Faux conseillers bancaires : la fraude qui appelle avec le numéro de votre banque - l'autopsie

Le 30 mai 2019, en fin de journée, le téléphone d’un client de BNP Paribas affiche un appel de sa conseillère bancaire — son nom, son numéro. Au bout du fil, une voix se présente comme son assistante : le compte subit une attaque informatique, il a fallu supprimer les bénéficiaires de virements enregistrés, il faut maintenant les réinscrire, tout de suite. Le client s’exécute, avec ses propres codes, dans sa propre application. « Le 31 mai 2019, M. [J] a constaté que plusieurs virements frauduleux avaient été réalisés pour un montant de 54 500 euros », écrira la Cour de cassation cinq ans plus tard.

Quatrième et dernier volet de la saison 1 de notre série « Autopsie d’une attaque », après France Travail, l’ANTS et le CHU de Brest, ce dossier a une particularité : il n’autopsie pas un incident, mais un mode opératoire — la fraude au « faux conseiller bancaire », devenue la forme dominante du vishing en France. Et il s’appuie sur deux pièces que peu de fraudes offrent : un arrêt de la Cour de cassation publié au bulletin, qui raconte l’escroquerie phrase par phrase et tranche la question qui fâche — qui paie ? — et le procès d’un réseau entier devant le tribunal correctionnel de Paris en 2026. Autour de ces deux pièces, les chiffres de l’Observatoire de la sécurité des moyens de paiement (OSMP) de la Banque de France et les constats de Cybermalveillance.gouv.fr.

Une précision de cadrage, essentielle : cette fraude ne « pirate » rien. Aucun malware, aucune faille. Le fraudeur fait faire — il obtient de sa victime qu’elle valide elle-même les opérations, avec ses propres dispositifs de sécurité. C’est précisément ce qui la rend si efficace, et si disputée juridiquement.

À retenir

• Le schéma : un SMS d’alerte (smishing), puis un appel affichant le numéro réel de la banque (spoofing), un scénario d’« attaque en cours », et une victime qui valide elle-même les opérations — ou remet sa carte à un coursier. Ce déroulé n’est pas une reconstitution de chercheurs : il est établi par l’arrêt de la Cour de cassation du 23 octobre 2024 et par le dossier jugé à Paris en 2026.
• Le droit : « Aucune négligence grave au sens de l’article L. 133-19 du code monétaire et financier ne peut être imputée au titulaire d’un compte qui, contacté téléphoniquement par une personne se faisant passer pour un préposé de sa banque dont le numéro s’affichait, utilise à sa demande le dispositif de sécurité personnalisé » pour supprimer puis réinscrire des bénéficiaires (Cass. com., 23 octobre 2024, n° 23-16.267, publié au bulletin). La banque, qui refusait de rembourser 54 500 euros, a perdu.
• L’ampleur : 382 millions d’euros de fraude par manipulation en 2024, soit 32 % du montant total de la fraude aux moyens de paiement, après « deux années de progression très significative entre 2021 et 2023 » (OSMP, rapport 2024). Et « la fraude au faux conseiller bancaire poursuit une forte progression (+159%) » en 2025 (Cybermalveillance.gouv.fr, 26 mars 2026).
• La justice pénale : onze prévenus jugés à Paris en mars 2026 pour un réseau ayant soutiré près de 740 000 euros à une centaine de victimes — 148 faits en un an. Selon la presse, le jugement du 6 mai 2026 prononce jusqu’à six ans d’emprisonnement ; il reste susceptible d’appel.
• L’amont : l’appel n’est crédible que parce que les données de la victime ont fuité en amont. L’OSMP cite « la multiplicité des cas de fuite de données impliquant des sociétés grand public et permettant aux acteurs malveillants de cibler leurs victimes et de crédibiliser leurs scénarios d’attaque ». Cette fraude est l’aval commercial des mégafuites que cette série a autopsiées.
• La leçon : la même manipulation — légitimité empruntée, urgence, victime qui exécute — vise les équipes finance des entreprises sous d’autres noms : fraude au président, faux fournisseur, faux support. La défense est comportementale avant d’être technique.

Le dossier en chiffres

382 M€

de fraude par manipulation en 2024, soit 32 % de la fraude aux moyens de paiement

OSMP (Banque de France), rapport annuel 2024, 09/09/2025

+159 %

de fraudes au faux conseiller bancaire en 2025, malgré les campagnes de prévention

Cybermalveillance.gouv.fr, rapport d'activité 2025, 26/03/2026

54 500 €

de virements validés par la victime elle-même dans l'affaire jugée en cassation — sans négligence grave

Cass. com., 23/10/2024, pourvoi n° 23-16.267

≈ 740 000 €

soutirés à une centaine de victimes par le réseau jugé à Paris — 148 faits en un an

AFP, 26/03/2026 ; jugement rapporté par la presse, 06/05/2026

Chronologie

Chronologie

Le fil des événements

1. 31 mai 2019

   54 500 euros envolés : l'affaire qui fera jurisprudence

   « Le 31 mai 2019, M. [J] a constaté que plusieurs virements frauduleux avaient été réalisés pour un montant de 54 500 euros sur son compte ouvert dans les livres de la société BNP Paribas. » La veille, un appel affichant le numéro de sa conseillère l'avait convaincu de « supprimer puis réinscrire des bénéficiaires de virements » pour déjouer une prétendue attaque informatique.

   Source — Cass. com., 23/10/2024, n° 23-16.267

2. 2021-2023

   La fraude par manipulation explose

   « Après une nette progression entre 2021 et 2023 (+ 47 %) », la fraude par manipulation s'installe comme le premier relais de croissance de la fraude aux paiements : les fraudeurs contournent l'authentification forte imposée par la DSP2 en manipulant le client « lors d'une conversation téléphonique, souvent en usurpant l'identité du prestataire de services de paiement ».

   Source — OSMP, rapport annuel 2024, 09/09/2025

3. Avril 2022 - avril 2023

   148 faits pour le réseau des faux coursiers

   Sur un an, les enquêteurs rapprochent 148 faits commis sur tout le territoire : SMS d'alerte, appel d'un faux service antifraude, carte bancaire glissée dans une enveloppe « pour la détruire », coursier dépêché au domicile. Préjudice : près de 740 000 euros pour une centaine de victimes, souvent âgées.

   Source — AFP (via France 24), 26/03/2026

4. 1er octobre 2024

   La loi Naegelen commence à couper les appels usurpés

   Le mécanisme d'authentification des numéros (MAN) entre en vigueur : « Les appels émis présentant des numéros fixes sans être authentifiés sont coupés depuis le 1er octobre 2024. » L'objectif : empêcher les fraudeurs d'afficher le numéro de la banque.

   Source — OSMP, rapport annuel 2024, 09/09/2025

5. 23 octobre 2024

   La Cour de cassation protège la victime du spoofing

   Arrêt publié au bulletin : « Aucune négligence grave au sens de l'article L. 133-19 du code monétaire et financier ne peut être imputée au titulaire d'un compte qui, contacté téléphoniquement par une personne se faisant passer pour un préposé de sa banque dont le numéro s'affichait, utilise à sa demande le dispositif de sécurité personnalisé pour supprimer puis réinscrire des bénéficiaires de virements dans le but d'éviter des opérations malveillantes. » La banque doit rembourser.

   Source — Cass. com., 23/10/2024, n° 23-16.267, publié au bulletin

6. Fin janvier 2025

   Le MAN s'étend aux mobiles — mais le spoofing survit

   « Les appels émis présentant des numéros mobiles sans être authentifiés sont coupés depuis fin janvier 2025. » L'Observatoire signale toutefois « certains cas de spoofing, y compris sur des numéros de téléphone fixe, qui se seraient concrétisés en 2025 après le déploiement du MAN ».

   Source — OSMP, rapport annuel 2024, 09/09/2025

7. 9 septembre 2025

   382 millions d'euros : l'OSMP prend la mesure

   La Banque de France publie le rapport 2024 de l'Observatoire : « la part de la fraude par manipulation s'est stabilisée en 2024 à 32 % du montant total de la fraude, soit 382 millions d'euros ». La fraude au faux conseiller bancaire en est la figure centrale.

   Source — OSMP, rapport annuel 2024, 09/09/2025

8. 26 mars 2026

   Le procès s'ouvre à Paris — et le baromètre s'affole

   Onze prévenus comparaissent devant le tribunal correctionnel de Paris pour le réseau aux 148 faits. Le même jour, Cybermalveillance.gouv.fr publie son bilan 2025 : « la fraude au faux conseiller bancaire poursuit une forte progression (+159%) » et « l'usurpation de numéro de téléphone affiche une augmentation de 517 % ».

   Source — AFP (via France 24) ; Cybermalveillance.gouv.fr, 26/03/2026

9. 6 mai 2026

   Jusqu'à six ans de prison

   Selon la presse, le tribunal correctionnel de Paris condamne le donneur d'ordre présumé, jugé en son absence, à six ans d'emprisonnement et 100 000 euros d'amende, avec mandat d'arrêt ; huit autres membres du réseau sont « reconnus coupables d'escroquerie en bande organisée », avec des peines de six mois à quatre ans. Jugement de première instance, susceptible d'appel.

   Source — Presse (Actu Roubaix ; Bladi.net citant BFMTV), 06/05/2026

Acte 1 : l’arrêt qui raconte la fraude — Cour de cassation, 23 octobre 2024

Les faits, tels que la justice les a établis

Les récits de vishing abondent dans la presse ; il est plus rare qu’un mode opératoire soit fixé, mot pour mot, par la plus haute juridiction judiciaire française. C’est le cas ici. L’arrêt rendu le 23 octobre 2024 par la chambre commerciale de la Cour de cassation (pourvoi n° 23-16.267, publié au bulletin) résume les faits en deux phrases d’une précision clinique : « Le 31 mai 2019, M. [J] a constaté que plusieurs virements frauduleux avaient été réalisés pour un montant de 54 500 euros sur son compte ouvert dans les livres de la société BNP Paribas (la banque). » Et : « M. [J] a alerté la banque le jour même, soutenant avoir été contacté par téléphone par une personne se faisant passer pour une préposée de l’établissement lui demandant d’ajouter, grâce à ses données personnelles de sécurité, cinq personnes sur la liste des bénéficiaires de virements. »

Le détail du scénario apparaît dans la suite de l’arrêt, au fil des constatations reprises des juges du fond. L’interlocutrice s’était présentée comme l’assistante de la conseillère bancaire du client. Elle lui avait expliqué « qu’il avait été nécessaire de supprimer des bénéficiaires de virement pour déjouer une attaque informatique et qu’il fallait désormais les réenregistrer ». Resté en ligne, le client « avait reçu sur son téléphone mobile des messages l’invitant à valider des ajouts de bénéficiaires, ce qu’il avait fait en saisissant son code confidentiel ». Pour finir, on lui avait annoncé qu’il n’aurait « plus accès à [son] compte » et qu’il recevrait « par la poste un nouvel identifiant de compte et un nouveau mot de passe » — l’astuce qui achète aux fraudeurs plusieurs jours de silence.

Et surtout, la pièce maîtresse : « le numéro d’appel apparaissant sur le téléphone portable de M. [J] s’était affiché comme étant celui de Mme [Y], sa conseillère BNP ». Le spoofing — l’usurpation du numéro appelant — n’est pas ici une hypothèse d’expert : c’est une constatation judiciaire. La victime « croyait être en relation avec une salariée de la banque », et a cru valider une opération de protection « sur son application dont la banque assurait qu’il s’agissait d’une opération sécurisée ».

« Aucune négligence grave » : la décision

Restait la question qui détermine tout, pour des dizaines de milliers de victimes : qui supporte la perte ? Le cadre est fixé par le code monétaire et financier : les opérations non autorisées doivent être remboursées par la banque — sauf l’exception de l’article L. 133-19, IV : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. » Tout se joue donc sur quatre mots : la « négligence grave » du client.

La banque plaidait précisément cela : « commet une négligence grave, le payeur qui valide à distance et sans la vérifier, une opération dont il n’est pas l’auteur », soutenait son pourvoi, en listant les indices qui auraient dû alerter un « utilisateur normalement attentif ». La cour d’appel de Versailles l’avait condamnée à rembourser les 54 500 euros ; elle demandait la cassation.

La chambre commerciale rejette le pourvoi, en deux temps. D’abord la charge de la preuve, rappelée d’entrée : « il incombe au prestataire de services de paiement de rapporter la preuve d’une négligence grave de son client ». Ensuite, le cœur du raisonnement, qui donne à cet arrêt sa portée : « le mode opératoire par l’utilisation du “spoofing” a mis M. [J] en confiance et a diminué sa vigilance, inférieure, face à un appel téléphonique émanant prétendument de sa banque pour lui faire part du piratage de son compte, à celle d’une personne réceptionnant un courriel, laquelle aurait pu disposer de davantage de temps pour s’apercevoir d’éventuelles anomalies révélatrices de son origine frauduleuse ». Conclusion : « la cour d’appel a pu déduire que la négligence grave de M. [J] n’était pas caractérisée ».

Le sommaire publié au bulletin en fait un principe : « Aucune négligence grave au sens de l’article L. 133-19 du code monétaire et financier ne peut être imputée au titulaire d’un compte qui, contacté téléphoniquement par une personne se faisant passer pour un préposé de sa banque dont le numéro s’affichait, utilise à sa demande le dispositif de sécurité personnalisé pour supprimer puis réinscrire des bénéficiaires de virements dans le but d’éviter des opérations malveillantes. »

Deux lectures honnêtes de cette décision. Pour les victimes de spoofing, c’est un bouclier : valider soi-même des opérations sous l’emprise d’un appel usurpant le numéro de la banque n’est pas, en soi, une négligence grave — le remboursement est dû. Mais ce n’est pas une immunité générale : la négligence grave existe toujours dans la loi, la jurisprudence l’a retenue dans d’autres configurations — typiquement face à des courriels d’hameçonnage aux anomalies manifestes — et chaque dossier s’apprécie sur ses faits. L’arrêt dit une chose précise : la sophistication du piège s’impute au piégeur, pas au piégé.

Acte 2 : le réseau des faux coursiers — le procès de Paris

L’arrêt de 2024 montrait la fraude côté victime, à l’unité. Le procès qui s’est ouvert le 26 mars 2026 devant le tribunal correctionnel de Paris l’a montrée côté industrie. Onze prévenus, soupçonnés d’appartenir à un réseau de faux conseillers bancaires, comparaissaient pour près de 740 000 euros soutirés à une centaine de victimes : l’enquête a rapproché 148 faits commis sur tout le territoire entre avril 2022 et avril 2023 — environ 2 600 euros par opération frauduleuse (AFP, 26 mars 2026).

Le mode opératoire décrit à l’audience est une déclinaison du même schéma, avec une étape physique en plus. Un SMS alertait la victime d’un prétendu achat frauduleux et l’invitait à rappeler un numéro commençant par 01. Au bout du fil, un faux agent du service des fraudes la persuadait de placer sa carte bancaire dans une enveloppe « pour la détruire » — puis un coursier passait la récupérer à domicile, code confidentiel obtenu à l’appui. Les comptes étaient ensuite vidés par retraits aux distributeurs et achats de biens de valeur. Les enquêteurs décrivaient « une organisation pyramidale du réseau, avec à sa tête un donneur d’ordre désigné sous le pseudonyme de “padrino” (“parrain” en italien), qui pilotait vraisemblablement les opérations depuis le Maroc », via Telegram, avec des rôles répartis — standardistes, coursiers, acheteurs, prête-noms — et des solutions d’appel par Internet affichant des numéros fixes français. Les appels visaient souvent des heures où les agences étaient fermées, empêchant toute vérification auprès de la banque. « Au début, je ne voulais pas le dire à mes proches de peur de passer pour une idiote », a confié à l’AFP une victime, partie civile, qui avait perdu 4 100 euros.

Le jugement est tombé le 6 mai 2026, selon les comptes rendus de presse : le donneur d’ordre présumé, jugé en son absence, a été condamné à six ans d’emprisonnement et 100 000 euros d’amende, un mandat d’arrêt étant émis à son encontre ; huit autres membres du réseau ont été « reconnus coupables d’escroquerie en bande organisée », avec des peines allant de six mois à quatre ans d’emprisonnement, pour partie assorties de sursis. Les comptes rendus disponibles ne précisent pas le sort des deux derniers prévenus. Précision d’usage : il s’agit d’un jugement de première instance, susceptible d’appel ; aucune information publique sur d’éventuels recours n’était disponible à la date de publication de cet article.

Une phrase entendue à l’audience mérite de rester : « Mais qui va payer ? », demandait cette retraitée partie civile. La réponse pénale — des peines — ne répond pas à la question civile — le remboursement. C’est tout l’enjeu de l’acte 1 : pour les victimes qui ont remis leur carte ou validé des opérations sous manipulation, le combat continue face au guichet, article L. 133-19 en main.

La chaîne d’attaque : le schéma documenté

Chaîne d'attaque

Comment l'intrusion s'est déroulée

Reconstitution à visée défensive — chaque maillon compris est un maillon que l’on peut casser.

1. 01

   L'amont : des données volées qui préparent l'appel

   Le faux conseiller ne devine rien : il sait. Cybermalveillance.gouv.fr note qu'il « dispose souvent de nombreuses informations » sur sa cible — « identité, adresse, coordonnées de carte bancaire, voire numéro de compte » — issues d'hameçonnage ou de fuites de données. L'OSMP pointe « la multiplicité des cas de fuite de données impliquant des sociétés grand public et permettant aux acteurs malveillants de cibler leurs victimes et de crédibiliser leurs scénarios d'attaque ».

2. 02

   Le prétexte : un SMS d'alerte (smishing)

   Dans le dossier jugé à Paris, tout commence par un SMS signalant un prétendu achat frauduleux et invitant à rappeler d'urgence un numéro en 01 présenté comme celui du service antifraude de la banque (AFP, 26/03/2026). L'OSMP documente l'usurpation des libellés d'expéditeur de SMS (OAdC), qui fait passer le message pour celui de la banque.

3. 03

   L'appel « de la banque » : le numéro affiché est usurpé

   Le spoofing consiste à « tromper le destinataire sur l'origine des appels reçus (par exemple, en affichant le numéro du conseiller bancaire, du standard de la banque ou de son service de mise en opposition des cartes) » (OSMP). Dans l'affaire jugée en cassation, « le numéro d'appel apparaissant sur le téléphone portable de M. [J] s'était affiché comme étant celui de [sa] conseillère ».

4. 04

   L'urgence fabriquée : une « attaque en cours » à déjouer

   Le scénario établi par l'arrêt du 23 octobre 2024 : l'interlocutrice explique qu'il a fallu « supprimer des bénéficiaires de virement pour déjouer une attaque informatique » et qu'il faut « désormais les réenregistrer » — tout de suite, au téléphone. Au procès de Paris, la presse relève que les appels visaient souvent des heures où les agences sont fermées, pour empêcher toute vérification.

5. 05

   La victime agit elle-même : validation forte ou remise de carte

   C'est la signature de cette fraude, résumée par l'OSMP : « faire valider les opérations frauduleuses par les victimes elles-mêmes », ou s'approprier leurs outils d'authentification forte. La victime saisit son code dans sa propre application « sécurisée » ; ou glisse sa carte dans une enveloppe « pour la détruire », code confidentiel à l'appui.

6. 06

   La collecte : coursiers, retraits, achats — puis blanchiment

   Dans le réseau jugé à Paris, un coursier récupérait l'enveloppe au domicile, puis les comptes étaient vidés « via des retraits aux distributeurs ou l'achat de biens de valeur » (AFP). L'accusation décrivait « une organisation pyramidale », pilotée via Telegram, avec standardistes, coursiers, acheteurs et prête-noms — environ 2 600 euros par opération frauduleuse, 148 fois en un an.

Ce qui frappe, en posant côte à côte l’arrêt de cassation et le dossier parisien, c’est la stabilité du schéma. Les variantes — virements validés dans l’application d’un côté, carte remise à un coursier de l’autre — habillent la même colonne vertébrale : une légitimité empruntée (le numéro affiché, le vocabulaire bancaire, les données personnelles exactes), une urgence fabriquée (l’« attaque en cours », l’achat suspect), et un transfert de l’action à la victime. L’OSMP l’a formulé mieux que quiconque : cette fraude « consiste soit à faire valider les opérations frauduleuses par les victimes elles-mêmes, soit à ce que les fraudeurs s’approprient les outils d’authentification forte pour réaliser directement des opérations frauduleuses ». L’authentification forte imposée par la DSP2 a fermé la porte aux fraudeurs ; ils ont donc entrepris de faire ouvrir la porte de l’intérieur.

L’amont : pourquoi l’appel est si crédible

Un appel qui vous nomme, connaît votre banque, votre conseillère, parfois vos dernières opérations ou votre IBAN, ne sort pas du néant. Cybermalveillance.gouv.fr le dit sans détour dans sa fiche consacrée à cette fraude : l’escroc « dispose souvent de nombreuses informations » sur sa cible — « identité, adresse, coordonnées de carte bancaire, voire numéro de compte » — obtenues par hameçonnage, piratage ou fuites de données. Et l’OSMP range explicitement parmi les moteurs de la fraude par manipulation « la multiplicité des cas de fuite de données impliquant des sociétés grand public et permettant aux acteurs malveillants de cibler leurs victimes et de crédibiliser leurs scénarios d’attaque grâce aux informations personnelles collectées ».

C’est ici que cette autopsie rejoint les précédentes. Les 43 millions de personnes touchées par la fuite France Travail — états civils, numéros de téléphone, identifiants —, les données d’usagers exposées via l’ANTS, les IBAN partis chez les opérateurs télécoms et les organismes de tiers payant : tout cela constitue la matière première du faux conseiller. La fuite de données n’est pas un préjudice abstrait qui s’éteint avec le communiqué de presse ; elle a un aval commercial, et cet aval vous téléphone. Quand le fraudeur récite votre fiche, la frontière entre « ma banque » et « quelqu’un qui a acheté mes données » devient invisible à l’oreille — c’est exactement ce que l’arrêt du 23 octobre 2024 constate : le piège « a mis [la victime] en confiance et a diminué sa vigilance ».

L’ampleur : 382 millions d’euros et des défenses qui montent

La mesure de référence est celle de l’OSMP, l’observatoire adossé à la Banque de France : « Après deux années de progression très significative entre 2021 et 2023, la part de la fraude par manipulation s’est stabilisée en 2024 à 32 % du montant total de la fraude, soit 382 millions d’euros. » La progression 2021-2023 : + 47 %. La définition qu’en donne l’Observatoire recouvre précisément notre sujet : « les cas où le fraudeur manipule le client lors d’une conversation téléphonique, souvent en usurpant l’identité du prestataire de services de paiement (fraude au faux conseiller bancaire ou au faux service antifraude) ». Et cette statistique est un plancher : elle exclut par construction les escroqueries où la victime croit payer un tiers légitime — faux placements, faux sites — qui prospèrent à côté.

La stabilisation de 2024 doit beaucoup aux défenses déployées. La loi Naegelen a imposé le mécanisme d’authentification des numéros (MAN) : « Les appels émis présentant des numéros fixes sans être authentifiés sont coupés depuis le 1er octobre 2024 », les numéros mobiles depuis fin janvier 2025. Côté SMS, l’AF2M gère des listes d’identifiants d’expéditeur protégés et interdits, alimentées « sur la base des signalements envoyés par les particuliers au 33700 ». Côté banques, l’OSMP recommande de protéger les numéros sensibles (dispositif « Do Not Originate ») et d’étudier un numéro antifraude unique, sur le modèle du 159 britannique.

Mais l’autopsie serait incomplète sans le constat de 2025-2026 : l’espèce s’adapte plus vite que le prédateur ne recule. Le 26 mars 2026 — le jour même où s’ouvrait le procès parisien —, Cybermalveillance.gouv.fr publiait son bilan 2025 : « malgré les efforts de communication des acteurs du secteur, la fraude au faux conseiller bancaire poursuit une forte progression (+159%) », avec des évolutions comme « l’hameçonnage au faux numéro d’opposition et le recours à la messagerie WhatsApp ». Et « l’usurpation de numéro de téléphone affiche une augmentation de 517 % et ce malgré les dispositifs réglementaires et techniques (Loi “Naegelen”) mis en place pour l’endiguer ». Le même bilan note l’essor d’équipes « terrain » sous-traitantes, « mandatées par exemple dans le cas d’une arnaque au faux conseiller bancaire pour récupérer des cartes de paiement à domicile par de “faux coursiers” » — le modèle jugé à Paris, devenu prestation de service. L’OSMP lui-même signale des cas de spoofing « qui se seraient concrétisés en 2025 après le déploiement du MAN ». Les barrières techniques déplacent la fraude ; elles ne l’éteignent pas, car sa matière première n’est pas technique : c’est la confiance.

Ce qu’une entreprise doit en retenir

1. Le faux conseiller a un cousin en entreprise : il appelle votre comptabilité

Remplacez « votre compte est attaqué » par « ces virements doivent être régularisés avant midi », et le faux conseiller devient la fraude au président ou au faux fournisseur — mêmes ressorts (autorité empruntée, urgence, confidentialité), montants supérieurs. Les services finance et RH sont des cibles à IBAN, et les données nécessaires pour rendre l’appel crédible — organigramme, banque de l’entreprise, fournisseurs — se trouvent dans les mêmes fuites et sur les mêmes réseaux sociaux. Considérez le vishing comme un risque de trésorerie, pas comme un fait divers de particuliers.

2. La parade n’est pas de reconnaître la voix, mais de casser le canal

L’enseignement central de l’arrêt de cassation : le canal entrant ne prouve rien. Le numéro affiché peut mentir ; demain, la voix elle-même mentira. La seule vérification robuste est le contre-appel sortant : raccrocher, puis rappeler soi-même un numéro connu et vérifié — celui du dos de la carte, du contrat, de l’annuaire interne. En entreprise, cette règle doit être écrite, nominative et opposable : notre procédure anti-fraude au virement détaille le circuit de validation et de contre-appel qui aurait arrêté chacun des scénarios décrits dans ce dossier.

3. Ce que votre banque (ou la nôtre) ne demandera jamais

La règle tient en une phrase de Cybermalveillance.gouv.fr, à afficher telle quelle : « Jamais un conseiller de votre banque ne vous demandera de lui communiquer votre mot de passe, des codes de confirmation ou encore d’effectuer des actions de validation sur votre application bancaire pour de supposées fraudes en cours. » Ni d’envoyer votre carte par coursier, ni de « transférer les fonds vers un compte sécurisé ». Toute demande de ce type, quelle qu’en soit l’apparente légitimité, est un signal d’arrêt immédiat — et « ne validez en aucun cas des opérations dont vous n’êtes pas à l’origine, même si votre interlocuteur prétexte qu’il s’agit de les annuler ».

4. On ne patche pas un humain, on l’entraîne

La fraude au faux conseiller ne franchit aucun pare-feu : elle franchit un cerveau sous pression. Or le réflexe de raccrocher face à une urgence plausible ne se décrète pas dans une charte, il s’acquiert par la répétition — exactement comme les simulations de phishing créent le réflexe de signalement face à l’email piégé. Entraîner ses équipes aux scénarios de manipulation vocale et écrite (fausse banque, faux support, faux dirigeant), mesurer les taux de signalement, débriefer sans blâmer : c’est le pendant humain du MAN et des listes noires du 33700. Retrouvez les incidents de cette série et plus de 100 autres dans notre base de données des cyberattaques en France.

Verdict

L’autopsie de la fraude au faux conseiller bancaire livre un diagnostic inhabituel : voici une attaque intégralement documentée par l’institution judiciaire — un arrêt publié au bulletin pour le scénario et le droit, un procès correctionnel pour l’organisation industrielle — et qui pourtant continue de croître, +159 % en 2025, au nez des dispositifs techniques déployés pour la contenir. La raison tient dans sa nature : elle n’exploite ni faille ni malware, mais la chose la plus difficile à patcher qui soit, la confiance d’une personne envers sa banque, nourrie par des données personnelles volées ailleurs.

Les trois premiers volets de cette série racontaient des systèmes d’information compromis ; celui-ci raconte ce que deviennent les données qui en sortent. Entre la fuite chez France Travail et le retraité qui glisse sa carte dans une enveloppe, il y a une chaîne logistique — smishing, spoofing, standardistes, coursiers — que la justice a démontée pièce par pièce. La Cour de cassation a posé la règle civile : la sophistication du piège s’impute au piégeur. Le tribunal correctionnel a posé la règle pénale : jusqu’à six ans ferme. Reste la règle défensive, qui n’appartient qu’à vous : aucun canal entrant ne prouve l’identité de celui qui parle. Raccrochez, rappelez. C’est un réflexe de trois secondes — et il s’entraîne.

FAQ

Qu’est-ce que la fraude au faux conseiller bancaire ? Une escroquerie par téléphone où le fraudeur se fait passer pour la banque — souvent en affichant son vrai numéro (spoofing) — et manipule la victime pour lui faire valider des opérations frauduleuses ou remettre sa carte. L’OSMP la classe dans la fraude par manipulation : 382 millions d’euros en 2024.

Ma banque peut-elle refuser de me rembourser ? Seulement si elle prouve votre « négligence grave » (article L. 133-19, IV du code monétaire et financier) — la charge de la preuve lui incombe. Et depuis l’arrêt du 23 octobre 2024 (n° 23-16.267), être trompé par un appel affichant le numéro de sa banque n’est pas une négligence grave, même si l’on a validé soi-même les opérations.

Comment reconnaître un faux conseiller ? Par ses demandes : valider des opérations « pour les annuler », communiquer codes ou mots de passe, remettre sa carte à un coursier — « jamais un conseiller de votre banque » ne demande cela (Cybermalveillance.gouv.fr). Le numéro affiché ne prouve rien : raccrochez et rappelez vous-même votre banque.

Que faire immédiatement en cas de fraude ? Opposition immédiate (0 892 705 705), alerte à la banque par canal officiel, contestation écrite des opérations, conservation des preuves (SMS, numéros, horaires), plainte (Perceval ou Thésée), signalement du SMS au 33700.

Le spoofing est-il encore possible malgré la loi Naegelen ? Oui, à la marge : le MAN coupe les appels non authentifiés (numéros fixes depuis octobre 2024, mobiles depuis janvier 2025), mais l’OSMP a été informé de cas de spoofing en 2025 après son déploiement, et Cybermalveillance.gouv.fr mesure +517 % d’usurpations de numéro en 2025 — les fraudeurs migrent aussi vers WhatsApp et les faux numéros d’opposition.

Les entreprises sont-elles concernées ? Oui : la même manipulation, appliquée aux équipes finance, s’appelle fraude au président ou au faux fournisseur. Les parades sont identiques : contre-appel systématique à un numéro connu, double validation des virements, entraînement régulier des équipes.

---

Sources :

• Cour de cassation, chambre commerciale, 23 octobre 2024, pourvoi n° 23-16.267, publié au bulletin (ECLI:FR:CCASS:2024:CO00586) : legifrance.gouv.fr — courdecassation.fr — version archivée (consultés le 05/09/2026)
• Code monétaire et financier, article L. 133-19 : legifrance.gouv.fr — version archivée (consultés le 05/09/2026)
• Banque de France, Observatoire de la sécurité des moyens de paiement, rapport annuel 2024, présenté le 9 septembre 2025 : banque-france.fr — PDF — version archivée (consultés le 05/09/2026)
• Cybermalveillance.gouv.fr, rapport d’activité et état de la menace 2025, communiqué du 26 mars 2026 : PDF — version archivée ; fiche réflexe « Que faire en cas de fraude au faux conseiller bancaire ? » : cybermalveillance.gouv.fr — version archivée (consultés le 05/09/2026)
• AFP, « Faux conseillers bancaires : onze prévenus jugés pour un butin de 740.000 euros », 26 mars 2026, via France 24 ; voir aussi MoneyVox et France 3 Île-de-France, 26 mars 2026 (consultés le 05/09/2026)
• Comptes rendus de presse du jugement du 6 mai 2026 : Actu Roubaix — version archivée ; Bladi.net, citant BFMTV (consultés le 05/09/2026)

Note : les faits relatifs à l’affaire jugée par la Cour de cassation sont cités tels qu’établis par les juridictions civiles, qui anonymisent les parties ([J], [Y]) ; BNP Paribas n’y est mentionnée qu’en qualité de partie à l’instance, comme dans l’arrêt lui-même, qui l’a condamnée aux dépens après rejet de son pourvoi. Les condamnations prononcées à Paris le 6 mai 2026, rapportées par la presse, émanent d’un jugement de première instance susceptible d’appel ; les personnes dont la situation n’est pas définitivement jugée bénéficient de la présomption d’innocence. Aucun élément de cet article ne permet d’identifier les victimes, et les éléments de mode opératoire cités proviennent exclusivement de décisions de justice, de rapports publics et de comptes rendus d’audience — reproduits à des fins descriptives et défensives.