On me demande le code reçu par SMS : que se passe-t-il ?

Un SMS arrive avec un code à six chiffres. Au téléphone, quelqu'un vous demande de le lui lire — un conseiller bancaire, un acheteur sur une petite annonce, un service technique. Le code ne ressemble pas à un secret : il est court, il vient d'arriver, il expirera dans dix minutes. C'est pourtant la seule chose que l'escroc ne peut pas obtenir sans vous.

Ce que ce code valide réellement

Un code reçu par SMS n'est pas un mot de passe : c'est une signature. Il n'ouvre rien par lui-même — il confirme une action que quelqu'un vient de déclencher ailleurs, à cet instant précis. Le dicter revient exactement à signer un document qu'on ne vous a pas montré.

Ce que vous signez dépend de ce qui a été lancé de l'autre côté : un paiement en ligne avec votre carte, l'ajout d'un nouveau bénéficiaire sur votre compte, la connexion à votre banque en ligne depuis un appareil inconnu, la réinitialisation d'un mot de passe, ou l'enregistrement de votre carte dans un portefeuille sur le téléphone de l'escroc.

Le texte du message dit presque toujours ce qui est en jeu — le montant, le commerçant, la nature de l'opération. C'est pour cette raison qu'un escroc vous presse de le lire vite, ou vous explique à l'avance qu'il faut « ignorer le libellé, c'est une erreur d'affichage ». Lire le SMS en entier, calmement, suffit à faire tomber la plupart de ces appels.

Les trois prétextes qui reviennent

Le faux conseiller bancaire présente le code comme un « code d'annulation » d'une opération frauduleuse en cours. C'est le scénario le plus fréquent et le plus coûteux : il n'existe aucun code d'annulation, et bloquer une carte ne demande jamais que vous communiquiez quoi que ce soit.

L'acheteur d'une petite annonce demande un code « pour vérifier que l'annonce est authentique » ou « pour valider le paiement ». Il est en réalité en train de créer un compte, de valider un paiement ou de rattacher votre numéro à un service, avec votre code comme signature. Aucune plateforme sérieuse ne fonctionne ainsi.

Le faux support technique enfin — opérateur, service de livraison, plateforme de vente — annonce un problème sur votre compte et fait valider une « vérification de sécurité ». Là encore, un service légitime déclenche ses propres vérifications, il ne vous demande pas de lui lire le résultat.

La règle, et elle n'a pas d'exception

Un code reçu par SMS ne se communique à personne. Ni à votre banque, ni à la police, ni à un service client, ni à un proche, ni à un acheteur. Aucune organisation légitime n'a besoin de ce code, parce que celui qui déclenche l'opération est le seul à devoir le saisir — et si ce n'est pas vous, l'opération n'est pas la vôtre.

L'intérêt de cette règle est qu'elle vous dispense de juger l'histoire. Vous n'avez pas à décider si l'interlocuteur a l'air compétent, si le numéro affiché est le bon, si le scénario est plausible. Dès qu'on vous demande ce code, quel que soit l'emballage, l'appel est frauduleux.

La même logique vaut pour les notifications de validation dans l'application bancaire, qui remplacent progressivement les SMS. Ne validez jamais une notification pendant que quelqu'un vous parle : lisez le montant et le bénéficiaire affichés, et refusez si vous n'êtes pas à l'origine de l'opération.

Le cas particulier de la carte SIM

Un scénario plus rare mérite d'être connu, parce qu'il contourne tout le reste : le détournement de carte SIM. L'escroc obtient de votre opérateur le transfert de votre numéro vers une carte qu'il détient, en se faisant passer pour vous. À partir de là, il reçoit lui-même vos codes, et n'a plus besoin de vous les demander.

Le symptôme est net et ne trompe pas : votre téléphone perd tout réseau sans raison, alors que les autres lignes du foyer fonctionnent. Si cela se produit sans explication, appelez votre opérateur depuis un autre téléphone immédiatement — chaque heure compte, car votre banque enverra ses codes à l'escroc.

La protection principale consiste à ne pas s'appuyer uniquement sur le SMS pour vos comptes sensibles. Une application d'authentification ou une clé physique reste liée à votre appareil, et ne suit pas votre numéro.

Si vous avez déjà dicté un code

Appelez votre banque immédiatement, par le numéro figurant au dos de votre carte, et faites opposition. Précisez qu'un code de validation a été communiqué : cela déclenche un traitement différent d'une simple perte de carte, notamment la vérification des bénéficiaires récemment ajoutés.

Vérifiez ensuite ce qui a réellement été signé : nouveaux bénéficiaires sur votre compte, appareils connectés à votre banque en ligne, cartes enregistrées dans des portefeuilles. Retirez tout ce que vous ne reconnaissez pas, et changez le mot de passe de votre banque et de votre messagerie.

Déposez plainte et conservez la chronologie précise — heure de l'appel, heure de réception du SMS, heure du signalement. Une opération de paiement non autorisée doit en principe être remboursée, et la rapidité de votre signalement pèse lourd si la banque invoque une négligence grave.

FAQ

Ma banque peut-elle me demander ce code au téléphone ?

Jamais, dans aucune circonstance. Le code sert à valider une opération que vous seul déclenchez ; un conseiller a déjà accès à votre dossier et n'en a aucun usage. Si on vous le demande, l'appel est frauduleux, quel que soit le numéro affiché.

J'ai reçu un code sans rien avoir demandé, dois-je m'inquiéter ?

Cela signifie que quelqu'un tente une opération en votre nom — le plus souvent avec un mot de passe déjà en sa possession. Ne le communiquez à personne, et changez immédiatement le mot de passe du service concerné. Si les codes se répètent, prévenez le service et votre banque.

Un acheteur me demande un code pour valider notre transaction, est-ce normal ?

Non. Aucune plateforme d'annonces n'exige qu'un vendeur communique un code reçu par SMS. Ce code sert en général à créer un compte à votre nom ou à valider un paiement au bénéfice de l'acheteur. Refusez et signalez le profil.

Le SMS ne dit pas à quoi sert le code, que faire ?

Considérez qu'il valide quelque chose d'important. Un libellé absent ou volontairement vague est fréquent chez les petits services, mais c'est aussi ce que l'escroc espère. En cas de doute, connectez-vous vous-même au service concerné pour voir ce qui est en attente.

L'authentification par SMS est-elle fiable ?

Elle vaut beaucoup mieux que rien, mais c'est la moins solide des méthodes : elle est vulnérable au détournement de carte SIM et à la manipulation par téléphone. Pour vos comptes les plus sensibles, une application d'authentification ou une clé physique offre une protection nettement supérieure.

Sources

Prêt à essayer ?

Télécharger Allociao