Je viens de me faire avoir. Que faire maintenant ?

Gravité faible. Si vous n'avez cliqué sur aucun lien, ouvert aucune pièce jointe, saisi aucune information et ne constatez aucun comportement anormal sur votre appareil, il n'y a en général rien à réparer. Vous pouvez souffler.

Deux réserves tout de même. Un message peut contenir un pixel invisible qui signale à l'expéditeur que vous l'avez ouvert : votre adresse est alors confirmée active, donc réutilisable. Et les logiciels malveillants entrent parfois par l'ouverture d'un message ou d'une pièce jointe, même si c'est devenu rare avec les messageries récentes. Si votre appareil se met à ralentir, à afficher des fenêtres inhabituelles ou à agir seul, traitez la situation comme la case « J'ai téléchargé, ouvert ou installé quelque chose ».

Maintenant

• Ne répondez pas, même pour dire non ou pour vous désabonner.

• Faites une capture d'écran montrant l'expéditeur.

• Signalez le message, voir la section 4.

• Prévenez l'organisme dont l'identité a été usurpée, par ses canaux officiels.

Dans la semaine

• Supprimez le message, une fois les preuves conservées.

• Prévenez vos proches si le scénario les concerne aussi.

Gravité faible à modérée. Tant que vous n'avez rien communiqué, le préjudice reste limité. Mais vous venez de confirmer que votre numéro ou votre adresse sont actifs et que vous répondez. Vous devenez une cible qualifiée, et d'autres tentatives peuvent suivre, parfois mieux préparées.

Attention aux numéros surtaxés. Certains messages n'ont pas d'autre but que de vous faire rappeler un numéro payant. Vérifiez votre prochaine facture.

Maintenant

• Bloquez le numéro ou l'expéditeur.

• Notez ce que vous avez dit exactement, même si cela vous semble anodin.

• Signalez le numéro au 33700, voir la section 4.

Dans les jours qui viennent

• Traitez tout appel entrant inattendu comme suspect, surtout s'il évoque cet échange.

• Contrôlez votre facture téléphonique.

Gravité faible à modérée. Un clic seul ne vide pas un compte. Le danger vient presque toujours de ce qui se passe ensuite : une page qui vous demande des informations, ou un fichier qui se télécharge. Une page malveillante peut plus rarement exploiter une faille du navigateur, d'où l'intérêt de le maintenir à jour.

Dans les minutes qui suivent

• Fermez l'onglet sans rien remplir.

• Ouvrez le dossier « Téléchargements » de votre appareil et vérifiez qu'aucun fichier n'est arrivé.

• Si un fichier a été téléchargé et que vous l'avez ouvert, arrêtez ici et allez à la situation « J'ai téléchargé, ouvert ou installé quelque chose ».

• Si un fichier a été téléchargé sans être ouvert, supprimez-le, puis videz la corbeille.

Dans les 24 heures

• Notez l'adresse du site atteint après le clic. Elle est utile pour le signalement.

• Surveillez vos comptes et votre messagerie.

Gravité élevée. Un programme a peut-être été installé à votre insu. Il peut enregistrer ce que vous tapez, y compris vos mots de passe, et rester actif après un simple redémarrage. Le réflexe est d'isoler l'appareil, puis de mettre vos accès en sécurité depuis un autre.

Méfiance particulière avec les applications installées hors des boutiques officielles, à partir d'un lien reçu par SMS ou par message.

Immédiatement

• Coupez le Wi-Fi et les données mobiles de cet appareil, ou débranchez le câble réseau.

• Ne l'utilisez plus pour vous connecter à quoi que ce soit.

• Depuis un autre appareil sain, changez le mot de passe de votre messagerie principale en premier. C'est elle qui permet de réinitialiser de nombreux autres comptes.

• Changez ensuite les accès bancaires, puis les comptes contenant des données sensibles.

• Si des accès professionnels étaient ouverts sur cet appareil, prévenez votre prestataire informatique.

Dans les 24 heures

• Faites analyser l'appareil avec un antivirus à jour, ou confiez-le à un professionnel.

• Activez la double authentification sur les comptes les plus importants.

• Vérifiez vos opérations bancaires récentes.

Dans la semaine

• Si l'analyse ne lève pas le doute, ou si la compromission est confirmée, envisagez une réinstallation depuis une source saine. C'est la réponse la plus radicale, à réserver aux cas où les étapes précédentes n'ont pas suffi.

• Dans ce cas, repartez d'une sauvegarde dont vous pouvez raisonnablement établir qu'elle est saine, idéalement antérieure à l'incident, et ne restaurez que vos documents personnels.

Gravité élevée. Considérez que ce compte est entre d'autres mains. Deux réflexes comptent : reprendre la main, puis refermer les portes que l'intrus a pu laisser ouvertes derrière lui. Le second est souvent oublié.

Immédiatement

• Changez ce mot de passe, en tapant vous-même l'adresse du site dans votre navigateur. Jamais par le lien reçu.

• Si le même mot de passe servait ailleurs, changez-le partout, en commençant par votre messagerie.

• Déconnectez toutes les sessions ouvertes depuis les paramètres du compte.

• S'il s'agit d'un accès bancaire, prévenez votre banque par ses canaux officiels.

Dans les 24 heures

• Vérifiez les règles de transfert automatique de votre messagerie. Une copie discrète de vos mails permet de rester dans la place sans se faire remarquer.

• Vérifiez l'adresse de secours et le numéro de téléphone de récupération du compte.

• Vérifiez la liste des appareils et des applications autorisés, et retirez ceux que vous ne reconnaissez pas.

• Activez la double authentification.

Dans la semaine

• Prévenez vos contacts si le compte a pu servir à leur écrire en votre nom.

• Adoptez un gestionnaire de mots de passe, pour ne plus jamais réutiliser le même.

Gravité critique. Pendant la session, la personne a vu tout ce que vous voyiez et a pu agir en votre nom. Considérez comme potentiellement exposé tout ce qui était ouvert, enregistré ou automatiquement connecté, y compris ce que vous n'avez pas ouvert vous-même pendant l'échange.

Immédiatement

• Coupez internet sur cet appareil.

• Désinstallez le logiciel d'accès à distance. Retenez son nom, il sera utile.

• Depuis un autre appareil, prévenez votre banque et changez le mot de passe de votre messagerie.

Dans les 24 heures

• Listez tout ce qui était ouvert ou enregistré sur cet appareil : comptes bancaires, messagerie, espaces professionnels, portefeuilles, fichiers de mots de passe.

• Changez ces accès dans l'ordre d'importance, toujours depuis un appareil sain.

• Vérifiez qu'aucune règle de transfert et aucun bénéficiaire n'ont été ajoutés.

• Faites contrôler l'appareil avant de le réutiliser.

Un accès à distance peut avoir servi à installer autre chose. Faites analyser l'appareil : un contrôle antivirus rassure sans garantir. Si la compromission est confirmée, si des droits d'administration ont été accordés, ou si un doute persiste après analyse, une réinstallation depuis une source saine devient la mesure la plus sûre. C'est particulièrement vrai pour un appareil qui sert à la banque ou à l'activité professionnelle.

Gravité critique. Ce code ou cette validation sont ce qui déclenche une opération, l'ajout d'un bénéficiaire ou l'enregistrement d'un nouvel appareil. C'est le cœur de la fraude dite au faux conseiller bancaire. Attention à une confusion fréquente : le fait qu'une opération ait été validée techniquement ne signifie pas que vous l'avez autorisée au sens de la loi. Traitez la situation comme critique, et laissez la qualification juridique à la procédure.

Un scénario fréquent. Un appel présenté comme urgent, le numéro de votre agence qui s'affiche, une prétendue opération suspecte à annuler, et une demande de validation « pour sécuriser » votre compte. Aucun établissement ne demande de valider une opération pour l'annuler ou la bloquer. Dans ce cas de figure, votre banque est victime d'une usurpation, au même titre que vous.

Immédiatement, c'est la priorité absolue

• Appelez votre banque sans attendre, par ses canaux officiels : le numéro de votre application, celui de votre relevé, ou celui du dos de votre carte.

• Demandez le blocage des opérations en cours et de votre accès en ligne.

• Notez le nom de votre interlocuteur, l'heure de l'appel et le numéro de dossier.

Dans les 24 heures

• Vérifiez les opérations passées et les virements programmés.

• Vérifiez la liste des bénéficiaires enregistrés, et signalez tout ajout récent que vous ne reconnaissez pas.

• Vérifiez les plafonds de paiement et de retrait, souvent relevés à cette occasion.

• Vérifiez les appareils autorisés pour l'authentification.

• Confirmez votre contestation par écrit, voir la section 7.

Dans la semaine

• Déposez plainte, ou signalez selon le cas, voir la section 4.

• Transmettez le récépissé à votre banque.

Ce que prévoit la loi, à titre d'information. Pour une opération de paiement que vous contestez comme non autorisée, l'article L133-18 du code monétaire et financier prévoit en principe un remboursement immédiat, au plus tard à la fin du premier jour ouvrable suivant la contestation. Cette obligation connaît une exception lorsque le prestataire a de bonnes raisons de soupçonner une fraude de votre part et qu'il les communique par écrit à la Banque de France.

C'est une règle distincte de celle des articles L133-19 et L133-23, qui déterminent dans quels cas une fraude ou une négligence grave du payeur peut lui faire supporter les pertes, et à qui revient la charge de la preuve. Sur ce terrain, la Cour de cassation a écarté la négligence grave dans les circonstances particulières d'une fraude par usurpation du numéro de la conseillère, le 23 octobre 2024. Ce n'est pas une règle automatique : chaque dossier s'apprécie sur ses propres faits.

Votre démarche passe par votre banque, puis, après une réclamation écrite, si la réponse ne vous convient pas, par son médiateur. Ces éléments sont donnés à titre d'information et ne constituent pas un conseil juridique.

Gravité critique. C'est la variante dite du faux coursier. Après l'appel, une personne se présente à votre domicile pour récupérer la carte, sous prétexte de la détruire ou de la mettre en sécurité. Elle sert ensuite à des retraits et des achats.

Immédiatement

• Faites opposition auprès de votre banque, par ses canaux officiels.

• Signalez explicitement que la carte a été remise en main propre à un tiers, et que le code a pu être communiqué.

• Si un téléphone a été remis, faites bloquer la ligne par votre opérateur et changez les mots de passe des comptes qui y étaient connectés.

Dans les 24 heures

• Notez l'heure du passage, le lieu, la description de la personne, le véhicule s'il y en avait un.

• Vérifiez si votre immeuble ou votre rue dispose d'une vidéosurveillance, et demandez la conservation des images sans attendre.

• Déposez plainte. Le vol de carte bancaire suivi d'utilisations frauduleuses fait partie des atteintes aux biens couvertes par le service Plainte en ligne, lorsque l'auteur est inconnu. Le formulaire vérifie votre éligibilité, et vous oriente vers un commissariat ou une gendarmerie si votre cas n'entre pas dans son périmètre.

Gravité élevée à critique. Ici, le temps joue contre vous. Un paiement par carte, un virement classique et un virement instantané n'obéissent pas aux mêmes règles ni aux mêmes délais. Pour un paiement ou un virement bancaire, contactez immédiatement votre banque pour savoir quelles actions restent possibles sur votre dossier. Pour un coupon prépayé ou un autre moyen de paiement, contactez également son émetteur ou le prestataire concerné.

Immédiatement

• Contactez votre banque par ses canaux officiels et indiquez précisément le type d'opération, le montant, l'heure et le bénéficiaire.

• Demandez ce qui reste possible sur votre cas, et conservez la trace de cet échange.

• S'il s'agit de coupons prépayés, appelez l'émetteur du coupon sans attendre. Ne communiquez les codes à personne d'autre, et conservez les tickets de caisse.

Dans les 24 heures

• Confirmez votre contestation par écrit, voir la section 7.

• Rassemblez les justificatifs : relevés, captures, échanges, références d'opération.

• Pour un achat frauduleux par carte, quand votre carte est toujours en votre possession et que l'opposition est faite, le signalement Perceval fournit un récépissé utile à votre dossier.

Dans la semaine

• Déposez plainte, puis transmettez le récépissé à votre banque.

• Si la réponse écrite de votre banque ne vous convient pas, ou si aucune réponse ne vous parvient dans le délai applicable, vous pourrez saisir gratuitement son médiateur. Une réclamation écrite préalable est nécessaire : conservez-en la preuve.

Bon à savoir. Le délai pour signaler une opération non autorisée est en principe de treize mois à compter du débit, en application de l'article L133-24 du code monétaire et financier. Dans le cas particulier prévu par l'article L133-1-1, qui vise les opérations par carte non autorisées lorsque le prestataire du bénéficiaire est situé hors de l'Espace économique européen, ce délai est ramené à soixante-dix jours, votre contrat pouvant le prolonger sans dépasser cent vingt jours. N'attendez jamais l'échéance : plus la contestation est rapide, mieux le dossier se tient.

Gravité critique. Cette phrase n'est pas un mot de passe : elle permet de recalculer les clés de tous les comptes qui en dérivent. Considérez comme compromis l'ensemble des comptes auto-hébergés issus de ce secret, sur chaque blockchain concernée. Une transaction confirmée sur une blockchain publique est en principe irréversible et ne peut généralement pas être annulée sur la blockchain elle-même. Cela ne vous empêche ni de documenter les faits, ni de porter plainte, ni de contacter sans attendre une plateforme centralisée si elle est impliquée.

On ne répare pas un portefeuille compromis. On l'abandonne. Changer le code de l'appareil ne sert à rien, la phrase reste valable. Tout dépend maintenant de votre vitesse. Une nuance : si vous utilisiez une phrase de passe supplémentaire que vous n'avez pas communiquée, les comptes qui en dépendent ne sont pas atteints de la même façon. Ne pariez pas dessus pour autant.

Immédiatement, chaque minute compte

• Depuis un ordinateur sain, générez un portefeuille neuf, dont la phrase est créée sur l'appareil physique et n'a jamais été saisie ailleurs.

• Transférez la totalité de vos avoirs vers ce nouveau portefeuille.

• N'oubliez aucun compte ni actif contrôlé par des clés dérivées de cette phrase, sur aucune blockchain : ce qui reste en place demeure exposé et pourra être récupéré plus tard.

• Pensez aux avoirs immobilisés : staking, prêt, fourniture de liquidité. Leur sortie prend parfois plusieurs jours, lancez-la tout de suite.

Dans les 24 heures

• Ne renvoyez plus jamais de fonds vers l'ancien portefeuille, même pour un test.

• Mettez à jour les adresses de retrait enregistrées sur vos plateformes d'échange.

• Relevez les identifiants des transactions frauduleuses et les adresses de destination.

• Déposez plainte. Les identifiants de transaction sont des éléments exploitables.

Si les fonds sont déjà partis, la restitution est très improbable. Concentrez-vous sur trois choses : sécuriser ce qui reste, documenter précisément la fraude, et refuser toute proposition de récupération qui viendrait ensuite, voir la section 5. Si une partie de vos avoirs était détenue sur une plateforme centralisée, celle-ci contrôle les comptes qu'elle héberge et peut parfois agir : contactez son support sans attendre.

Gravité élevée. Votre phrase de récupération n'a pas fuité, et c'est une bonne nouvelle. Mais tout ce que l'on signe ne se vaut pas, et la conduite à tenir en dépend. Se connecter à un site ne donne en soi aucun droit de dépense. Une autorisation classique, dite approbation ou allowance, autorise un contrat à déplacer vos jetons et se révoque. Certaines signatures hors chaîne, dont Permit ou Permit2, peuvent créer ou permettre ultérieurement des droits de dépense : leur effet et les moyens de les retirer dépendent du mécanisme employé, et certaines restent utilisables plusieurs jours après.

Immédiatement

• Déconnectez le portefeuille du site.

• Révoquez les autorisations accordées, depuis l'outil de révocation de votre portefeuille ou un service de révocation reconnu, sur chaque blockchain concernée.

• Si vous ne savez pas précisément ce que vous avez signé, inspectez et retirez les permissions lorsque votre outil le permet. Si le doute subsiste, ou si des actifs restent exposés, transférez-les vers un portefeuille sain.

• Si la signature portait sur un transfert déjà exécuté, considérez les jetons concernés comme perdus.

Dans les 24 heures

• Déplacez vos avoirs de valeur vers un portefeuille qui n'a jamais interagi avec ce site.

• Relevez l'adresse du contrat et les identifiants de transaction, pour votre plainte.

• Passez en revue les autorisations anciennes, souvent oubliées.

Comment situer la gravité. S'il s'agissait d'une simple autorisation, correctement révoquée, et qu'aucun autre secret n'a été communiqué, le portefeuille reste utilisable. Dans tous les autres cas, notamment si un doute subsiste sur la nature de la signature, traitez la situation comme la case précédente et migrez. Une précision utile : l'absence de frais de réseau indique seulement qu'il s'agit peut-être d'une signature hors chaîne. Ce n'est pas en soi le signe d'une signature malveillante.