Faux SMS La Banque Postale : l'achat Western Union qui n'existe pas

Ce que nous voyons arriver depuis le 7 août

Entre le 7 et le 18 août 2026, dix personnes nous ont signalé le même SMS. Toutes sont clientes de La Banque Postale. Toutes décrivent un message annonçant un achat sur le site Western Union qu'elles n'ont jamais effectué, et un numéro à appeler pour l'annuler.

Le numéro de rappel est le même dans la quasi-totalité des cas : le 09 72 17 62 02, présenté dans le SMS comme un « appel non surtaxé ». À lui seul, il totalise douze signalements sur cette même quinzaine. Un second numéro, le 09 70 18 34 32, sert la même opération.

Les numéros qui envoient les SMS, eux, changent en permanence. Nous avons relevé le 07 43 92 74 56, le 07 43 96 87 83 et le 07 43 94 04 39, tous actifs dans la même quinzaine. C'est une organisation classique : on brûle les émetteurs, on garde la ligne d'accueil.

Le texte exact du message

Voici la structure du SMS, reproduite à partir de plusieurs signalements et vidée de toute donnée personnelle : « La Banque Postale : Le code pour valider votre achat de 611,48 EUR sur le site Western Union est 65328739. Débit sur le CCP de [votre nom] : ***0835145. Si ce n'est pas vous, contactez immédiatement le 09.72.17.62.02 (appel non surtaxé) ».

Les montants observés vont de 314,47 € à 954,50 €. Ils ne sont jamais ronds, et jamais assez élevés pour paraître absurdes. C'est délibéré : un montant précis se lit comme une vraie écriture comptable, là où un chiffre rond éveille le soupçon.

Notez le mot CCP, pour compte chèque postal. C'est le vocabulaire interne de La Banque Postale. Les auteurs ne se sont pas contentés d'un modèle générique, ils ont adapté le lexique à l'établissement visé.

Pourquoi ce message est si convaincant

Parce qu'il contient des choses vraies. Plusieurs personnes nous ont signalé que le SMS affichait leur nom et prénom ainsi que les derniers chiffres de leur numéro de compte.

Quand un message connaît votre nom et une partie de votre numéro de compte, votre cerveau conclut en une fraction de seconde qu'il vient forcément de votre banque. Ce raisonnement est sain. Il est même juste dans l'immense majorité des situations de la vie courante. C'est exactement pour cela qu'il est exploité.

Nous insistons sur ce point, parce qu'il compte plus que tout le reste : si vous avez rappelé ce numéro, ce n'est pas par manque de vigilance. C'est parce qu'on vous a montré des informations que vous pensiez, à raison, réservées à votre banque. Les personnes derrière ces campagnes sont organisées, outillées et entraînées. Se faire piéger n'a rien à voir avec l'intelligence.

Le détail qui trahit tout, et il est unique

Il y a un élément, et un seul, qui suffit à trancher sans rien examiner d'autre : le numéro à rappeler dans le message.

Une banque ne vous demande jamais de la rappeler sur un numéro fourni dans un SMS. Jamais. Si une opération suspecte est détectée sur votre compte, on vous demande de vous connecter à votre application ou d'appeler le numéro qui figure au dos de votre carte bancaire, celui que vous possédez déjà.

Le numéro glissé dans le message est le cœur du dispositif. Tout le reste, le nom, le montant, le code, les quatre chiffres du compte, n'est là que pour vous amener à le composer. Si vous retenez une seule chose de cet article : ne rappelez jamais un numéro communiqué dans un message d'alerte, même si tout le reste semble authentique.

L'heure d'envoi n'est pas un hasard

Un signalement du 9 août mentionne un SMS reçu à 21 heures. D'autres décrivent des appels reçus en soirée, y compris un jour férié.

Ce choix est calculé. Le soir et les jours fériés, votre agence est fermée et votre conseiller injoignable. Vous ne pouvez pas vérifier. Le seul numéro disponible pour dissiper votre angoisse est celui que l'escroc vous a fourni, et il décrochera, lui, immédiatement.

Si vous recevez ce type de message en dehors des heures ouvrées, considérez cette heure comme un signal d'alerte à part entière et non comme un détail. L'urgence apparente est une construction. Rien ne vous oblige à agir dans la minute, et attendre le lendemain matin pour appeler votre vraie banque ne vous fera jamais perdre d'argent.

Ce qui se passe si vous appelez

Une personne qui a composé le numéro nous décrit être tombée sur « une sorte de plateforme ». Le décor est soigné : musique d'attente, annonce vocale, interlocuteur calme et rassurant.

À partir de là, le scénario se déroule toujours de la même manière. Votre interlocuteur confirme l'opération frauduleuse, vous félicite d'avoir réagi vite, puis vous explique qu'il faut « sécuriser » votre compte. Il vous demandera un code reçu par SMS, ou de valider une opération dans votre application, ou de transférer vos fonds vers un compte présenté comme protégé.

Ce compte de sécurité n'existe pas. Aucune banque n'en propose. Et le code qu'on vous demande de dicter est précisément celui qui autorise le virement que vous croyez empêcher. Vous n'annulez pas une fraude, vous la validez.

Les signaux qui doivent vous arrêter

• Un numéro à rappeler fourni dans le message lui-même.
• Un message reçu le soir, le week-end ou un jour férié, quand votre banque est fermée.
• Un montant précis et non rond, associé à un marchand que vous ne connaissez pas.
• Une demande de code reçu par SMS, quel que soit le motif avancé.
• La mention d'un compte de sécurité ou d'un compte tampon vers lequel virer vos fonds.
• Un interlocuteur qui vous demande de ne pas raccrocher ou de ne pas contacter votre agence.

Le bon réflexe, en trois gestes

Premièrement, ne rappelez pas le numéro du message. Raccrochez si vous êtes déjà en ligne, même si cela vous semble impoli. Un vrai conseiller ne s'en offusquera jamais.

Deuxièmement, appelez vous-même le numéro figurant au dos de votre carte bancaire, ou passez par votre application. Vous verrez immédiatement si une opération est réellement en attente. Dans les dix cas que nous avons reçus, aucune opération n'existait.

Troisièmement, transférez le SMS au 33700, sans rien y ajouter. C'est le service d'alerte des opérateurs, et c'est ce qui permet de faire couper le numéro émetteur. Cela prend dix secondes et cela protège les suivants.

Si vous avez déjà donné un code ou de l'argent

Respirez. L'ordre des démarches compte davantage que la vitesse, et vous n'êtes pas seul dans cette situation.

Appelez votre banque et demandez immédiatement le blocage et la contestation. Invoquez l'article L133-18 du code monétaire et financier : il prévoit le remboursement d'une opération de paiement non autorisée, sauf si l'établissement démontre une négligence grave de votre part. Le fait d'avoir été trompé par un message imitant la banque n'est pas, en soi, une négligence grave, et la Cour de cassation l'a confirmé. Nous détaillons la marche à suivre et les formulations qui font céder un refus dans notre guide sur le remboursement après une fraude bancaire. Demandez tout refus par écrit.

Déposez ensuite plainte en ligne sur THESEE, la plateforme dédiée aux escroqueries commises par internet ou par téléphone. Pour une fraude à la carte bancaire alors que vous avez toujours votre carte, utilisez Perceval. En cas de doute sur le bon interlocuteur, 17Cyber vous oriente.

Une précision qui fait gagner des semaines : Pharos ne traite pas les escroqueries, seulement les contenus illicites. C'est l'erreur d'aiguillage la plus fréquente.

Pourquoi La Banque Postale, et pourquoi maintenant

Soyons honnêtes sur les limites de ce que nous savons. Nous ne pouvons pas dire d'où viennent les noms et les fragments de numéros de compte utilisés dans ces SMS. Nous n'avons aucun élément permettant de les rattacher à une fuite précise, et nous nous garderons d'en inventer une.

Ce que nous constatons, en revanche, est net : la campagne cible un établissement unique, emploie son vocabulaire interne, et dispose de données nominatives partiellement exactes. Cela suppose un fichier, quelle qu'en soit l'origine.

Ce que nous pouvons affirmer, c'est que la vague est active au moment où nous écrivons. Le dernier signalement nous est parvenu le 18 août. Le numéro de rappel fonctionnait encore.