Faites confiance, mais vérifiez. Un faux conseiller au bout du fil, un ton rassurant, et un virement qui part avant même d’avoir raccroché. L’Observatoire de la sécurité des moyens de paiement, rattaché à la Banque de France, vient de publier son rapport annuel. Le verdict ne surprendra pas ceux qui suivent les arnaques crypto de près : la manipulation psychologique dépasse désormais largement le piratage technique pur.
Le faux conseiller bancaire, la martingale des escrocs
Selon le rapport de l’OSMP, publié le 7 septembre à l’occasion de son anniversaire, la fraude par manipulation, celle qui consiste à convaincre la victime de livrer une donnée sensible ou de valider elle-même une opération, a bondi de 34 % en 2025 pour atteindre 516 millions d’euros. Elle représente désormais plus de 40 % du montant total de la fraude aux moyens de paiement en France, un total qui grimpe à 1,24 milliard d’euros toutes catégories confondues. Seule consolation, relative : le nombre d’opérations frauduleuses recule de 8 % sur la même période. Les escrocs frappent moins souvent, mais plus fort à chaque tentative.
Le scénario du faux conseiller bancaire, celui qui appelle en usurpant le numéro d’un vrai établissement pour pousser une victime à valider un virement « de sécurisation », pèse à lui seul 376 millions d’euros. Un montage qui ressemble comme deux gouttes d’eau aux arnaques aux faux conseillers Coinbase qui ont fait des ravages dans l’écosystème crypto, à ceci près que la cible se compte ici en millions de clients bancaires plutôt qu’en détenteurs de portefeuilles numériques.
Les 20-24 ans, cible privilégiée malgré les idées reçues
Autre enseignement qui bouscule les clichés habituels sur la fraude, rapporté par franceinfo : ce ne sont pas les seniors les plus exposés, contrairement à l’image d’Épinal du grand-parent naïf au téléphone. Les 20-24 ans affichent le taux de victimisation le plus élevé, avec 9,6 victimes pour 1 000 habitants.
Une génération pourtant née avec un smartphone dans la main, mais qui reste vulnérable face à des scénarios conçus pour créer l’urgence et court-circuiter la réflexion. Le point commun avec les arnaques aux faux conseillers Coinbase, qui ont siphonné 65 millions de dollars en seulement deux mois l’an dernier, n’a donc rien d’un hasard : mêmes ressorts psychologiques, même sentiment d’urgence artificiellement créé, seul le produit financier visé change.
Un système d’alerte qui n’a pas encore trouvé la parade
L’ironie, c’est que jamais les outils de détection de fraude n’ont été aussi sophistiqués. Les banques investissent massivement dans l’intelligence artificielle pour repérer les schémas suspects en temps réel, un axe sur lequel Visa a d’ailleurs misé gros récemment en rachetant BioCatch pour 2,4 milliards de dollars.
Mais la manipulation psychologique contourne justement ce type de barrière technique : quand c’est la victime elle-même qui valide l’opération, de son plein gré et depuis son propre appareil, aucun algorithme de détection ne peut vraiment s’y opposer. Le maillon faible reste, et restera, humain.
La leçon dépasse largement le cadre bancaire traditionnel. Toute institution financière, y compris celles qui gèrent des cryptomonnaies, se retrouve confrontée au même dilemme : plus l’authentification technique se renforce, plus les fraudeurs se replient sur l’ingénierie sociale pour la contourner. Un rappel utile à l’heure où de plus en plus de Français jonglent entre compte bancaire classique et portefeuille crypto, avec, dans les deux cas, un seul réflexe qui protège vraiment : ne jamais valider une opération sous la pression d’un appel qu’on n’a pas soi-même initié.
Le cas Bybit : 1,5 milliard de dollars volés sans toucher à la moindre clé privée
Le 21 février 2025, l’exchange Bybit subit le casse le plus important de l’histoire de la crypto : 1,5 milliard de dollars envolés en quelques minutes depuis son portefeuille froid. Pas de faille de smart contract, pas de mot de passe deviné. Les enquêteurs pointent le groupe nord-coréen Lazarus, et la faille se situe chez un prestataire, pas chez Bybit elle-même.
Les pirates compromettent l’ordinateur d’un développeur de Safe{Wallet}, l’outil multisignature utilisé par l’exchange pour valider ses virements internes, et injectent un code malveillant dans son interface. Quand les signataires autorisés de Bybit se connectent pour approuver un transfert de routine, tout ce qu’ils voient à l’écran est parfaitement normal. Ce que leur portefeuille matériel leur fait réellement signer, une fois la donnée technique décodée, est tout autre chose : une prise de contrôle du contrat vers une adresse pirate.
