La fraude bancaire ne contourne plus seulement les systèmes informatiques : elle contourne les utilisateurs. Au premier semestre 2025, la fraude aux moyens de paiement a atteint 618 millions d’euros en France. La fraude par manipulation représente à elle seule 245 millions d’euros, en hausse de 37 % sur un an. Parallèlement, plusieurs grands fonds américains ont été ciblés en août 2026 par des appels frauduleux imitant leur assistance informatique. Face à cette évolution, l’authentification forte ne suffit plus. Pour protéger son patrimoine, il devient essentiel de vérifier l’identité de celui qui demande une opération, par un canal indépendant.
Quand la fraude bancaire contourne la technologie
La scène pourrait sembler banale. Un salarié reçoit un appel de son assistance informatique. Son interlocuteur connaît l’entreprise, maîtrise son vocabulaire et évoque une opération de sécurité urgente. Il demande alors des informations liées à l’authentification du collaborateur.
Début août 2026, plusieurs grandes sociétés financières américaines ont été confrontées à ce type d’attaque. Point72, Citadel et Millennium Management figuraient parmi les acteurs ciblés par des campagnes de phishing vocal. Dans certains cas, les fraudeurs se faisaient passer pour le support informatique afin d’obtenir des identifiants ou des informations associées aux applications d’authentification. Point72 a ouvert une enquête et informé ses investisseurs. Selon les premières constatations rapportées, Citadel ne semblait pas avoir été compromise.
L’épisode illustre une évolution majeure de la cybersécurité. Les entreprises peuvent multiplier les pare-feu, les authentifications et les procédures. Pourtant, une personne crédible au téléphone peut encore chercher à contourner l’ensemble du dispositif.
La faille ne se situe alors plus dans le logiciel. Elle se trouve dans la confiance.
La fraude bancaire par manipulation explose
La France connaît exactement le même déplacement du risque.
Au premier semestre 2025, le montant total de la fraude aux moyens de paiement a atteint 618 millions d’euros, selon l’Observatoire de la sécurité des moyens de paiement. Il progresse de 7 % sur un an. Dans le même temps, les Français ont réalisé 18 087 milliards d’euros de paiements scripturaux, soit une hausse de 5 %.
Rapportée à l’ensemble des flux, la fraude demeure statistiquement très faible. Cependant, cette moyenne masque une transformation beaucoup plus préoccupante.
La fraude bancaire par manipulation a représenté environ 245 millions d’euros sur les six premiers mois de 2025. Elle progresse de 37 % en un an et pèse désormais près de 40 % du montant total de la fraude.
Autrement dit, les fraudeurs obtiennent de plus en plus souvent la coopération involontaire de leurs victimes. Plutôt que de casser une protection technique, ils poussent un particulier ou un salarié à effectuer lui-même le paiement, à ajouter un bénéficiaire ou à communiquer une information permettant de poursuivre l’attaque.
Cette évolution change profondément la nature du risque. Nous l’avions déjà constaté avec les usurpations d’officiers publics, décrites dans Faux notaires, vrai danger.
Les Français connaissent pourtant l’arnaque
Le phénomène pourrait laisser penser que les victimes ignorent encore les principales techniques d’escroquerie. Les chiffres racontent une histoire plus complexe.
En 2025, 88 % des Français déclaraient connaître la fraude au faux conseiller bancaire. Par ailleurs, 91 % considéraient leurs informations bancaires comme des données sensibles. Sept Français sur dix indiquaient également avoir activé la double authentification.
La sensibilisation progresse donc réellement. Pourtant, les pertes liées à la manipulation augmentent fortement.
Cette apparente contradiction montre les limites d’un message de prévention centré uniquement sur la consigne « ne communiquez jamais vos codes ». Le conseil reste évidemment indispensable. Mais les scénarios utilisés par les escrocs deviennent plus élaborés.
Un faux conseiller peut connaître l’identité de sa cible, son établissement bancaire, son numéro de téléphone ou certaines données personnelles. Le faux technicien, lui, maîtrise le nom des logiciels utilisés dans une entreprise. Beaucoup créent également un sentiment d’urgence en évoquant une tentative de piratage, une opération suspecte ou une procédure interne à respecter.
La victime ne croit donc pas nécessairement un inconnu. Elle croit une histoire devenue suffisamment cohérente pour sembler vraisemblable. Le même ressort opère sur les plateformes d’investissement, comme nous l’expliquions dans Cryptos : vérifiez votre plateforme.
Le vishing devient une menace majeure
Cette technique porte un nom : le vishing, contraction de « voice » et « phishing ». Il s’agit d’un hameçonnage réalisé principalement par téléphone.
Les investigations de Mandiant montrent combien cette méthode gagne du terrain. Selon son rapport M-Trends 2026, le phishing vocal hautement interactif représentait 11 % des vecteurs initiaux d’intrusion observés en 2025. Il se classait ainsi au deuxième rang, derrière l’exploitation de vulnérabilités informatiques.
Google Threat Intelligence observe également des groupes criminels qui se présentent comme des équipes informatiques chargées de migrations de sécurité urgentes. Les victimes peuvent être dirigées vers de fausses pages de connexion. Les attaquants cherchent alors à intercepter leurs identifiants ainsi que leurs jetons d’authentification multifacteur.
Cette évolution mérite l’attention des investisseurs et des chefs d’entreprise. Une authentification à deux facteurs protège efficacement contre de nombreuses intrusions classiques. Elle perd néanmoins une partie de son efficacité lorsqu’un utilisateur est convaincu de fournir lui-même les éléments permettant de la franchir.
La sécurité technique reste donc indispensable. Elle n’est simplement plus suffisante.
L’intelligence artificielle augmente le risque de fraude bancaire
L’intelligence artificielle générative ajoute une dimension supplémentaire. Elle permet aux attaquants d’accélérer leurs recherches, de personnaliser leurs scénarios et de produire plus facilement des contenus crédibles. Google Threat Intelligence constate déjà une utilisation croissante de l’IA par différents acteurs malveillants pour améliorer certaines étapes de leurs opérations et leurs techniques d’ingénierie sociale.
Le clonage vocal constitue également une menace potentielle. Toutefois, il serait excessif d’attribuer chaque fraude téléphonique à une voix artificielle. Le problème existe déjà sans deepfake.
Un interlocuteur humain correctement renseigné, capable d’utiliser le bon vocabulaire et de créer un sentiment d’urgence peut suffire à tromper une cible expérimentée.
L’IA augmente donc les capacités du fraudeur, dans un secteur qui concentre déjà l’essentiel des investissements mondiaux. Elle ne remplace pas pour autant le ressort principal de l’escroquerie : la confiance.
Les banques renforcent leurs défenses
Face à cette évolution, plusieurs nouvelles protections ont été introduites.
Depuis le 9 octobre 2025, les établissements bancaires proposent un service de vérification du bénéficiaire pour les virements concernés. Avant l’exécution de l’opération, la banque vérifie la concordance entre l’IBAN saisi et l’identité du bénéficiaire. Cette avancée réduit certaines fraudes au changement de coordonnées bancaires ainsi que les erreurs de saisie.
Cependant, elle ne constitue pas une protection absolue. La Banque de France souligne elle-même que ce contrôle ne doit pas réduire la vigilance du donneur d’ordre sur la légitimité du bénéficiaire.
La téléphonie évolue également. Depuis le 1er janvier 2026, les opérateurs français doivent masquer le numéro mobile français affiché par un appel provenant de l’étranger lorsque celui-ci n’a pas pu être authentifié, en application des règles fixées par l’Arcep. Cette mesure vise notamment les techniques d’usurpation de numéro, ou spoofing.
Là encore, la protection réduit le risque sans pouvoir le supprimer.
Un virement manipulé est-il remboursé ?
La question devient essentielle lorsqu’un particulier valide lui-même une opération après avoir été trompé.
Le Code monétaire et financier distingue les paiements autorisés des opérations non autorisées. Son article L.133-6 prévoit qu’une opération est autorisée lorsque le payeur a donné son consentement à son exécution. L’article L.133-18 organise, pour sa part, le remboursement des opérations de paiement non autorisées dans les conditions prévues par la loi.
Cette distinction explique pourquoi une fraude bancaire par manipulation peut créer une situation juridique plus complexe qu’un simple piratage de carte. Lorsqu’une personne réalise elle-même un virement sous l’influence d’un escroc, son remboursement n’est donc pas automatiquement régi de la même manière qu’une opération qu’elle n’a jamais autorisée.
Chaque dossier doit cependant être examiné selon ses circonstances. La qualification de l’opération, la manière dont le consentement a été donné, les anomalies éventuelles et les obligations de l’établissement peuvent notamment entrer dans l’analyse.
En cas de fraude, il faut donc contacter immédiatement sa banque, tenter de rappeler les fonds, conserver toutes les preuves et signaler rapidement les faits.
Fraude bancaire : comment protéger son patrimoine ?
La meilleure protection consiste désormais à séparer la demande de sa validation.
Interrompre l’appel entrant
Toute personne demandant un mot de passe, un code d’authentification ou un identifiant doit susciter une vigilance immédiate. La Banque de France rappelle qu’un conseiller bancaire n’a pas besoin de demander ces informations à son client.
Même lorsque le numéro affiché semble connu, il ne faut pas considérer cette information comme une preuve d’identité.
Reprendre contact soi-même
Après une demande inhabituelle, mieux vaut raccrocher puis joindre l’établissement par un canal déjà connu. Le numéro enregistré dans son application bancaire, l’espace client officiel ou les coordonnées habituelles du conseiller offrent une meilleure garantie qu’un simple appel entrant.
Cette procédure paraît élémentaire. Elle brise pourtant l’un des ressorts essentiels de la fraude : maintenir la victime dans la conversation.
Créer un délai de sécurité
Une demande exceptionnelle mérite rarement une réponse immédiate. Un virement inhabituel, un changement de bénéficiaire, un rachat important, une modification de coordonnées bancaires ou un arbitrage patrimonial significatif peuvent justifier quelques minutes de contrôle supplémentaire.
Dans une entreprise, la double validation conserve également tout son intérêt pour les opérations sensibles.
Authentifier la personne avant l’ordre
La question centrale change donc. Il ne suffit plus de se demander si l’opération semble crédible. Il faut d’abord vérifier si la personne qui la demande est réellement celle qu’elle prétend être.
Cette règle vaut pour une banque. Elle vaut aussi pour un conseiller en gestion de patrimoine, un expert-comptable, un notaire, un dirigeant, un fournisseur ou un membre de la famille.
Les listes noires restent indispensables
L’AMF et l’ACPR poursuivent parallèlement leur travail de détection. En 2025, plus de 1 300 nouveaux noms de sites ou d’acteurs non autorisés ont été ajoutés à leurs listes noires. Les autorités alertent également sur la progression des usurpations d’identité touchant des établissements financiers et parfois les régulateurs eux-mêmes.
Ces listes constituent un excellent outil de vérification avant un investissement. Elles ne peuvent toutefois pas répondre à une question fondamentale au moment où le téléphone sonne : qui se trouve réellement à l’autre bout de la ligne ?
La protection patrimoniale doit donc combiner information réglementaire, contrôle technique et vérification humaine.
FAQ sur la fraude bancaire
Un conseiller bancaire peut-il demander un code reçu par SMS ?
Non. Une demande de mot de passe, d’identifiant bancaire ou de code d’authentification doit immédiatement éveiller les soupçons. Les autorités rappellent qu’un conseiller n’a pas besoin de ces informations pour intervenir sur un compte.
La vérification du bénéficiaire empêche-t-elle toutes les fraudes ?
Non. Elle vérifie la cohérence entre l’identité du bénéficiaire et l’IBAN fourni. Elle ne peut pas déterminer à votre place si le bénéficiaire est réellement digne de confiance.
Peut-on faire confiance au numéro affiché ?
Pas totalement. Les techniques d’usurpation de numéro ont précisément conduit les autorités à renforcer les règles d’authentification des appels. Un appel entrant ne doit jamais constituer, à lui seul, une preuve d’identité.
L’intelligence artificielle rend-elle la fraude bancaire plus dangereuse ?
Oui, car elle permet notamment d’automatiser certaines recherches, d’améliorer la personnalisation des attaques et de produire des contenus synthétiques plus convaincants. Néanmoins, une fraude téléphonique efficace ne nécessite pas forcément une technologie avancée.
La confiance devient un actif
Pendant des années, la sécurité financière s’est construite autour du mot de passe, du chiffrement et de l’authentification forte. Ces protections ont produit des résultats. Les fraudeurs se sont adaptés.
Ils cherchent désormais moins souvent à vaincre directement la machine qu’à persuader son propriétaire de leur ouvrir la porte.
Pour un particulier comme pour une entreprise, la nouvelle règle de prudence tient donc en quelques mots : aucune demande financière sensible ne devrait être exécutée sur la seule base d’un contact entrant.
La confiance reste indispensable aux relations financières. Mais à l’ère du vishing, de l’usurpation d’identité et de l’intelligence artificielle, elle doit désormais être vérifiée.
Sources de l’article
- Banque de France — Observatoire de la sécurité des moyens de paiement : données relatives à la fraude aux moyens de paiement et aux comportements des Français.
- Fédération bancaire française — janvier 2026.
- Arcep — nouvelles règles d’authentification des numéros.
- AMF et ACPR — rapport annuel du Pôle commun 2025 et listes noires.
- Google Threat Intelligence Group et Mandiant — M-Trends 2026 et analyses des campagnes de vishing.
- Code monétaire et financier — articles L.133-6 et L.133-18.
- Financial Times — août 2026.
Avertissement
Le présent article a une vocation exclusivement informative et pédagogique. Il ne constitue ni une recommandation personnalisée, ni un conseil en investissement, ni une sollicitation d’achat ou de vente d’un instrument financier. Les analyses et données présentées reposent sur les sources citées et sur les informations disponibles à la date de publication. Elles peuvent évoluer sans préavis. Tout investissement comporte des risques, notamment un risque de perte partielle ou totale du capital. Les performances passées ne constituent pas un indicateur fiable des performances futures. Édité par STRATEGINVEST SAS, CIF enregistré à l’ORIAS sous le n° 13000990.