Publié le 2026-07-25
On vous demande le code reçu par SMS : est-ce vraiment normal ?
Non : aucune banque ni aucun service ne réclame ce code par téléphone. Ce petit texto ne protège qu'une opération précise, jamais un compte entier, et voici pourquoi.
Le téléphone sonne, et l'écran affiche le nom de votre banque, exactement comme d'habitude. Une voix posée, un vrai discours de conseiller : « Nous avons détecté une tentative de fraude sur votre compte, je vais avoir besoin du code que vous venez de recevoir par SMS pour bloquer l'opération. » Le plus troublant, c'est que le SMS est bel et bien arrivé, une minute plus tôt, avec un vrai code. Comment douter d'un appel qui tombe si juste ?
Et pourtant, ce moment n'a rien d'une coïncidence. C'est très exactement la mécanique de l'arnaque.
Ce petit texto porte un nom, la double authentification : un code à usage unique censé prouver que c'est vraiment vous, et personne d'autre, qui validez une connexion ou un paiement. Une bonne idée, tant qu'il reste entre vos seules mains.
Le code arrive juste avant l'appel, jamais par hasard
Pour que ce code existe, il faut qu'une tentative de connexion ou de paiement soit déjà en cours quelque part. Et cette tentative, ce n'est pas vous qui l'avez lancée : c'est la personne qui vous appelle, quelques instants plus tôt, en utilisant un identifiant ou un mot de passe récupéré autrement, une adresse mail, un numéro de carte, un mot de passe volé sur un autre site des mois plus tôt. Le code que vous recevez est donc bien réel. Ce qui ne l'est pas, c'est la demande qui suit : la plateforme publique Cybermalveillance.gouv.fr, qui accompagne les victimes de cybermalveillance, décrit un scénario identique pour la fraude au faux conseiller bancaire, un escroc qui appelle en se faisant passer pour la banque et qui demande la communication de ce même code, ou sa confirmation directe dans l'application.
L'appel, de son côté, ne doit rien au hasard non plus. Le centre régional de cybersécurité de Bourgogne-Franche-Comté le précise dans ses conseils aux particuliers : ces escrocs appellent souvent en usurpant le numéro de téléphone affiché de la banque elle-même. Le nom qui s'affiche à l'écran ne garantit donc rien sur l'identité de la personne qui parle réellement.
Un code qui valide, jamais un code qui bloque
Voilà le malentendu sur lequel repose toute l'arnaque : on vous fait croire que communiquer ce code va empêcher quelque chose de grave. C'est l'inverse exact. Un code de confirmation reçu par SMS ne sert qu'à une seule chose, donner le feu vert à une opération déjà lancée. Cybermalveillance.gouv.fr est direct sur ce point : ces codes ou ces confirmations permettent en réalité à l'escroc de valider des opérations frauduleuses. Il n'existe pas de version du code qui annule ou qui bloque quoi que ce soit : cette fonction n'a tout simplement jamais existé.
D'où une règle qui ne souffre aucune exception, rappelée noir sur blanc par la même plateforme publique : jamais un conseiller de banque ne demande à un client de lui communiquer un mot de passe ou un code de confirmation, quelle que soit la gravité de la situation décrite. Une vraie urgence bancaire se traite dans l'application ou en agence, jamais en le dictant à voix haute au téléphone.
Cela ne veut pas dire que votre banque ne vous appellera jamais : elle peut le faire, pour bien d'autres raisons. La limite est ailleurs, et elle est simple à retenir : aucun appel légitime ne vous demandera jamais de lire ce code à voix haute. Si la demande arrive, la conversation s'arrête là, on raccroche, et on rappelle son agence ou son service client par un numéro que l'on connaît déjà soi-même, écrit sur une carte ou une application, jamais celui laissé par la personne qui vient d'appeler.
Un code qu'on vous demande de lire à voix haute a déjà fini de vous protéger.
- Un code reçu sans action de votre part n'est pas anodin : quelqu'un d'autre, ailleurs, est en train de s'en servir.
- Aucune banque, aucune administration, aucun service ne demande jamais ce code par téléphone, par SMS ou par mail, sous aucun prétexte.
- Un numéro qui affiche le bon nom ne prouve rien : il peut être imité aussi facilement qu'un logo.
- Le seul réflexe fiable : raccrocher, puis rappeler soi-même un numéro que l'on connaît déjà, jamais celui proposé pendant l'appel.
La prochaine fois qu'un code tombe sans que vous ayez rien demandé, ne le voyez pas comme une alerte à transmettre à qui vous appelle. Voyez-le pour ce qu'il est : la preuve que quelqu'un d'autre a déjà la main sur votre compte, et qu'il ne lui manque plus que ces quelques chiffres que vous vous apprêtiez justement à lui offrir.
Sources
- Que faire en cas de fraude au faux conseiller bancaire ? (Cybermalveillance.gouv.fr) (cybermalveillance.gouv.fr)
- Attention à l'arnaque au faux conseiller bancaire (CSIRT Bourgogne-Franche-Comté) (csirt-bfc.fr)