Alerte OFCS : le phishing bancaire en deux étapes détourne la vigilance

L’OFCS alerte sur un phishing bancaire sophistiqué en deux temps, capable de détourner la vigilance et de piéger les internautes les plus prudents.

Recevez les nouveaux articles DCOD directement sur Telegram.

Dans une nouvelle mise en garde publiée par l’Office fédéral de la cybersécurité (OFCS), un cas récemment signalé illustre l’évolution préoccupante des techniques de phishing bancaire. Et si cet exemple mérite toute notre attention, c’est parce qu’il met en lumière une méthode bien plus élaborée que les arnaques traditionnelles : une escroquerie en deux temps, construite pour paraître crédible à chaque étape et piéger même les internautes les plus prudents.

Tout commence par un e-mail qui semble provenir d’une banque. Le message, prétextant une mise à jour des données clients pour raisons de conformité, invite à cliquer sur un lien.

L’internaute accède alors à une page web très proche visuellement de celle de sa banque. Contrairement aux tentatives classiques, aucune demande de mot de passe ou de données bancaires sensibles n’est formulée. On demande simplement des informations jugées inoffensives : nom, prénom, numéro de téléphone, et numéro de contrat e-banking. Une fois le formulaire rempli, l’utilisateur est redirigé vers le site officiel de la banque. L’illusion est parfaite.

Ce qui distingue cette méthode, c’est sa capacité à contourner les signaux d’alerte habituels. Aucune alerte de sécurité ne se déclenche, car aucune donnée hautement critique n’est sollicitée à ce stade. Mais cette première étape ne vise qu’à récolter les éléments nécessaires pour la suite.

Deuxième acte : le piège se referme par téléphone

Quelques jours plus tard, la victime reçoit un appel. Le numéro affiché correspond bien à celui de sa banque. L’interlocuteur se présente comme un employé du service antifraude.

Offrez un café pour soutenir cette veille indépendante.

☕ Je soutiens DCOD

Au téléphone, il utilise les informations déjà collectées pour gagner la confiance de la cible : nom, numéro de contrat, parfois même adresse ou type de carte bancaire. La conversation semble crédible, d’autant qu’elle peut durer plusieurs minutes.

Puis le déclencheur tombe : un virement frauduleux, par exemple, vers un hôtel à Milan serait en cours. Pour le bloquer, il faut agir vite. La victime est invitée à scanner un code QR avec son application e-banking. Croyant protéger ses fonds, elle accorde en réalité aux escrocs l’accès à son compte. Le deuxième facteur d’authentification est ainsi contourné.

Ce scénario n’est pas isolé. Il s’appuie sur une double manipulation : d’abord créer un sentiment de conformité, puis provoquer l’urgence. Et dans chaque étape, c’est la confiance qui est exploitée, jamais la force brute.

Un virage vers des attaques de plus en plus ciblées

L’Office fédéral de la cybersécurité (OFCS) constate une hausse des attaques ciblées, plus coûteuses mais aussi plus rentables. Les cas observés illustrent une tendance à la personnalisation croissante des escroqueries.

Parmi les autres scénarios récurrents, on retrouve les fausses ventes via plateformes de petites annonces. Le principe reste le même : créer un lien de confiance dans un contexte familier, comme une transaction sur un site reconnu. Le phishing ne tombe plus du ciel, il s’insère dans le quotidien de la victime.

Ces stratégies reposent sur des principes psychologiques solides : une personne sera plus encline à divulguer des informations ou exécuter une action si la demande vient d’un interlocuteur connu ou crédible. La méfiance naturelle est court-circuitée par la familiarité.

Comment se prémunir de ces attaques sophistiquées de phishing bancaire?

L’OFCS appelle à une vigilance accrue face aux requêtes apparemment anodines. Donner son numéro de contrat ou son téléphone n’est pas anodin si cela permet à un fraudeur de construire un scénario détaillé.

Il est crucial de ne jamais scanner de QR code avec une application bancaire sans vérification absolue de l’origine. Aucun prestataire sérieux ne demande de code TAN ou de mot de passe par e-mail ou téléphone.

En cas de doute, le bon réflexe reste de raccrocher et de contacter soi-même sa banque via un canal vérifié. La formation continue des utilisateurs, l’authentification multi-facteurs renforcée, et des campagnes de sensibilisation ciblées sont plus que jamais essentielles dans cette guerre d’usure entre fraudeurs et usagers.

Pour en savoir plus

Semaine 22 : Hameçonnage en deux étapes, ou comment les pirates contournent les mesures de sécurité classiques

03.06.2025 – Le phishing fait partie depuis des années des cyberdélits les plus fréquemment signalés. Il s’agit d’un phénomène de masse. Les cybercriminels envoient de grandes quantités d’e-mails dans l’espoir qu’un petit pourcentage des destinataires se fasse piéger. Les attaquants…

Lire la suite sur Actualité OFCS