Un smartphone affichant un faux courriel Crédit Agricole près d'un téléphone décroché - Illustration générée par IA
Le courriel qui vous demande de réenregistrer votre appareil
Le 19 juin 2026, l'équipe de recherche de Cybernews tombe sur un serveur laissé accessible sans la moindre protection, qui pilotait une opération d'hameçonnage aux couleurs du Crédit Agricole. Le courriel, rédigé en français, demandait de renouveler l'enregistrement de son appareil de confiance sous peine de perdre l'accès à son espace client. Au moment de la découverte, le panneau de pilotage recensait 912 personnes qui avaient saisi leurs identifiants bancaires dans le faux formulaire.
Pourquoi ce mail franchit les filtres de votre boîte
Ce courriel n'arrivait pas d'un serveur douteux monté pour l'occasion. Les fraudeurs ratissaient les espaces de stockage Amazon mal fermés à la recherche de fichiers de configuration oubliés, ceux qui contiennent les clés d'accès aux plateformes d'envoi d'e-mails utilisées par les entreprises pour leurs factures et leurs notifications.
Selon les chercheurs de Cybernews, la campagne disposait de 149 clés SendGrid volées et de trois comptes Amazon compromis, soit une capacité d'envoi d'environ 7 000 messages par jour. Un message parti de l'infrastructure d'une société légitime emprunte la réputation de cette société, pas celle de l'escroc, et il franchit donc les filtres antispam.
Reste que cette capacité mérite d'être ramenée à son échelle. Le Crédit Agricole revendique 21 millions de clients particuliers, professionnels et entreprises. À 7 000 messages par jour, écrire à ce fichier entier réclamerait 3 000 jours, soit plus de huit ans sans interruption.
Les destinataires n'étaient d'ailleurs pas des clients identifiés de la banque : les chercheurs décrivent une liste de cibles bâtie par balayage d'adresses IP, puis élargie par recoupement de noms de domaine. Le risque n'est donc pas que 21 millions de personnes reçoivent ce courriel, mais que celles qui le reçoivent n'y voient rien d'anormal.
Selon les chercheurs de Cybernews, la campagne disposait de 149 clés SendGrid volées et de trois comptes Amazon compromis, soit une capacité d'envoi d'environ 7 000 messages par jour. Un message parti de l'infrastructure d'une société légitime emprunte la réputation de cette société, pas celle de l'escroc, et il franchit donc les filtres antispam.
Reste que cette capacité mérite d'être ramenée à son échelle. Le Crédit Agricole revendique 21 millions de clients particuliers, professionnels et entreprises. À 7 000 messages par jour, écrire à ce fichier entier réclamerait 3 000 jours, soit plus de huit ans sans interruption.
Les destinataires n'étaient d'ailleurs pas des clients identifiés de la banque : les chercheurs décrivent une liste de cibles bâtie par balayage d'adresses IP, puis élargie par recoupement de noms de domaine. Le risque n'est donc pas que 21 millions de personnes reçoivent ce courriel, mais que celles qui le reçoivent n'y voient rien d'anormal.
Ce que l'escroc lit avant de composer votre numéro
L'analyse du panneau de pilotage montre que les identifiants volés ne servaient pas à déclencher des virements dans la minute. Ils servaient à ouvrir l'espace client de la victime et à en extraire automatiquement trois informations : le solde disponible, le nom de l'agence et le nom du conseiller. Ces trois lignes suffisent à transformer un appel anonyme en conversation crédible.
Donc le vol arrive plus tard, par téléphone. Votre interlocuteur connaît votre agence, cite votre conseiller par son nom et sait à peu près ce que vous avez sur votre compte. Sur les 912 personnes piégées par le faux formulaire, le tableau de bord recensait 83 paiements versés aux escrocs pour un service qui n'existait pas. Le formulaire n'était que la porte d'entrée du dispositif.
Sept comptes d'utilisateurs, opérateurs et administrateurs confondus, se partageaient d'ailleurs le travail, et le panneau affichait un classement pour les faire concourir, avec une prime de 3 000 euros au plus rentable d'entre eux.
En France, cette bascule du clic vers l'appel est ce que traduisent les chiffres issus de la Banque de France : les fraudes par manipulation ont progressé de 37 % au premier semestre 2025, à 245 millions d'euros, et cette hausse porte d'abord sur les virements passés depuis la banque en ligne.
L'Observatoire de la sécurité des moyens de paiement relève aussi un déplacement des méthodes : le mécanisme d'authentification des numéros a rendu l'affichage frauduleux du numéro de votre banque bien plus difficile, alors les fraudeurs appellent désormais depuis des numéros banalisés en 06 ou 07, ou par la fonction d'appel des messageries. Le réflexe qui consistait à regarder le numéro affiché avant de décrocher ne protège donc plus de grand-chose.
L'hameçonnage reste la première menace recensée par Cybermalveillance.gouv.fr, avec près d'un tiers des demandes d'assistance des particuliers en 2025, et les demandes liées au faux conseiller bancaire ont bondi de 159 % sur la même année.
Donc le vol arrive plus tard, par téléphone. Votre interlocuteur connaît votre agence, cite votre conseiller par son nom et sait à peu près ce que vous avez sur votre compte. Sur les 912 personnes piégées par le faux formulaire, le tableau de bord recensait 83 paiements versés aux escrocs pour un service qui n'existait pas. Le formulaire n'était que la porte d'entrée du dispositif.
Sept comptes d'utilisateurs, opérateurs et administrateurs confondus, se partageaient d'ailleurs le travail, et le panneau affichait un classement pour les faire concourir, avec une prime de 3 000 euros au plus rentable d'entre eux.
En France, cette bascule du clic vers l'appel est ce que traduisent les chiffres issus de la Banque de France : les fraudes par manipulation ont progressé de 37 % au premier semestre 2025, à 245 millions d'euros, et cette hausse porte d'abord sur les virements passés depuis la banque en ligne.
L'Observatoire de la sécurité des moyens de paiement relève aussi un déplacement des méthodes : le mécanisme d'authentification des numéros a rendu l'affichage frauduleux du numéro de votre banque bien plus difficile, alors les fraudeurs appellent désormais depuis des numéros banalisés en 06 ou 07, ou par la fonction d'appel des messageries. Le réflexe qui consistait à regarder le numéro affiché avant de décrocher ne protège donc plus de grand-chose.
Sur le même sujet :
Interpol arrête 5 811 escrocs dans 97 pays : en France, l'arnaque au faux conseiller explose de 159 %
Interpol arrête 5 811 escrocs dans 97 pays : en France, l'arnaque au faux conseiller explose de 159 %
L'hameçonnage reste la première menace recensée par Cybermalveillance.gouv.fr, avec près d'un tiers des demandes d'assistance des particuliers en 2025, et les demandes liées au faux conseiller bancaire ont bondi de 159 % sur la même année.
Ce que votre banque remboursera, et ce qu'elle refusera
Reste la question de l'argent une fois celui-ci dérobé.
Le code monétaire et financier pose un principe clair : une opération de paiement que vous n'avez pas autorisée doit vous être remboursée au plus tard à la fin du premier jour ouvrable suivant votre contestation, agios compris. La fiche officielle de service-public.gouv.fr détaille la marche à suivre et rappelle qu'un paiement frauduleux ne peut plus être contesté au-delà de treize mois.
Sauf si votre banque démontre une négligence grave de votre part.
Le 4 mars 2026, la Cour de cassation a cassé une décision qui donnait raison à un client, lequel contestait deux paiements à distance par carte validés pendant un appel frauduleux. Les juges du fond, estime la Cour, auraient dû examiner ce que ce client avait sous les yeux au moment de valider : le message de confirmation reçu annonçait un paiement, pas l'annulation d'une opération. L'affaire est renvoyée devant une cour d'appel et le remboursement n'est pas exclu.
Le point de bascule ne passe donc pas par la sophistication de l'escroquerie, mais par le contenu exact des messages reçus pendant l'appel, ceux que personne ne relit à ce moment-là. Ces messages sont les premières pièces à garder si vous contestez ensuite.
Concrètement, la seule règle qui tienne se résume à une phrase : personne au Crédit Agricole, ni dans aucune autre banque, ne vous appellera pour vous faire valider ou annuler une opération. Un appel qui le demande est une arnaque, quel que soit le numéro affiché et quel que soit le nom du conseiller cité.
Le geste qui sauve consiste à raccrocher, puis à rappeler l'agence au numéro imprimé sur votre carte. Et si la somme s'est déjà évaporée, l'opposition, la plainte et un courrier recommandé de contestation ouvrent la seule voie de recours qui vous reste, avant la saisine du médiateur bancaire.
Le code monétaire et financier pose un principe clair : une opération de paiement que vous n'avez pas autorisée doit vous être remboursée au plus tard à la fin du premier jour ouvrable suivant votre contestation, agios compris. La fiche officielle de service-public.gouv.fr détaille la marche à suivre et rappelle qu'un paiement frauduleux ne peut plus être contesté au-delà de treize mois.
Sauf si votre banque démontre une négligence grave de votre part.
Le 4 mars 2026, la Cour de cassation a cassé une décision qui donnait raison à un client, lequel contestait deux paiements à distance par carte validés pendant un appel frauduleux. Les juges du fond, estime la Cour, auraient dû examiner ce que ce client avait sous les yeux au moment de valider : le message de confirmation reçu annonçait un paiement, pas l'annulation d'une opération. L'affaire est renvoyée devant une cour d'appel et le remboursement n'est pas exclu.
Le point de bascule ne passe donc pas par la sophistication de l'escroquerie, mais par le contenu exact des messages reçus pendant l'appel, ceux que personne ne relit à ce moment-là. Ces messages sont les premières pièces à garder si vous contestez ensuite.
Sur le même sujet :
Pourquoi votre banque peut refuser de vous rembourser même si vous êtes victime d'arnaque
Pourquoi votre banque peut refuser de vous rembourser même si vous êtes victime d'arnaque
Concrètement, la seule règle qui tienne se résume à une phrase : personne au Crédit Agricole, ni dans aucune autre banque, ne vous appellera pour vous faire valider ou annuler une opération. Un appel qui le demande est une arnaque, quel que soit le numéro affiché et quel que soit le nom du conseiller cité.
Le geste qui sauve consiste à raccrocher, puis à rappeler l'agence au numéro imprimé sur votre carte. Et si la somme s'est déjà évaporée, l'opposition, la plainte et un courrier recommandé de contestation ouvrent la seule voie de recours qui vous reste, avant la saisine du médiateur bancaire.
