Repérer la fraude, avant qu’elle ne fasse des dégâts

Le phishing désigne des tentatives de fraude dans lesquelles des escrocs se font passer, par exemple, pour une banque, une administration ou une entreprise. Par e-mail, on parle de phishing, par SMS de smishing, par téléphone de vishing et par code QR de quishing. Leur objectif est d’obtenir tes identifiants, les données de ta carte ou des codes de confirmation, ou de t’inciter à effectuer toi-même un paiement.

Un exemple typique : un SMS envoyé au nom d’un service de livraison affirme que tu dois payer des frais supplémentaires pour recevoir ton colis. Le lien mène vers une fausse page de paiement. Les données de carte et les codes de confirmation qui y sont saisis peuvent ensuite être utilisés pour effectuer des paiements non autorisés. Le message peut même apparaître dans une conversation SMS existante avec le véritable expéditeur. Le numéro de téléphone affiché peut lui aussi être falsifié.

Les codes QR sont présents sur les menus, les factures et les horodateurs. Des fraudeurs peuvent coller leur propre code QR par-dessus un code authentique ou envoyer un faux code par message. Le scan peut alors te rediriger vers une fausse page de paiement, par exemple, sur laquelle on te demande de saisir les données de ta carte ou tes identifiants.

Sur un support papier, un code QR ne permet pas de voir où il mène. Même une adresse Internet qui semble crédible ou un symbole de cadenas dans le navigateur ne prouvent pas que le site est authentique.

Des fraudeurs copient les sites web de véritables entreprises financières ou utilisent le nom d’une société qui existe réellement. Une inscription au registre du commerce ne permet pas, à elle seule, de savoir si un site web appartient réellement à cette société ou si celle-ci est autorisée à fournir le service proposé. La CSSF met également en garde contre l’utilisation abusive de l’identité d’entreprises qui ne disposent pas de leur propre site web.

Une adresse Internet inhabituelle, des coordonnées qui ne correspondent pas, un bénéficiaire de paiement différent ou un prétendu label de la CSSF peuvent être des signaux d’alerte. Mais attention : même un site à l’apparence professionnelle et sans fautes peut être frauduleux.

Grâce à l’IA, les fraudeurs peuvent imiter de manière convaincante des voix, des images et des messages. Lors d’un appel, la personne peut sembler être un membre de ta famille, un supérieur hiérarchique ou un employé de ta banque et te demander avec insistance de lui envoyer de l’argent ou de lui communiquer un code de confirmation. Il est souvent difficile de déterminer uniquement à la voix si la personne au téléphone est réellement celle qu’elle prétend être.

Les fraudeurs promettent des rendements élevés ou garantis pour un risque prétendument faible, un accès exclusif ou encore des plateformes de trading à l’apparence professionnelle. Souvent, après un premier petit investissement, ils incitent à verser des sommes de plus en plus importantes. Même si tu parviens à retirer une petite somme au début, cela ne prouve pas que l’offre est sérieuse. La CSSF publie également des mises en garde contre ce type d’offres et contre l’utilisation abusive du nom de sociétés existantes.

Tu peux notamment rencontrer quatre types d’arnaques :

• Système de Ponzi : les sommes versées aux premiers investisseurs proviennent, au moins en partie, de l’argent des nouveaux investisseurs et sont présentées comme des rendements. Lorsque les nouveaux investissements cessent, le système s’effondre.
• Système pyramidal : les participants sont encouragés à recruter de nouvelles personnes. Le système repose en grande partie sur l’arrivée continue de nouveaux participants qui versent de l’argent.
• Fausses plateformes de trading : elles affichent des soldes ou des gains fictifs. Lorsque tu souhaites retirer ton argent, le retrait est refusé ou soumis au paiement de prétendues « taxes » ou de « frais de déblocage ».
• Pig butchering : les fraudeurs commencent par établir une relation de confiance via les réseaux sociaux, les messageries ou les plateformes de rencontre. Ils orientent ensuite la personne vers un prétendu investissement et la poussent à verser des sommes toujours plus importantes. Les gains affichés peuvent être entièrement fictifs. Parfois, un petit retrait est autorisé au début afin de renforcer la confiance.

Les arnaques aux sentiments commencent souvent par des marques d’attention. Sur les plateformes de rencontre, les réseaux sociaux ou les messageries, les fraudeurs prennent le temps de créer une relation et de gagner ta confiance. Puis vient une demande d’argent, par exemple pour faire face à une prétendue urgence. Dans certains cas, la personne rencontrée en ligne te propose plutôt d’investir ensemble.

Plus les échanges durent, plus la confiance peut s’installer. Une demande d’argent peut alors sembler crédible, même si tu ne connais la personne qu’en ligne. Et même un appel vidéo ou un profil qui paraît authentique ne prouve pas que son histoire est vraie.

Le démarchage téléphonique consiste à recevoir, sans l’avoir demandé, un appel proposant un investissement. Ton interlocuteur te présente une offre prétendument exclusive, te pousse à prendre une décision rapidement et semble maîtriser le sujet. Contrairement au faux service d’assistance bancaire, l’objectif est généralement de te faire souscrire un nouvel investissement.

L’appelant se fait passer pour un conseiller bancaire et prétend que ton compte est menacé. Il te demande tes identifiants, te demande de confirmer une opération dans ton application bancaire ou tente d’obtenir un accès à distance à ton appareil. Même le numéro de téléphone de ta banque affiché à l’écran peut être falsifié.

Une variante du faux support bancaire consiste à te faire croire que ton compte a été compromis et que tu dois transférer ton argent vers un prétendu « compte sécurisé ». En réalité, ce compte est contrôlé par les fraudeurs. Des informations précises sur ton compte ou un numéro de téléphone qui semble familier peuvent rendre leur histoire plus crédible.

Un message semble provenir d’un artisan, de ton propriétaire ou d’un cabinet professionnel et t’annonce un changement de coordonnées bancaires. Il arrive même qu’un véritable compte e-mail soit piraté et que le message frauduleux apparaisse dans une conversation existante. Dans un contexte professionnel, les fraudeurs peuvent aussi se faire passer pour un dirigeant et demander un virement urgent : c’est ce qu’on appelle la fraude au président.

Certains fraudeurs cherchent à utiliser le compte bancaire d’autres personnes pour faire transiter de l’argent. Ils peuvent te contacter par le biais de prétendues offres d’emploi, des réseaux sociaux ou de rencontres en ligne, et te proposer une commission. En échange, tu dois recevoir de l’argent sur ton compte, puis le transférer, le retirer en espèces ou mettre ta carte bancaire à leur disposition.

Cet argent peut provenir d’activités criminelles. Si tu mets ton compte ou ta carte à disposition, tu risques des poursuites pénales, le blocage de ton compte et la saisie des fonds. Même si tu pensais au départ accepter un travail sans risque, prends la situation au sérieux et agis immédiatement.

Si tu as déjà perdu de l’argent à la suite d’une arnaque, des fraudeurs peuvent tenter de te contacter à nouveau. Ils se font passer pour des enquêteurs, des avocats ou des prestataires et prétendent pouvoir récupérer ton argent. Pour cela, ils te demandent de payer à l’avance de prétendues « taxes » ou des frais administratifs, ou encore de leur donner un accès à distance à ton appareil. Ils peuvent même utiliser le nom de la CSSF pour donner plus de crédibilité à leur demande.

Tes données personnelles peuvent tomber entre de mauvaises mains à la suite d’un phishing, d’une fuite de données, d’un vol de documents ou de l’installation d’un logiciel malveillant. Les fraudeurs peuvent ensuite les utiliser pour effectuer des achats, ouvrir des comptes ou conclure des contrats en ton nom. Tu peux parfois ne t’en rendre compte qu’en constatant des prélèvements inconnus, en recevant des confirmations inattendues ou des rappels de paiement.