La fraude bancaire ne désigne pas un phénomène unique mais un ensemble de pratiques qui évoluent à des rythmes très différents. On y trouve des escroqueries anciennes remises au goût du jour par les outils d’intelligence artificielle, des attaques contre les parcours d’authentification, des falsifications destinées à tromper l’entrée en relation, ainsi que des réseaux de comptes chargés de recycler les fonds détournés. La Banque de France suit ces typologies dans le cadre de l’Observatoire de la sécurité des moyens de paiement, dont le rapport annuel décrit la répartition de la fraude entre les instruments ; aux États-Unis, le centre de plaintes IC3 du FBI publie ses propres bilans, où la compromission de messagerie professionnelle figure régulièrement parmi les catégories occasionnant les pertes déclarées les plus élevées.
Cette page joue le rôle d’un sommaire raisonné. Elle regroupe les menaces par familles, résume la mécanique de chacune en quelques lignes et renvoie vers l’article détaillé que ce site lui consacre. Le classement part du canal employé pour joindre la victime, passe par les usurpations d’identité qui précèdent l’entrée en relation, suit l’argent détourné jusqu’aux réseaux de mules, et se termine par les dispositifs de sécurisation des paiements puis par les défenses communes à toutes les familles.
La manipulation par courriel
Le courrier électronique reste le terrain classique des fraudes aux faux ordres de virement. Dans un scénario désormais bien documenté, un escroc endosse l’identité d’un dirigeant, d’un avocat ou d’un fournisseur et obtient d’un service comptable l’exécution d’un virement présenté comme urgent et confidentiel, après des semaines passées à étudier l’organisation, ses circuits de validation et son vocabulaire interne. Le procédé n’exploite aucune faille logicielle et repose entièrement sur la qualité de la mise en scène, dont la messagerie n’est que le véhicule. L’article consacré à la fraude au président et au BEC détaille ces scénarios, du faux changement de RIB fournisseur à la compromission réelle d’une boîte de messagerie, ainsi que les contrôles internes capables d’interrompre la chaîne d’exécution.
L’hameçonnage de masse connaît de son côté une mutation qualitative. Les modèles de langage produisent des courriels adaptés au contexte du destinataire et déclinables à grande échelle ; les maladresses de rédaction qui servaient d’indice disparaissent. Cette industrialisation et ses conséquences pour les dispositifs de filtrage sont examinées dans l’analyse du hameçonnage augmenté par l’intelligence artificielle. Pour les particuliers, cybermalveillance.gouv.fr maintient une fiche réflexe consacrée à l’hameçonnage qui décrit les signes d’alerte et la conduite à tenir en cas de doute.
Le téléphone comme instrument de fraude
Un appel entrant bien préparé contourne une partie des réflexes acquis face aux courriels suspects, car la conversation en temps réel prive la victime du délai de réflexion dont elle dispose devant un message écrit. Le faux conseiller bancaire en est l’illustration : l’interlocuteur se présente comme le service anti-fraude de l’établissement, affiche parfois le véritable numéro de l’agence grâce à l’usurpation de l’identifiant d’appel, cite des opérations réelles obtenues en amont et amène le client à valider lui-même des transactions frauduleuses ou à communiquer des codes de sécurité. Les banques rappellent à ce titre qu’un conseiller n’a jamais besoin d’un code de validation ni d’un mot de passe pour bloquer une opération. Le scénario est décortiqué étape par étape dans l’article dédié au vishing.
L’arnaque au faux support technique inverse le point de départ : la victime croit joindre une assistance légitime après l’affichage d’une alerte alarmante sur son écran. Suivent la prise en main à distance de l’ordinateur, la consultation des comptes en présence du fraudeur et des paiements présentés comme des frais de réparation. Une page distincte retrace ce mode opératoire et les recommandations publiées à son sujet, notamment par cybermalveillance.gouv.fr.
Les canaux mobiles
Le smartphone concentre des usages qui en font une cible double : on y consulte ses comptes et l’on y reçoit les codes de confirmation des opérations sensibles. Certaines attaques passent par les messages qu’il affiche, d’autres par la ligne téléphonique qui le dessert.
Smishing et quishing
Sur smartphone, le SMS frauduleux exploite la brièveté du format : un prétexte crédible (colis retenu, amende impayée), un lien raccourci et une fausse page bancaire qui recueille identifiants et données de carte. L’article sur le smishing recense les prétextes en circulation et les canaux de signalement, dont la plateforme 33700. Le code QR fournit une variante qui échappe aux filtres textuels puisque l’adresse malveillante se dissimule dans une image, apposée sur un horodateur ou insérée dans un courrier imité ; l’article traitant du quishing explique pourquoi ce support se prête aussi bien aux détournements physiques que numériques.
Le détournement de la ligne mobile
Le SIM swap s’en prend à la ligne mobile elle-même plutôt qu’aux messages qu’elle achemine. En obtenant frauduleusement le transfert du numéro d’une victime vers une carte SIM qu’il contrôle, l’attaquant intercepte les codes à usage unique envoyés par SMS et peut réinitialiser des accès bancaires sans que le titulaire s’en aperçoive immédiatement. Le mécanisme et ses parades sont présentés dans l’article sur la fraude au SIM swap, qui montre au passage la fragilité d’une authentification reposant sur le seul canal SMS.
Identité, documents et biométrie
Cette famille de fraudes ne détourne pas un paiement existant : elle installe le fraudeur dans la place en amont, au moment où l’établissement vérifie à qui il a affaire. Les générateurs d’images et de voix ont nettement abaissé le niveau technique que ces usurpations exigeaient.
Faux documents et visages synthétiques
Le premier étage est documentaire : de faux justificatifs et des pièces d’identité retouchées servent à ouvrir des comptes ou à obtenir des crédits, quand ils n’alimentent pas des identités synthétiques mêlant données réelles et éléments inventés. L’article traitant de la fraude documentaire à l’ère de l’IA décrit ces techniques de fabrication et les contrôles qui conservent une valeur probante. La voix et l’image suivent la même trajectoire : des deepfakes audio ou vidéo servent à usurper un dirigeant lors d’une validation de virement ou un client auprès de son conseiller, un risque analysé dans l’article consacré aux deepfakes dans la relation bancaire.
Les parcours d’entrée en relation
La vérification d’identité à distance concentre une part croissante de ces attaques, car un compte ouvert sous une fausse identité devient ensuite un instrument de blanchiment difficile à rattacher à son utilisateur réel. Injection de flux vidéo préenregistrés ou visages générés mettent à l’épreuve les dispositifs de reconnaissance ; l’article sur l’usurpation faciale dans les parcours KYC fait le point sur ces techniques et sur les contre-mesures de détection du vivant.
L’argent après la fraude : les réseaux de mules
Un virement détourné n’atterrit presque jamais directement chez le fraudeur. Il transite par des comptes de passage tenus par des money mules, ces intermédiaires, complices ou eux-mêmes manipulés, qui font circuler des fonds d’origine frauduleuse contre commission. Les sommes sont ensuite fractionnées et renvoyées de compte en compte, chaque rebond réduisant les chances d’un rappel du virement. Recrutées par de fausses offres d’emploi ou sur les réseaux sociaux, ces personnes s’exposent à des poursuites pour blanchiment, un point sur lequel Europol insiste dans ses campagnes de prévention. L’article dédié aux money mules décrit le recrutement de ces intermédiaires et les signaux que les banques surveillent pour repérer les comptes de passage.
La sécurisation des paiements
Face à la fraude aux virements, la faille exploitée tient souvent à un détail : un IBAN substitué dans une facture, un bénéficiaire dont le nom ne correspond pas au compte crédité. Le règlement européen sur les virements instantanés impose désormais aux prestataires de services de paiement un service de vérification de la concordance entre le nom du bénéficiaire et l’IBAN saisi, avant l’exécution de l’opération. Ce contrôle intéresse directement la lutte contre les faux ordres de virement évoqués plus haut, dont la substitution d’IBAN constitue l’instrument privilégié. L’article sur la vérification du bénéficiaire examine la portée de ce dispositif et les schémas de fraude qu’il laisse subsister.
Pour les paiements par carte en ligne, l’authentification forte du client imposée par la DSP2 s’appuie principalement sur 3-D Secure, un protocole spécifié par EMVCo qui fait dialoguer le commerçant et la banque de l’acheteur au moment du paiement. Son fonctionnement, ses versions successives et le régime des exemptions sont présentés dans l’article sur 3-D Secure et l’authentification des paiements.
Le socle commun des défenses
Chacune des familles décrites ici s’appuie sur un levier psychologique, qu’il s’agisse d’une autorité que la victime n’ose pas contester ou d’une confiance installée sur la durée. Ces ressorts, communs au BEC, au vishing et au recrutement des mules, sont analysés dans l’article de fond sur l’ingénierie sociale, dont la lecture éclaire l’ensemble du panorama.
Former les équipes et les clients garde tout son sens, à condition d’en mesurer les effets réels plutôt que le simple taux de participation aux modules. L’article évaluant l’efficacité de la sensibilisation confronte les formats existants, des simulations d’hameçonnage aux exercices ciblés par métier, aux résultats documentés dans la littérature.
Sur le plan technique, l’enjeu consiste à retirer aux fraudeurs leur cible favorite : le facteur d’authentification transmissible. Un code à usage unique se communique au téléphone ou se saisit sur une fausse page ; une clé de sécurité ou une passkey liée au domaine légitime ne le permet pas. L’ANSSI comme la CISA orientent leurs recommandations vers ces mécanismes, et l’article sur l’authentification résistante au phishing explique comment ils retirent leur efficacité aux scénarios de vol de codes décrits dans les sections précédentes.
