Un mail reçu samedi à 5h30, votre IBAN affiché en clair, un bouton pour annuler : l'arnaque Cellcast vise votre carte

Le message est arrivé samedi 1er août, peu après 5h30, dans des dizaines de milliers de boîtes. L'objet annonce la confirmation d'un abonnement à Cellcast Vidéos, formule famille, avec un paiement présenté comme déjà en cours. La plateforme Signal-Arnaques a enregistré plus de 170 témoignages en moins de trois heures, tous décrivant le même texte au mot près. Or ce courriel se distingue des faux habituels par une ligne : sous la mention du prélèvement figure un IBAN, et cet IBAN est le vôtre.

Ces coordonnées ne sortent pas d'un fichier constitué au hasard. Elles proviennent des grandes fuites qui ont touché les opérateurs télécoms français ces deux dernières années. Dans sa délibération du 8 janvier 2026, la CNIL rappelle qu'un attaquant est parvenu à accéder aux données de 24 millions de contrats d'abonnés Free et Free Mobile en octobre 2024, dont les IBAN des clients abonnés à la fois au mobile et au fixe. Les deux sociétés ont écopé de 42 millions d'euros d'amende, 27 pour Free Mobile et 15 pour Free.

Bouygues Telecom a connu le même sort en août 2025, avec 6,4 millions de clients concernés, coordonnées bancaires comprises. Donc les personnes qui reçoivent le courriel Cellcast sont, dans leur grande majorité, d'anciens ou d'actuels clients de ces deux opérateurs. Reste que cette origine ne change rien à la suite : un IBAN qui a circulé une fois continue de circuler, et aucune procédure ne permet de le rappeler.

Le montant inscrit dans le message est modeste, et ce choix n'a rien d'un hasard. 49,99 euros par an, cela ressemble davantage à un abonnement oublié qu'à un vol, et cela suffit à déclencher le réflexe d'aller annuler avant même de réfléchir.

Mais le chiffre qui compte vraiment n'est pas celui qui s'affiche dans le courriel.

Il se trouve dans les statistiques de fraude de l'Observatoire de la sécurité des moyens de paiement, publiées par la Banque de France en janvier 2026. Sur le premier semestre 2025, les banques françaises ont recensé 41 024 prélèvements frauduleux pour 23,8 millions d'euros. Rapporté à l'opération, cet écart donne un montant moyen de 581 euros, contre 386 euros un an plus tôt, soit une hausse de moitié en douze mois. La facture moyenne d'un faux prélèvement pèse donc près de douze fois les 49,99 euros affichés dans ce courriel. Et la cadence dit le reste : environ 227 faux prélèvements par jour sur le territoire français.

Un détail de ce même rapport mérite votre attention. L'Observatoire précise que 95 % des montants fraudés sur le prélèvement correspondent à de faux ordres, émis par des sociétés fictives qui prélèvent sans mandat signé. Le scénario redouté ici n'a donc rien de théorique. Il représente l'écrasante majorité de ce qui passe réellement sur les comptes français, et c'est bien ce que le montant rassurant du message sert à masquer.

Les deux liens du courriel mènent au même endroit. Sauf que la page qui s'ouvre ne sert pas à résilier quoi que ce soit : elle réclame le numéro de votre carte bancaire, sa date d'expiration et son cryptogramme, sous prétexte de vous rembourser un abonnement qui n'a jamais existé. Les auteurs ont déposé le 1er août deux noms de domaine pour héberger ces fausses pages, retirés de la base publique dès le lendemain.
  Le procédé se distingue sur un point précis. Plutôt que d'imiter grossièrement une marque connue, ces escrocs se sont appuyés sur l'infrastructure d'envoi d'une société australienne bien réelle, ce qui permet aux messages de franchir les filtres antispam au lieu de tomber dans les indésirables. D'ailleurs, une recherche rapide sur le nom Cellcast renvoie vers une entreprise existante, et cette vérification rassure au mauvais moment.

Un vrai créancier ne procède jamais de cette façon. La fiche officielle consacrée au prélèvement bancaire rappelle qu'il doit vous informer au moins quatorze jours avant la date du débit, en indiquant la date et le montant prévus. Or le courriel Cellcast annonce un paiement déjà en cours de traitement, sans le moindre préavis. Ce seul décalage suffit à classer le message.

Deux autres règles jouent en votre faveur. Votre banque ne peut pas exécuter un prélèvement sans votre autorisation, et un mandat resté inutilisé pendant 36 mois ne peut plus servir sans nouvelle signature de votre part. Donc un IBAN qui circule ne vide pas un compte tout seul, contrairement à ce que la panique du samedi matin laisse croire.

Reste le cas où un débit passe malgré tout. Vous disposez alors de 13 mois à compter de la date du débit pour signaler à votre banque une opération que vous n'avez jamais autorisée, et l'établissement doit vous recréditer au plus tard à la fin du premier jour ouvrable suivant votre demande. Encore faut-il que la ligne soit repérée avant l'expiration de ce délai, ce qui suppose de regarder ses relevés autrement qu'en diagonale.

Le geste utile tient en quelques minutes. Il consiste à vous connecter à votre espace bancaire par vos propres moyens, sans emprunter le moindre lien reçu par courriel, puis à parcourir les opérations des derniers jours à la recherche d'un débit que vous ne reconnaissez pas. Un message encore présent dans la boîte se signale comme indésirable, puis se supprime.
  Sauf que la vraie protection se joue en amont du relevé. Le cadre européen permet de demander à votre banque de n'accepter que les prélèvements émis par une liste de créanciers que vous avez vous-même établie, tout autre émetteur étant rejeté automatiquement. Ce courriel du 1er août aura au moins servi à cela : rappeler qu'une donnée bancaire échappée d'un fichier finit toujours par revenir, un samedi matin, avec votre nom correctement orthographié dessus.