Vishing Crédit Mutuel : « tentative de fraude » et urgence virement

Pourquoi Grand Est et Bretagne

Le Crédit Mutuel a une structure de fédérations régionales qui en fait une banque très implantée dans certaines zones géographiques précises : Grand Est et Bretagne historiquement, plus l'Alsace-Lorraine. Cette concentration géographique est précisément ce que les attaquants exploitent sur la vague de vishing observée à partir du 11 mai 2026 : ils ciblent ces régions parce que la pénétration Crédit Mutuel y est forte, donc le taux de touches utiles est plus élevé qu'en composant des numéros au hasard.

C'est la même mécanique vishing-virement-securite déjà documentée sur Crédit Agricole et Boursorama, avec adaptation aux interfaces et vocabulaire Crédit Mutuel.

Le scénario d'attaque

1. Appel d'un numéro qui spoofe parfois celui de l'agence locale : détail qui rend l'appel troublant pour la victime qui voit s'afficher un numéro qui ressemble à celui de son agence
2. L'attaquant se présente comme conseiller de l'agence (parfois en citant le nom du vrai conseiller, info récupérée via OSINT : commentaires Google Maps, mentions LinkedIn d'employés) ou du « service fraude national »
3. Il évoque une tentative de virement frauduleux détectée
4. Il guide la victime à valider un « virement de sécurisation » vers un compte tampon
5. Validation via carte Cryptocale ou app pro Crédit Mutuel : l'opération passe par l'authentification forte de la victime, et la banque refuse souvent de la rembourser

Quand l'attaquant connaît le nom du conseiller habituel ou le numéro d'agence en début d'appel, c'est généralement :

• Soit qu'il a fait du repérage public (les agences communiquent souvent les noms de leurs conseillers en ligne)
• Soit qu'il y a eu compromission préalable du compte de la victime (phishing antérieur), comme dans la variante Boursorama

Dans les deux cas, le réflexe à avoir est le même : raccrocher, rappeler l'agence sur le numéro existant.

Le Crédit Mutuel, comme toutes les banques, ne demandera jamais par téléphone de transférer des fonds vers un autre compte, quelle que soit l'urgence ou la raison invoquée. Cette règle n'a pas d'exception.

Comment reconnaître

• Le spoofing du numéro d'agence est trivial techniquement : l'affichage ne prouve rien
• Tout virement validé via Cryptocale ou authentification forte de l'app est non remboursable par défaut, parce que la victime l'a validé elle-même
• Si on te demande de valider quoi que ce soit pendant un appel : raccroche
• Rappelle ton agence via le numéro imprimé sur les documents que tu as déjà (carte bancaire, RIB, courriers)

Que faire si concerné

• Raccroche, ne valide rien
• Si virement parti : appelle ton agence immédiatement pour tenter un rappel SEPA (fenêtre utile : 1-4 heures)
• Conserve tous les éléments (numéro appelant exact, horodatage, captures, historique d'opérations sur l'app)
• Dépôt de plainte rapide au commissariat
• Signale-le aussi sur Cybermalveillance.gouv.fr, qui oriente les victimes vers les bons recours

Organismes cités

Ces liens mènent à la page d'accueil de chaque organisme, pas au bulletin ni à l'article qui atteste cette campagne.

• Cybermalveillance.gouv.fr : Vishing
• Banque de France