liste nationale d’exclusion : lnnte-dncl.gc.ca
- En France : 33700.fr
Reçois « L’arnaque de la semaine » chaque vendredi
Une histoire vraie, décortiquée, chaque semaine dans ta boîte courriel. Plus 3 nouvelles à surveiller en crypto, IA et finance.
Les histoires partagées dans cette série sont inspirées de cas réels que j’ai rencontrés durant mes 27 ans dans le domaine de l’informatique. Les noms et certains détails ont été modifiés pour protéger l’identité des personnes concernées.
Écrit par Éric, technicien informatique depuis 27 ans, fondateur de Bcisolutions et créateur de protecteurnumerique.com.