Cyberattaque et fuite d'IBAN : quels risques pour les abonnés de Free ?

Les risques potentiels liés à un IBAN volé

Un IBAN volé, bien qu'il ne permette pas de réaliser des paiements directs, peut être utilisé à des fins malveillantes. Voici les principaux risques :

Prélèvements non autorisés : Un escroc pourrait tenter de débiter votre compte par le biais d'un prélèvement frauduleux, bien que votre banque doive normalement vérifier les mandats. Jean-Jacques Latour explique :
La seule chose que l’on peut faire avec un IBAN, c’est un prélèvement SEPA. Un prélèvement contre lequel on peut faire opposition. Ce qui peut effrayer, c'est que ce n'est pas à vous de le dire à la banque. C'est le créancier qui contacte la banque avec comme preuve, un IBAN.
De plus, il existe des risques de prélèvements non autorisés si l'escroc parvient à falsifier un mandat de prélèvement SEPA. En effet, même si un IBAN seul ne suffit pas, associé à d'autres données, il devient un outil puissant pour effectuer des fraudes complexes.
Usurpation d'identité : Avec des informations complémentaires comme le nom, l'adresse, le numéro de téléphone et la date de naissance, un fraudeur peut usurper votre identité pour se faire passer pour vous. Cela peut inclure des tentatives de se faire passer pour vous auprès d'organismes bancaires, des services publics ou même de votre employeur pour détourner votre salaire. Comme l'indique Jean-Jacques Latour : "Les données volées peuvent légitimer une campagne d'hameçonnage, rendant les escroqueries plus crédibles. L'escroc peut confirmer des informations telles que votre numéro de compte ou date de souscription, vous mettant en position de faiblesse."
Arnaques par hameçonnage (phishing) : Les escrocs utilisent vos données personnelles pour rendre leurs arnaques plus crédibles. Par exemple, un faux conseiller bancaire pourrait vous contacter en prétendant avoir vos informations de compte et demander des confirmations sensibles. Jean-Jacques Latour ajoute que "les arnaques par hameçonnage deviennent plus convaincantes lorsque l'escroc dispose de détails personnels". Guillaume Almeras, fondateur de Score Advisor, précise également que "le RIB ou l'IBAN ne sont pas des moyens de paiement. On ne peut rien décaisser sans l'autorisation du propriétaire du compte", mais il reconnaît que les fraudeurs pourraient imiter des signatures ou obtenir des informations supplémentaires pour contourner les mesures de sécurité habituelles.
Utilisation dans le blanchiment d'argent : Les IBAN volés peuvent être utilisés dans des réseaux de blanchiment d'argent, en liant les comptes volés à des transactions frauduleuses. Cela pourrait entraîner des enquêtes sur des activités suspectes, qui, même si elles sont résolues, peuvent causer du stress et des complications administratives importantes pour les victimes.

Que faire si vous constatez un prélèvement suspect ?

Si vous remarquez un prélèvement inconnu, contactez immédiatement votre banque et rendez-vous à la police pour porter plainte. Conformément aux articles L133-24 et L133-18 du code monétaire et financier, votre banque est obligée de vous rembourser si le prélèvement n'était pas autorisé. Vous avez jusqu'à 13 mois pour contester un débit non autorisé. De plus, la Fédération Bancaire Française (FBF) recommande de surveiller de près toute activité suspecte, car un remboursement doit être effectué sans condition dans un délai de huit semaines pour les prélèvements autorisés.

Le remboursement des prélèvements est sans condition dans un délai de huit semaines, indépendamment de l’existence ou non d’un mandat de prélèvement
explique la FBF.

Cela montre l'importance de contester rapidement toute opération douteuse.

Comment se protéger contre ces fraudes ?

Pour minimiser les risques de vol d'IBAN, voici quelques précautions à prendre :

Ne partagez jamais vos informations bancaires via des emails non sécurisés ou sur des plateformes douteuses.
Souscrivez aux alertes de transaction fournies par votre banque, afin de surveiller chaque mouvement sur votre compte.
Contactez votre banque pour mettre en place des listes noires pour les créanciers non autorisés, et autoriser seulement les créanciers connus sur une liste blanche.
Sécurisez votre messagerie avec un mot de passe complexe et, si possible, activez une double authentification.
Utilisez des méthodes de paiement plus sécurisées comme Paylib, qui limite l'exposition de vos informations bancaires en garantissant une meilleure confidentialité des données. En utilisant des systèmes de paiement sans partage d'IBAN, vous réduisez drastiquement le risque de fuite de vos informations sensibles.
Vérifiez toujours les expéditeurs d'emails et ne cliquez jamais sur des liens suspects. En cas de doute, contactez directement l'organisme concerné en utilisant des numéros de téléphone officiels. Les tentatives de phishing sont souvent la porte d'entrée pour les escroqueries plus complexes.

La position de la FBF et les garde-fous existants

Selon la Fédération Bancaire Française (FBF), les clients peuvent contester tout prélèvement non autorisé sous certaines conditions. Pour un prélèvement SEPA non autorisé, la banque doit procéder au remboursement dans un délai de 13 mois. Même un prélèvement autorisé peut être contesté dans les huit semaines suivant sa réalisation, la banque ayant alors dix jours pour agir.

"Le remboursement des prélèvements est sans condition dans un délai de huit semaines, indépendamment de l’existence ou non d’un mandat de prélèvement" , explique la FBF.

Cela montre l'importance de contester rapidement toute opération douteuse. La FBF rappelle également que les banques ont l'obligation de signaler à leurs clients tout prélèvement suspect ou inattendu, particulièrement lorsque des données sensibles, telles que des IBAN, sont impliquées dans des incidents de cybersécurité.

Les "limites" des escrocs

Jean-Jacques Latour, directeur de l'expertise cybersécurité à Cybermalveillance.gouv.fr, souligne que, sans vos informations bancaires complètes et sans mots de passe, les escrocs ont des capacités limitées. Le principal risque reste le phishing, où les escrocs se servent de vos informations pour se faire passer pour des acteurs légitimes et vous tromper. Il ajoute que souvent :

"celui qui est spécialisé dans le vol n’est pas celui qui est spécialisé dans l’escroquerie"

Cela signifie que les données volées peuvent être revendues sur le marché noir à d'autres criminels qui se spécialisent dans la fraude. Les pirates, dans un premier temps, volent des données qu'ils ne savent pas forcément exploiter. Ces données sont ensuite mises en vente sur des plateformes de la cybercriminalité où des spécialistes en fraude achètent et utilisent ces informations pour des campagnes d'hameçonnage ou d'autres escroqueries financières.

Le marché noir des données volées

Selon les experts, après une cyberattaque, des plateformes illégales, souvent appelées le "Amazon de la cybercriminalité", voient une augmentation du volume de données personnelles mises en vente. Jean-Jacques Latour précise que les hackers cherchent à améliorer leur réputation en vendant ces données ou parfois même en les offrant si elles ne trouvent pas preneur. Il ajoute que les informations volées peuvent se retrouver dans des bases de données circulant pendant des années :

"Il faut bien se rendre compte qu'avec le nombre de fuites de données qu’il y a pu y avoir ces derniers mois, ça fait sûrement longtemps que l’IBAN est dans la nature. Nom, prénom, numéro de téléphone, adresse mail… Tout ça, ça circule depuis un bout de temps. Vous avez 9 chances sur 10 d’y être confronté."

Ce commerce de données volées alimente tout un écosystème criminel. Les escrocs qui achètent ces informations ne sont souvent pas ceux qui les ont volées initialement, mais leur utilisation est particulièrement dangereuse car ils ont l'expertise nécessaire pour arnaquer les victimes.

"Celui qui est spécialisé dans le vol n’est pas celui qui est spécialisé dans l’escroquerie", rappelle Jean-Jacques Latour.

Si vous avez été victime de la fuite d'IBAN chez Free :

Sachez que les risques existent mais peuvent être contrôlés. La vigilance est de mise, notamment en surveillant vos comptes et en prenant des mesures préventives. Rappelez-vous que votre banque a des obligations de remboursement en cas de fraude. Soyez attentif, ne partagez pas vos informations et contestez toute opération suspecte sans tarder.

"la clé est de rester vigilant face au risque d'e-mails, SMS ou appels frauduleux, car même si les escrocs sont limités sans mots de passe, ils peuvent se montrer très persuasifs." comme l’a précisé Jean-Jacques Latour.

Prenez au sérieux toute tentative de contact non sollicitée, et utilisez les outils de sécurité que mettent à disposition les banques pour mieux protéger vos données sensibles.