Arnaque IBAN par mail : la nouvelle escroquerie qui utilise vos vraies données

Une nouvelle génération de phishing particulièrement redoutable sévit actuellement en France. Des milliers de particuliers reçoivent des emails leur annonçant un prélèvement pour un abonnement qu'ils n'ont jamais souscrit. Le piège est d'autant plus crédible que ces messages contiennent leurs véritables données personnelles : nom, prénom, adresse postale et surtout leur IBAN complet. Cette arnaque sophistiquée exploite des données volées lors de fuites massives pour tromper même les internautes les plus vigilants.

Depuis le début de l'année 2026, plusieurs campagnes massives de phishing ont déferlé sur les messageries françaises. En juin, des milliers de personnes ont reçu un email provenant soi-disant de country clubs américains ou canadiens, annonçant un prélèvement de 69 euros pour un abonnement renouvelé. Plus récemment, début août, c'est une nouvelle vague qui imite parfaitement une confirmation d'abonnement au service fictif "Cellcast Vidéos" pour 49,99 euros par an. Dans les deux cas, le message contient les coordonnées bancaires réelles de la victime, donnant une apparence de légitimité troublante qui désarçonne même les plus méfiants.

Le mécanisme de cette escroquerie repose sur un effet de surprise et d'urgence savamment orchestré. L'email informe que la période d'essai serait arrivée à son terme et invite à gérer, suspendre ou résilier l'abonnement avant le prochain prélèvement. C'est précisément là que se referme le piège : en cliquant sur le bouton de gestion, la victime est redirigée vers une plateforme frauduleuse qui promet d'annuler le prélèvement et de rembourser le montant facturé. Pour ce faire, le site demande de saisir des informations bancaires complémentaires, notamment le numéro de carte bancaire avec son cryptogramme, permettant aux escrocs de réaliser de véritables prélèvements cette fois-ci. Cette technique rappelle d'autres arnaques récentes, comme l'escroquerie à la carte Vitale qui a fait des milliers de victimes.

D'où proviennent ces données bancaires volées ?

L'origine de ces IBAN utilisés par les cybercriminels remonte principalement aux fuites de données massives qui ont touché plusieurs grandes entreprises ces dernières années. En novembre 2024, l'opérateur Free a subi une cyberattaque de grande envergure compromettant les données personnelles de près de 19 millions d'abonnés. Des informations sensibles telles que des noms, adresses, numéros de téléphone et surtout des IBAN ont été volées et partiellement divulguées sur le Dark Web. Ces bases de données sont ensuite revendues et exploitées par différents groupes de cybercriminels pour mener des campagnes de phishing de plus en plus sophistiquées.

Cette nouvelle génération de phishing se distingue radicalement des tentatives maladroites du passé. Fini les fautes d'orthographe grossières et les logos pixelisés qui mettaient immédiatement la puce à l'oreille. Les messages sont désormais propres, professionnels et parfaitement crédibles. Ils parlent souvent d'une "nouvelle réglementation européenne" exigeant une vérification urgente des coordonnées bancaires. La présence du véritable IBAN dans le corps du message désamorce la méfiance naturelle et confère une apparence d'authenticité qui piège même les utilisateurs avertis. Les escrocs utilisent également des techniques de spoofing pour faire apparaître des adresses d'expéditeurs qui semblent légitimes, empruntant l'identité de véritables établissements.

Face à l'ampleur du phénomène, les autorités françaises ont renforcé les dispositifs de protection. Depuis octobre 2025, pour tout virement SEPA en ligne, les banques vérifient gratuitement la concordance entre l'IBAN saisi et le nom du bénéficiaire, permettant de réduire fortement les erreurs de saisie et les fraudes aux faux RIB. Une loi de novembre 2025 a également lancé une plateforme de partage des IBAN frauduleux entre banques, active depuis mai 2026, pour qu'un même compte d'escroc ne puisse plus servir plusieurs fois. Ces mesures constituent une avancée significative dans la lutte contre les arnaques de plus en plus sophistiquées dopées à l'intelligence artificielle.

Comment se protéger efficacement contre cette arnaque

La première règle d'or face à ce type de message est simple mais impérative : ne jamais cliquer sur les liens contenus dans des emails non sollicités, même s'ils semblent provenir d'organismes officiels. N'ouvrez surtout pas les pièces jointes, ne répondez pas au message et supprimez-le immédiatement. Si vous avez un doute sur la légitimité d'une communication, privilégiez toujours la saisie manuelle de l'adresse du site officiel depuis votre navigateur pour vous connecter à votre compte, plutôt que de cliquer sur un lien fourni dans un email. Les fraudeurs peuvent se faire passer pour votre conseiller bancaire en gagnant votre confiance par leur connaissance de vos données personnelles dont votre IBAN, pour vous inciter à effectuer ou confirmer une action en urgence.

Si vous avez malencontreusement cliqué sur un lien et communiqué des informations bancaires, il faut agir immédiatement. Contactez dès que possible votre banque pour faire opposition sur votre carte bancaire et surveillez attentivement vos comptes dans les semaines qui suivent. Les tentatives de débit frauduleux peuvent se répéter plusieurs fois. En cas de prélèvements non autorisés, vous disposez d'un droit légal de contestation : pour un prélèvement que vous n'avez jamais autorisé, vous avez 13 mois après le débit pour le contester, et votre banque doit vous rembourser au plus tard à la fin du premier jour ouvrable suivant votre demande. Demandez immédiatement le blocage du prélèvement, c'est un droit sur simple demande.

Pour renforcer votre protection au quotidien, adoptez une vigilance constante en surveillant régulièrement les opérations sur vos comptes bancaires. Activez les alertes SMS ou emails proposées par votre banque pour être notifié en temps réel de tout mouvement suspect. Méfiez-vous systématiquement des messages créant un sentiment d'urgence ou vous demandant de confirmer des données personnelles. Aucune banque ni aucun organisme sérieux ne vous demandera jamais de communiquer vos coordonnées bancaires complètes par email. En cas de doute, transférez le message suspect à l'adresse signal-spam@signal-spam.fr ou signalez-le via la plateforme Pharos du gouvernement. La sensibilisation reste le premier rempart face à ces cybermenaces qui ne cessent d'évoluer et de se perfectionner.