Un faux mail qui imite le Crédit Mutuel circule en ce moment. Il annonce qu'un virement de la DGFiP (les impôts) a été « retourné » et demande de confirmer son compte pour éviter que les prochains virements ne soient bloqués. En réalité, il n'y a aucun virement : c'est une arnaque destinée à voler votre identifiant et votre mot de passe bancaires. Voici comment elle fonctionne, et surtout comment ne pas se faire piéger.
Le mail reprend le logo du Crédit Mutuel et prétend venir d'une adresse du type nepasrepondre@creditmutuel.fr. Son objet : « Virement DGFiP retourné ». Le texte invente une nouvelle règle de sécurité qui obligerait, depuis le 1er janvier, à confirmer tout virement entrant de plus de 10 000 euros. Il affirme ensuite qu'un virement de la DGFiP a été bloqué pour cette raison, et que les prochains virements le seront aussi si vous ne cliquez pas sur le bouton « Confirmation ».
Ce mail fonctionne parce qu'il combine trois choses qui font baisser notre vigilance : le nom d'une administration connue (la DGFiP), une règle qui a l'air officielle même si elle n'existe pas, et la peur de perdre de l'argent si on ne réagit pas tout de suite. C'est exactement le même mécanisme que dans les arnaques au faux site des impôts ou les arnaques au faux conseiller bancaire : une fausse urgence qui pousse à cliquer avant de réfléchir.
Le bouton ne renvoie pas vers le vrai site du Crédit Mutuel, mais vers un site créé par les arnaqueurs sur un nom de domaine qu'ils ont acheté exprès. Ce site est une copie presque parfaite de la vraie page de connexion du Crédit Mutuel : même logo, mêmes couleurs, mêmes champs « Identifiant » et « Mot de passe ». Si vous tapez vos identifiants ici, ils partent directement chez les arnaqueurs, qui peuvent ensuite se connecter à votre vraie banque à votre place.
Le piège est que ce faux site n'a même plus besoin de contenir de fautes d'orthographe ou d'être mal fait pour tromper : il suffit qu'il ressemble visuellement au vrai. C'est pour cela qu'il faut apprendre à vérifier l'adresse du site plutôt que son apparence.
Sur ordinateur comme sur mobile, l'adresse du site s'affiche tout en haut de l'écran, dans la barre de navigation. Celle du vrai Crédit Mutuel se termine toujours par creditmutuel.fr, juste après le nom du site (par exemple www.creditmutuel.fr). Si l'adresse contient d'autres mots avant ou après, même si le nom « creditmutuel » apparaît quelque part dedans, ce n'est pas le vrai site. Avant de cliquer sur un lien reçu par mail, un bon réflexe est aussi de laisser le pointeur de la souris quelques secondes sur le lien (sans cliquer) : l'adresse réelle vers laquelle il mène s'affiche alors en bas de l'écran, sur ordinateur.
Ce mail n'est qu'un exemple parmi beaucoup d'autres. Selon le baromètre de Cybermalveillance.gouv.fr, les signalements de fraude au faux conseiller bancaire ont augmenté de 78 % depuis le début de l'année 2026 (*). Le phishing reste la porte d'entrée la plus utilisée par les arnaqueurs pour voler des informations bancaires, et la grande majorité des vols constatés sur les cartes de paiement fait suite au vol d'identifiants obtenu de cette façon (**). Les faux mails sont de mieux en mieux imités, et les faux sites de plus en plus soignés — d'où l'importance de vérifier l'adresse plutôt que l'apparence. Pour identifier d'autres formes de mails frauduleux, notre guide sur les signes d'un e-mail de phishing détaille les principaux scénarios rencontrés.
Retenez une seule règle simple : une banque ne demande jamais de confirmer un virement en cliquant sur un lien reçu par mail. Face à un message qui joue sur l'urgence et la peur d'un blocage, le bon réflexe est de fermer le mail et de contacter directement sa banque par un moyen que l'on connaît déjà. Partagez cet article autour de vous, en particulier aux proches les moins à l'aise avec l'informatique : plus on reconnaît ces mécanismes, moins ces arnaques fonctionnent.
(*): baromètre Cybermalveillance.gouv.fr sur la fraude au faux conseiller bancaire, données 2026.
(**): Observatoire de la sécurité des moyens de paiement (Banque de France), rapport annuel sur la fraude aux cartes de paiement.
Pour protéger votre/vos boîte(s) mails des cyber-menaces, n'hésitez pas à tester la cyber-protection de boîtes mails : SpamEnMoins.com
G