Marie Fontaine est conseillère sécurité des opérations bancaires au Crédit Municipal de Lyon depuis douze ans. Formatrice pour le réseau Crédit Municipal sur la prévention des arnaques numériques, elle a traité plus de 300 dossiers de fraude aux particuliers en 2024. Elle répond aux questions de la rédaction de Sentinelle Numérique sur les fraudes bancaires en ligne en 2026.
Les arnaques bancaires les plus fréquentes en 2026
Sentinelle Numérique : En 2026, quels sont les modes d’arnaque bancaire les plus fréquents chez vos clients ?
Marie Fontaine : En volume, le faux conseiller bancaire reste de loin le premier. Un appelant prétend être de votre banque — souvent en usurpant le vrai numéro affiché sur votre carte, c’est ce qu’on appelle le spoofing. Il crée une urgence : votre compte est attaqué, un prélèvement suspect a été détecté, il faut agir immédiatement. Dans la panique, les victimes communiquent des codes, autorisent des opérations, ou font elles-mêmes des virements vers de soi-disant « comptes sécurisés ». Ce scénario a augmenté de 40 % dans notre réseau entre 2024 et 2026.
La deuxième catégorie, en forte progression, c’est le phishing ciblé sur les clients de grandes enseignes — Fnac, Amazon, Cdiscount. Un courriel ou SMS très crédible annonce un problème de livraison ou une alerte de sécurité, et redirige vers un faux site de connexion qui capture les identifiants bancaires en ligne. La troisième, plus rare mais très dommageable financièrement, c’est la fraude au virement B2C : un faux message d’un proche (ou d’un prestataire) demande un virement urgent pour une raison apparemment légitime.
Sentinelle Numérique : Le spoofing bancaire, comment expliquer que ce soit techniquement possible en 2026 ?
Marie Fontaine : C’est la grande frustration du secteur. Le spoofing exploite une vulnérabilité du protocole téléphonique mondial — il est possible, via certains services VoIP, d’indiquer n’importe quel numéro comme numéro d’origine d’un appel. La France déploie progressivement un mécanisme d’authentification appelé Stir/Shaken, qui permet aux opérateurs de vérifier que le numéro affiché correspond bien à l’appelant réel. Mais ce déploiement est partiel, et les fraudeurs migrent vers des opérateurs hors zone européenne où ce mécanisme n’existe pas.
En pratique, en 2026, si votre téléphone affiche le numéro de votre banque sur un appel entrant, vous ne pouvez pas en être certain à 100 % que c’est vraiment votre banque. La règle est simple : votre banque ne vous appellera jamais pour vous demander de valider une opération ou de communiquer votre code secret. Cette technique de manipulation psychologique — aussi appelée vishing quand elle passe par un appel vocal — est documentée en détail dans notre enquête dédiée. Ces demandes sont des signaux d’alerte universels, peu importe ce que dit le numéro affiché.
Spoofing et scénarios de fraude décryptés
Sentinelle Numérique : Le scénario du « virement urgent » vers un compte sécurisé — comment fonctionne-t-il concrètement ?
Marie Fontaine : C’est un scénario extrêmement rodé. L’appelant, qui a souvent pris le soin d’obtenir quelques informations sur vous en amont — votre prénom, votre solde approximatif, parfois le nom de votre agence — crée une urgence crédible : « Nous avons détecté une tentative de fraude sur votre compte, des pirates essaient de transférer 4 800 euros. Pour sécuriser vos fonds, nous devons les transférer temporairement vers un compte de séquestre officiel. »
Ce qui rend ce scénario particulièrement efficace, c’est la cohérence des éléments : le numéro qui s’affiche est bien celui de la banque, le nom du conseiller est plausible, et l’urgence empêche de réfléchir. Certains fraudeurs vont jusqu’à envoyer simultanément de faux SMS de confirmation avec le logo de la banque. La victime est convaincue de faire quelque chose de légal pour protéger son argent — alors qu’elle l’envoie directement aux fraudeurs.
Le compte « de séquestre » est en réalité un compte mule — un compte bancaire ouvert par une tierce personne recrutée sur des petites annonces frauduleuses, qui reverse l’argent immédiatement vers l’étranger.
Sentinelle Numérique : La carte bancaire piratée en ligne — e-commerce, skimming, dark web — quel est le risque le plus courant ?
Marie Fontaine : En France, la fraude à la carte bancaire en ligne (card-not-present) représente l’essentiel des cas. Vos coordonnées de carte peuvent être compromises de plusieurs façons : une fuite de données chez un marchand en ligne (le marchand se fait pirater et votre numéro est dans sa base), un faux site de paiement (vous entrez votre numéro sur un site qui ressemble à un site légitime mais qui est frauduleux), ou plus rarement, l’achat des données sur un marché clandestin.
Le skimming physique — la pose d’un lecteur pirate sur un distributeur automatique de billets — a fortement diminué avec la généralisation du paiement sans contact et l’amélioration des capteurs anti-manipulation sur les DAB. En 2026, le risque principal reste l’e-commerce : le vecteur de compromission numéro un est le paiement sur un site peu sécurisé ou un site frauduleux.
La protection la plus efficace reste la carte virtuelle à usage unique pour tous les achats en ligne sur des sites que vous ne connaissez pas bien (voir notre guide top 10 réflexes sécurité numérique pour adopter cette habitude). C’est une assurance quasi absolue contre la fraude à la transaction — même si votre numéro est compromis, il est inutilisable ailleurs.
Que faire si vous êtes victime
Sentinelle Numérique : Que faire dans les premières 24 heures si vous avez été victime ?
Marie Fontaine : La priorité absolue, c’est le blocage de la carte ou du compte. Appelez votre banque en rappelant vous-même le numéro officiel au dos de votre carte — pas en rappelant le dernier numéro qui vous a appelé, pas en cliquant sur un lien reçu par message. Demandez le blocage immédiat de la carte et, si des virements ont eu lieu, demandez un recall — c’est une procédure qui permet de tenter de rappeler les fonds si le virement est encore en transit. Les chances de succès diminuent drastiquement après quelques heures.
Deuxièmement, déposez une plainte auprès de la police ou de la gendarmerie le plus rapidement possible. Ce dépôt de plainte est souvent nécessaire pour appuyer votre dossier de remboursement auprès de la banque. Vous pouvez aussi effectuer un signalement en ligne sur Cybermalveillance.gouv.fr, qui propose un parcours guidé spécifique aux victimes de fraude bancaire. Conservez toutes les preuves : SMS reçus, captures d’écran, relevés de compte, notes sur le déroulement des événements.
Troisièmement, si vous avez communiqué des identifiants de connexion à votre espace bancaire en ligne, changez votre mot de passe immédiatement depuis un appareil que vous contrôlez — pas depuis l’appareil qui a été utilisé pendant l’arnaque.
Sentinelle Numérique : La banque rembourse-t-elle dans tous les cas ?
Marie Fontaine : Non, et c’est souvent une source de frustration pour les victimes. Le cadre légal européen (DSP2) prévoit le remboursement en cas de fraude, sauf si la banque peut prouver la négligence grave du client. Ce que les banques qualifient de « négligence grave » peut inclure : avoir communiqué son code PIN ou son code de validation par SMS à quelqu’un, avoir répondu à un email suspect en entrant ses identifiants, ou — et c’est là que ça se complique — avoir soi-même validé un virement après avoir été convaincu par un faux conseiller.
Ce dernier cas est disputé judiciairement en ce moment. Certains tribunaux considèrent que si vous avez été victime de spoofing et de manipulation psychologique intense, vous ne pouvez pas être tenu pour négligent. D’autres acceptent la position des banques. En pratique, je conseille à toutes les victimes qui se voient refuser un remboursement de saisir le médiateur bancaire — c’est gratuit, et les décisions du médiateur sont souvent plus favorables aux clients que les décisions initiales des banques.
Profils de victimes et idées reçues
Sentinelle Numérique : Les personnes âgées sont-elles particulièrement visées, et pourquoi ?
Marie Fontaine : Oui, de façon très marquée. Plusieurs facteurs convergent. D’abord, la confiance institutionnelle : les personnes qui ont grandi dans un environnement où les banques et les administrations étaient des institutions fiables ont plus de mal à remettre en question un interlocuteur qui se présente avec autorité sous un numéro de banque reconnu. Ensuite, les soldes : les retraités ont souvent une épargne accumulée plus importante que les actifs — ce qui augmente l’intérêt des fraudeurs.
Il y a aussi un facteur de pression sociale. Les fraudeurs spécialisés dans les victimes âgées sont experts en empathie simulée. Ils prennent le temps d’appeler plusieurs fois, de s’enquérir de la santé de la personne, d’établir une relation avant d’introduire la demande financière. Certaines victimes pensent véritablement avoir à faire à quelqu’un qui les connaît et les aide.
Ce que je recommande aux familles : parler ouvertement à leurs proches âgés de ces scénarios, en leur disant explicitement « si quelqu’un t’appelle pour te demander de virer de l’argent sur un autre compte, même s’il dit être de la banque, raccroche et rappelle-nous ». La connaissance préalable du scénario est la meilleure protection.
Sentinelle Numérique : 5 idées reçues sur les arnaques bancaires que vous entendez souvent ?
Marie Fontaine :
« Je saurais reconnaître un faux conseiller ». Non. Les bons fraudeurs sont des professionnels rodés qui ont accès à vos données, utilisent le vrai numéro de votre banque, et connaissent les codes du service client. La différence entre un faux conseiller et un vrai est indétectable par le simple échange téléphonique. La seule règle universelle est comportementale, pas vocale : un vrai conseiller ne vous demande jamais votre code secret ni de faire un virement vers un autre compte.
« La fraude, ça n’arrive qu’aux autres ». En 2024, le préjudice total des fraudes bancaires aux particuliers en France dépassait 1,2 milliard d’euros. À l’échelle de la population, ce n’est pas un événement rare. Les victimes que je rencontre sont souvent des personnes averties, éduquées, qui auraient dit exactement la même chose avant d’être ciblées.
« Ma banque me remboursera de toute façon ». Pas automatiquement. Voir la réponse détaillée ci-dessus. Le remboursement n’est pas garanti, et les procédures peuvent être longues et épuisantes émotionnellement.
« Mon téléphone est sécurisé, je ne risque rien ». La sécurité du téléphone est sans rapport avec le spoofing. Votre téléphone peut être parfaitement sécurisé — si quelqu’un peut afficher le numéro de votre banque sur votre écran, c’est une vulnérabilité du réseau téléphonique mondial, pas de votre appareil.
« Si je raccroche, la banque sera offensée ». Votre vraie banque ne sera jamais offensée si vous raccrochez pour rappeler vous-même le numéro officiel. C’est même le réflexe qu’elle recommande publiquement. Un interlocuteur qui vous presse de ne pas raccrocher, qui crée de l’urgence pour que vous restiez en ligne, n’est presque jamais votre vraie banque.
Pour approfondir la compréhension des mécanismes de cybersécurité dans le secteur bancaire et les métiers de la cybersécurité en 2026, Industrie du Futur TV offre des décryptages réguliers sur les nouvelles menaces et les compétences qui émergent face à elles. Sur le plan des arnaques connexes — fraudes aux cryptomonnaies, vol d’identité numérique — la rédaction a publié une enquête sur les arnaques crypto 2026 et un guide complet sur le vol d’identité numérique qui complètent cet entretien.
Entretien réalisé en juin 2026. Marie Fontaine est conseillère sécurité des opérations bancaires au Crédit Municipal de Lyon. Ses propos n’engagent pas l’institution et sont donnés à titre de sensibilisation générale — chaque situation de fraude est unique et doit être traitée directement avec votre banque et les autorités compétentes.