Escroquerie aux données bancaires : comment se protéger

Vous recevez un courriel de votre hôtel, la veille du départ. Il dit que le paiement n'a pas fonctionné et que la réservation sera annulée dans quelques heures si vous ne redonnez pas votre carte bancaire. Le réflexe est de réagir vite. C'est précisément ce que cherche l'escroc.

La CNIL a publié une mise en garde sur ce scénario, à partir d'une histoire inspirée d'incidents réels qui lui ont été notifiés. Voici ce qu'elle raconte et ce que vous pouvez en retenir.

Le scénario décrit par la CNIL

Trois amis, Jérôme, Jean-Claude et Bernard, réservent le même hôtel pour leurs vacances. Jérôme et Jean-Claude passent par une grande plateforme de réservation et paient en ligne. Bernard réserve directement auprès de l'hôtel, avec paiement sur place.

La veille du départ, tous trois reçoivent un courriel qui semble venir de l'hôtel, envoyé par l'intermédiaire de la plateforme. Le message explique :

• que la réservation doit être confirmée dans les prochaines heures, sinon elle sera annulée et la chambre réattribuée ;
• que le paiement déjà effectué n'a pas pu passer ;
• qu'il faut donc fournir de nouveau ses données bancaires, soit en répondant au courriel, soit via un lien vers une interface de paiement.

Le message est bien parti du compte de l'hôtelier. Ce compte avait été compromis, et c'est ce qui rend le piège crédible.

Trois réactions, trois issues

La CNIL décrit ce que fait chacun des trois clients.

Jean-Claude répond au courriel. Il écrit son numéro de carte dans le corps du message. Il en profite même pour demander un sur-classement.

Jérôme se méfie un peu, puis se rassure. Il trouve la situation étrange et vérifie l'adresse de l'expéditeur. Elle est identique à celle des échanges précédents avec l'hôtel. Il clique alors sur le lien et arrive sur une interface de paiement qui ressemble à s'y méprendre à celle de la plateforme. Il saisit ses informations bancaires.

Bernard ne comprend pas. Il n'a rien payé et n'a pas utilisé la plateforme. Malgré l'heure tardive, il appelle directement l'hôtel, comme il l'avait fait pour réserver. L'hôtelier lui répond qu'il n'est pas nécessaire de payer à l'avance.

Le cas de Jérôme est instructif. Une adresse d'expéditeur familière l'a mis en confiance, alors que le message était frauduleux. L'adresse ne prouve donc rien à elle seule.

Les signaux qui doivent vous alerter

À partir de cette histoire, plusieurs éléments devraient vous faire marquer une pause :

• L'urgence. Le message fixe un délai de quelques heures et menace d'annuler.
• Un paiement qui aurait échoué, alors que vous n'en avez pas eu connaissance, ou que rien ne devait être payé d'avance.
• La demande de données bancaires par courriel, en réponse directe ou via un lien.
• Une page de paiement qui imite une interface connue. Elle peut être très ressemblante.
• Votre simple impression que la demande est étrange. La CNIL conseille de ne pas cliquer sur les liens d'un message qui vous surprend.

La CNIL conclut qu'il faut être très méfiant face aux messages qui appellent à payer de manière urgente.

Les bons réflexes

La CNIL liste plusieurs pratiques pour les utilisateurs.

Ne jamais donner ses données bancaires dans un courriel

Personne ne peut ni ne doit vous le demander. Si un message le fait, c'est déjà une réponse.

Passer uniquement par des interfaces de paiement sécurisées

Sur la page de paiement, vérifiez la présence d'un cadenas et de la mention https:// dans l'adresse. La CNIL cite ces deux points comme des vérifications à faire.

Ne pas cliquer sur les liens d'un message qui surprend

Rendez-vous plutôt directement sur le site d'où la demande est censée venir. Dans l'exemple, c'était la plateforme de réservation. Si la demande est légitime, elle apparaîtra aussi dans votre espace personnel.

Contacter l'émetteur par un autre moyen

En cas de doute, appelez ou passez par le site web de l'émetteur pour confirmer ou non la demande. C'est ce qui a protégé Bernard. La CNIL résume son principal atout en un mot : il est vigilant.

Envisager un paiement à usage unique

Pour aller plus loin, certaines banques ou services spécialisés proposent des moyens de paiement en ligne à usage unique. La CNIL les présente comme une protection supplémentaire.

Si vous avez déjà donné votre carte

Dans l'histoire, Jean-Claude et Jérôme reçoivent ensuite un message d'information de l'hôtel. Ils comprennent qu'ils doivent immédiatement :

1. vérifier les opérations sur leurs comptes bancaires ;
2. faire opposition sur les cartes qu'ils ont utilisées.

Le message de l'hôtel précisait les circonstances de l'incident, les données concernées, les mesures prises, les conséquences possibles (ici, le vol de données bancaires) et un point de contact pour poser des questions. Si vous recevez ce type d'information d'un établissement, lisez-la attentivement et suivez ses recommandations.

La page ne détaille pas d'autres démarches pour les particuliers. Pour savoir que faire face à un message d'hameçonnage, la CNIL renvoie vers deux ressources : sa page « Phishing : détecter un message malveillant » et la page de l'ANSSI « Que faire en cas de phishing ou hameçonnage ? ».

Ce que dit la CNIL aux professionnels

Cette histoire s'adresse aussi aux entreprises. La CNIL en tire plusieurs enseignements.

Dans le cas décrit, l'hôtelier avait enregistré ses mots de passe dans sa boîte de messagerie. Or cette boîte avait été compromise par un courriel d'hameçonnage. La CNIL recommande de ne pas stocker ses mots de passe dans sa messagerie, mais dans un gestionnaire de mots de passe. Elle demande aussi de ne plus utiliser un mot de passe dès qu'on apprend qu'il est compromis.

L'organisme concerné dispose de 72 heures à partir de la découverte de l'incident pour le notifier à la CNIL. Dans l'histoire, le prestataire a aussi déposé plainte auprès de la brigade de gendarmerie compétente, ce que la CNIL décrit comme fortement conseillé dans ce cas.

La CNIL recommande enfin aux organismes de prévenir régulièrement leurs clients qu'ils ne leur demanderont jamais mots de passe ou données bancaires par courriel. Elle conseille aussi aux plateformes de proposer une authentification multifacteur sur les comptes gestionnaires.

Ce que Remove Me peut et ne peut pas vous dire

Soyons clairs : notre analyse ne permet pas de savoir si un message précis est une escroquerie, et elle ne protège pas votre carte. Elle ne remplace aucun des réflexes ci-dessus.

Ce qu'elle fait : à partir des informations que vous saisissez, elle cherche ce qui est visible publiquement sur le web, dans des fuites de données publiques connues (via Have I Been Pwned) et dans un registre de courtiers en données, ces entreprises qui collectent et revendent des données personnelles. Elle vous présente ensuite un bilan, que vous ouvrez avec un code à 6 chiffres reçu par e-mail. Elle est gratuite et ne demande pas de compte.

Un bilan vide ne prouve pas que rien n'est visible à votre sujet. Et Remove Me n'envoie pas encore de demande d'effacement en votre nom.

À retenir

Un message urgent qui réclame votre carte bancaire est suspect, même s'il semble venir d'un service que vous utilisez réellement. Ne répondez pas, ne cliquez pas, vérifiez par un autre canal. Si vous avez déjà cédé, contrôlez vos comptes et faites opposition sur la carte.