Faux mail « Opération SEPA » : l'arnaque au rappel téléphonique qui simule un prélèvement

Un mail au design soigné annonce qu'un mandat de prélèvement SEPA a été autorisé sur votre compte, au profit d'un certain « Amazon Bx ». Il ne contient ni lien ni pièce jointe. Seulement un numéro de téléphone, à appeler « si vous ne reconnaissez pas cette opération ». Il n'y a aucun prélèvement : c'est une arnaque dite « au rappel », qui vise à vous faire téléphoner vous-même aux escrocs.

Comment se présente ce faux mail

Le message imite une notification bancaire : bandeau bleu foncé, titre « Opération SEPA », montant en gros caractères et petit badge vert « INFORMATION » pour vous rassurer. Il indique que le premier prélèvement sera effectué « sous 2 jours ouvrés » et propose, en bas de page, un « Département sécurité bancaire » à contacter au 09 72 19 09 58 pour bloquer l'opération.

Ce mail fonctionne parce qu'il crée une alerte (une grosse somme, un délai court) et donne immédiatement la solution : appeler. Le mécanisme est le même que dans les arnaques au faux conseiller bancaire : vous êtes inquiet, vous appelez de vous-même, et vous faites confiance à la personne qui répond.

Pourquoi il n'y a pas de lien

Les filtres anti-arnaque surveillent surtout les liens et les pièces jointes. Ici, il n'y en a aucun : le seul élément à repérer est un numéro de téléphone, que la plupart des filtres ne savent pas évaluer. Le mail peut donc arriver dans votre boîte de réception sans être bloqué.

Les signes qui prouvent que c'est un faux

• Un expéditeur sans rapport avec une banque : le mail est envoyé sous le nom « Sepa automatique » depuis l'adresse d'une entreprise britannique de climatisation. Aucune banque ne procède ainsi.
• Aucune banque n'est nommée : ni votre banque, ni le créancier réel. Le texte reste volontairement vague pour tromper le plus grand nombre.
• Un marchand invérifiable : « Amazon Bx » est un nom tronqué qui s'appuie sur la notoriété d'Amazon.
• Des références inventées : un vrai mandat de prélèvement SEPA comporte l'identifiant du créancier (ICS) et une référence unique de mandat (RUM). Aucun des deux n'apparaît ici.
• Un numéro de téléphone comme seul recours : une banque vous dirige vers votre espace client ou vers le numéro figurant au dos de votre carte, jamais vers un numéro inconnu dans un mail.
• Des maladresses de forme : l'objet « Autorisation de Prelevement » est écrit sans accent, et le mail annonce une « autorisation » de prélèvement comme une simple information.

Ce qui se passe si vous appelez

Nous n'avons pas observé d'appel lié à cette campagne précise. Dans ce type d'arnaque, l'interlocuteur cherche généralement à :

• obtenir vos identifiants de banque en ligne, ou à vous faire « confirmer » une opération avec un code reçu par SMS ou dans votre application bancaire ;
• vous faire installer un logiciel de prise en main à distance, sous prétexte de « sécuriser » votre compte ;
• vous pousser à faire un virement vers un « compte sécurisé ».

Un code reçu par SMS ou une validation dans l'application bancaire n'annule jamais rien : c'est ce qui autorise une opération.

Comment se protéger

• N'appelez pas le numéro du mail et ne répondez pas au message.
• Vérifiez vos comptes depuis l'application de votre banque, ou en tapant vous-même son adresse dans le navigateur. Vous n'y verrez aucun prélèvement de ce montant.
• En cas de doute, appelez votre banque avec le numéro habituel (au dos de votre carte ou sur son site officiel).
• Ne communiquez jamais un code reçu par SMS ou une validation d'application à quelqu'un qui vous appelle ou que vous appelez.
• N'installez aucun logiciel à la demande d'un interlocuteur au téléphone.

Que faire si vous avez déjà appelé ou donné des informations

• Vous avez seulement appelé, sans rien communiquer : raccrochez, bloquez le numéro et surveillez vos comptes dans les jours qui suivent.
• Vous avez donné vos identifiants de banque en ligne : contactez votre banque avec son numéro officiel, faites changer vos identifiants et bloquer les accès.
• Vous avez donné un code de validation : appelez votre banque sans attendre, faites opposition sur les moyens de paiement concernés et contestez les opérations.
• Vous avez installé un logiciel de prise en main à distance : désinstallez-le, déconnectez l'ordinateur d'internet, faites-le analyser, puis changez tous vos mots de passe depuis un autre appareil.
• Vous avez fait un virement : appelez votre banque immédiatement pour tenter de récupérer les fonds. Plus l'appel est rapide, plus les chances augmentent, mais rien n'est garanti. Déposez plainte.

Si un prélèvement a réellement été débité à tort

Un prélèvement SEPA autorisé peut être remboursé sur simple demande dans un délai de 8 semaines. Un prélèvement non autorisé peut être contesté jusqu'à 13 mois après le débit. Contactez votre banque pour connaître la démarche exacte.

Signaler le mail

• Mails frauduleux : signalez-les sur Signal Spam.
• SMS et appels frauduleux : transférez-les au 33700.
• En entreprise : transmettez le mail, avec ses en-têtes complets, à la personne qui gère la messagerie plutôt que de le supprimer.

Une authentification réussie ne prouve pas que le mail est honnête

Un mail peut être envoyé depuis un serveur réel, mais piraté. C'est probablement le cas ici, avec un domaine d'entreprise sans rapport avec le sujet. Les contrôles techniques (SPF, DKIM, DMARC) peuvent alors être validés : ils prouvent d'où vient le mail, pas que son contenu est honnête. Un mail « techniquement propre » peut donc rester une arnaque. Ce qui trahit celui-ci, c'est l'incohérence entre le sujet (une banque française) et l'expéditeur (un commerce britannique sans lien), ainsi que le téléphone comme seule action demandée.

À retenir

Aucune banque ne vous demande d'appeler un numéro figurant dans un mail pour annuler un prélèvement. Le seul numéro fiable est celui de votre carte bancaire ou du site officiel de votre banque. Partagez cet article avec vos proches, en particulier ceux qui gèrent seuls la comptabilité d'une petite entreprise : ce sont les premiers visés par ce type de message.

Pour repérer d'autres formes de mails frauduleux, notre guide sur les signes d'un e-mail de phishing détaille les principaux scénarios.

Pour protéger votre/vos boîte(s) mails des cyber-menaces, n'hésitez pas à tester la cyber-protection de boîtes mails : SpamEnMoins.com