Vishing « faux conseiller Crédit Agricole » : technique du virement de sécurité

Qu'est-ce qui se passe

« Madame, je suis du service fraude du Crédit Agricole. Nous avons détecté une tentative de virement de 4 320 € sur votre compte vers la Lituanie. On va sécuriser vos fonds tout de suite, vous validez la mise à l'abri sur votre application. »

Cette phrase (ou une variante) est le déclencheur. Plusieurs signalements convergents remontent à partir de mi-mai 2026, dans des régions où le Crédit Agricole a une forte densité d'agences (Grand Ouest, Centre, Auvergne). La technique elle-même n'est pas nouvelle, mais cette vague se distingue par la qualité des informations préalables collectées sur les victimes.

Comment ça marche

Trois facteurs rendent cette attaque exceptionnellement dommageable :

1. Information préalable : l'attaquant connaît souvent le nom de la victime, son agence, parfois le solde approximatif et le nom du conseiller habituel. Ces données viennent d'un phishing préalable (fuite d'identifiants bancaires) ou d'une fuite de base de données récente
2. Validation par dispositif d'authentification fort : SecuriPass dans le cas du Crédit Agricole. Le « virement de sécurisation » est validé par la victime elle-même via empreinte ou code, ce qui permet à la banque de contester le remboursement
3. Compte mule étranger, souvent Lituanie, Estonie, Pays-Bas via comptes e-money. Les fonds repartent vite vers d'autres comptes, et un rappel du virement devient de plus en plus difficile avec le temps

C'est le pattern vishing-virement-securite typique. Variantes identiques observées cette semaine sur Boursorama et Crédit Mutuel : il s'agit visiblement du même mode opératoire diffusé sur les principales enseignes françaises.

Une fois SecuriPass validé, la banque considère que tu as ordonné le virement. Obtenir un remboursement devient alors difficile, même devant le médiateur.

Comment reconnaître

• Aucune banque ne demandera jamais par téléphone de transférer des fonds, quelle que soit l'urgence
• Le vrai service fraude bloque côté banque, il ne passe pas par toi
• Si on te demande de valider sur SecuriPass / clé / passkey pendant l'appel : raccroche
• Le spoofing du Caller ID peut afficher un numéro qui ressemble à celui de ta banque : cette info ne prouve rien

Que faire si concerné

1. Raccroche. Aucune urgence ne justifie de valider quelque chose sous pression téléphonique
2. Rappelle ton agence via le numéro imprimé au dos de ta carte bancaire (jamais le numéro qui t'a appelé, jamais via une recherche Google qui peut tomber sur un faux site)
3. Si le virement a été validé : alerte la banque dans la première heure ; c'est ta seule fenêtre de tentative de rappel
4. Dépôt de plainte au commissariat avec tous les éléments (numéro appelant, horodatage, montant)
5. Saisine du médiateur bancaire si la banque refuse de rembourser : l'argument du « consentement éclairé » a été rejeté plusieurs fois en commission dans des cas similaires en 2025-2026

Organismes cités

Ces liens mènent à la page d'accueil de chaque organisme, pas au bulletin ni à l'article qui atteste cette campagne.

• Cybermalveillance.gouv.fr : Vishing
• Banque de France