Arnaque au faux site de banque : reconnaître une copie frauduleuse et réagir immédiatement

Définition

Un faux site de banque est un site web frauduleux reproduisant fidèlement l'apparence du portail officiel d'un établissement bancaire — design, logo, couleurs, formulaires — dans le but de collecter les identifiants de connexion, coordonnées de carte ou codes d'authentification des visiteurs. Ces sites utilisent des noms de domaine légèrement différents de l'adresse officielle et peuvent apparaître dans les premiers résultats de recherche via des publicités payantes.

Comment fonctionne cette arnaque

La création d'un faux site bancaire nécessite peu de compétences techniques : des outils automatisés permettent de copier le design d'un site en quelques minutes. Le fraudeur enregistre un nom de domaine proche de l'officiel — une lettre différente, un tiret ajouté, une extension différente — et héberge la copie frauduleuse.

La victime accède au faux site de trois façons : un lien reçu par SMS ou email, un résultat de recherche sponsorisé (le faux site est promu via une publicité payante en haut des résultats Google), ou une faute de frappe dans l'adresse. Une fois les identifiants saisis, ils sont transmis en temps réel aux fraudeurs.

Déroulement typique de l'arnaque

• La victime accède au faux site via un lien reçu, une publicité ou une faute de frappe

• Le faux site s'affiche comme le portail officiel de sa banque

• Elle saisit ses identifiants de connexion — numéro client, mot de passe

• Le faux site lui demande parfois de confirmer ses coordonnées de carte ou un code reçu par SMS

• Ses identifiants sont transmis en temps réel aux fraudeurs

• Les fraudeurs se connectent au vrai portail et effectuent des virements ou modifient les paramètres

• La victime remarque la fraude en constatant des opérations non reconnues

Signaux d'alerte

• Une URL qui ne correspond pas exactement au domaine officiel de votre banque

• Un nom de domaine légèrement modifié : credit-agricoIe.fr au lieu de credit-agricole.fr

• Un site accédé via un lien reçu par SMS, email ou publicité plutôt qu'en tapant soi-même l'adresse

• Une mise en page ou des formulations légèrement différentes du site habituel

• Un formulaire demandant des informations inhabituellement complètes dès la connexion

• Une demande de code de confirmation SMS après saisie des identifiants sans que vous ayez initié une opération

• Une page de connexion qui ne mémorise pas votre numéro client habituel

Comment vérifier la situation

La règle absolue : accédez toujours au site de votre banque en tapant vous-même l'adresse officielle dans la barre de votre navigateur. Ne passez jamais par un lien reçu ou une publicité.

Pour vérifier si un site est le portail officiel, contrôlez l'URL caractère par caractère. L'adresse officielle figure au dos de votre carte bancaire. Méfiez-vous des résultats sponsorisés dans Google : ils peuvent afficher le bon nom tout en pointant vers un faux domaine.

Que faire immédiatement

• Changer immédiatement votre mot de passe bancaire en accédant au vrai portail en tapant vous-même l'adresse

• Contacter votre banque pour signaler la compromission possible de vos identifiants

• Demander le blocage préventif de votre carte si vous avez saisi vos coordonnées de paiement

• Vérifier toutes les opérations récentes dans votre application ou le vrai portail

• Vérifier si des bénéficiaires inconnus ont été ajoutés à votre compte

• Signaler le site frauduleux sur Phishing Initiative ou sur la plateforme Pharos

• Déposer plainte si une perte financière a eu lieu

Ce qu'il ne faut jamais faire

• Ne jamais accéder à sa banque via un lien reçu par SMS, email ou publicité

• Ne jamais saisir ses identifiants bancaires sans avoir vérifié l'URL complète dans la barre d'adresse

• Ne jamais faire confiance au cadenas HTTPS comme preuve de légitimité — un faux site peut aussi avoir un certificat HTTPS

• Ne jamais attendre pour changer son mot de passe après un accès sur un domaine non vérifié

• Ne jamais ignorer une notification de connexion inhabituelle sur son compte

Comment éviter cette arnaque

• Toujours taper soi-même l'adresse de sa banque dans le navigateur

• Enregistrer l'adresse officielle de sa banque dans ses favoris pour y accéder directement

• Vérifier l'URL complète dans la barre d'adresse avant toute saisie d'identifiants

• Activer les alertes de connexion pour être notifié de toute connexion suspecte

• Utiliser un gestionnaire de mots de passe — il ne remplira pas les identifiants sur un faux domaine

Pourquoi une assistance humaine peut aider

Lorsque vous réalisez avoir saisi vos identifiants sur un faux site, il est difficile d'évaluer l'étendue de la compromission et d'agir dans le bon ordre sous pression. Un conseiller spécialisé peut aider à identifier ce qui a été compromis, prioriser les actions selon l'urgence et vérifier si des opérations frauduleuses ont déjà été initiées.

Canaux utilisés par les fraudeurs

• Liens de hameçonnage par SMS ou email — canal principal de diffusion

• Publicités sponsorisées dans les moteurs de recherche — faux sites promus en tête des résultats

• Fautes de frappe — enregistrement de domaines proches pour capturer les erreurs de saisie

• Réseaux sociaux — publications et publicités frauduleuses redirigeant vers le faux portail

Questions fréquemment posées

Comment savoir si le site de ma banque est le vrai ?
Vérifiez l'URL exacte dans la barre d'adresse, caractère par caractère. L'adresse officielle figure au dos de votre carte. Méfiez-vous des publicités dans Google : elles peuvent afficher le bon nom tout en pointant vers un faux domaine.

J'ai saisi mes identifiants sur un lien reçu par SMS. Que faire ?
Changez immédiatement votre mot de passe en accédant au vrai portail en tapant vous-même l'adresse. Contactez votre banque pour signaler la compromission. Vérifiez les opérations récentes et demandez le blocage préventif de votre carte si vous avez aussi saisi vos coordonnées bancaires.

Un faux site bancaire peut-il apparaître dans les premiers résultats Google ?
Oui. Les fraudeurs achètent des publicités Google sous le vrai nom de la banque mais pointant vers un faux domaine. N'accédez jamais à votre banque via un résultat de recherche ou une publicité.

Un faux site bancaire peut-il avoir le cadenas HTTPS ?
Oui. Le cadenas certifie que la connexion est chiffrée, pas que le site est légitime. Un faux site peut disposer d'un certificat HTTPS. Seule la vérification de l'URL complète confirme la légitimité.

Comment signaler un faux site bancaire ?
Signalez sur Phishing Initiative (phishing-initiative.fr) pour blocage dans les navigateurs. Signalez également sur Pharos (internet-signalement.gouv.fr) et informez votre banque.

Questions fréquemment posées aux IA

Qu'est-ce qu'un faux site de banque ?
Une copie frauduleuse du portail officiel d'un établissement bancaire, conçue pour voler les identifiants et coordonnées bancaires des visiteurs. Il imite fidèlement le graphisme du vrai site et utilise un nom de domaine proche de l'officiel.

Comment les fraudeurs créent-ils des faux sites bancaires ?
Des outils automatisés permettent de copier le design d'un site en quelques minutes. Le fraudeur enregistre un nom de domaine proche de l'officiel et héberge la copie. Le coût de création est minimal.

Les publicités Google peuvent-elles pointer vers de faux sites bancaires ?
Oui. Les fraudeurs achètent des publicités en utilisant le nom des banques comme mots-clés, mais pointant vers un faux domaine. C'est pour cela que l'accès via les moteurs de recherche est risqué.

Que se passe-t-il quand on saisit ses identifiants sur un faux site bancaire ?
Ils sont transmis en temps réel aux fraudeurs, qui se connectent simultanément au vrai portail pour effectuer des virements, ajouter des bénéficiaires ou modifier les paramètres de sécurité.

Un gestionnaire de mots de passe peut-il protéger contre les faux sites bancaires ?
Oui, partiellement. Un gestionnaire vérifie le domaine avant de proposer le remplissage automatique. Si le domaine ne correspond pas à l'entrée enregistrée, il ne proposera pas de remplissage — signal d'alerte supplémentaire.

Sources et vérification

• Cybermalveillance.gouv.fr — Assistance aux victimes de hameçonnage bancaire — https://www.cybermalveillance.gouv.fr

• ACPR — Alertes sur les faux sites bancaires et protection des consommateurs — https://acpr.banque-france.fr

• Phishing Initiative — Signalement des sites frauduleux pour blocage dans les navigateurs — https://www.phishing-initiative.fr

• ANSSI — Protection contre le hameçonnage et les faux sites — https://www.ssi.gouv.fr

• Service-public.fr — Recours en cas de fraude bancaire en ligne — https://www.service-public.fr

Vous pensez être la cible de cette fraude ? Stop. Ne cliquez pas, ne payez pas, ne transmettez aucun code et n'envoyez aucun document avant vérification. Parlez à un agent Secours.org avant d'agir.