🛡️ Vol de données : IBAN Que peut on faire avec ? - Autres arnaques - Recours

[Parisien_entraide]

2024-10-24_100515.png

De plus en plus dans les vols de données il est fait état de la fuite de l'IBAN, présenté comme un risque. Qu'en est il vraiment ?




1) L'IBAN, QUE PEUT ON FAIRE AVEC UN IBAN VOLE ? SCENARIOS

2) GARDE-FOUS, RECOURS, CONSEILS

3) CONSEILS-PREVENTION - PORTER PLAINTE

4) DEMONSTRATION SUITE AU VOL

5) Arnaque : Vague massive de faux conseillers bancaires en lien avec la fuite de données FREE dont IBAN





_________________________________________________________________________________________________

L'IBAN C' EST QUOI ?


Pour définir ce qu'est un IBAN, il convient de comprendre ce qu'est un RIB.
Le RIB, ou Relevé d'Identité Bancaire, est un document fourni essentiellement par votre banque et contenant toutes les informations indispensables pour identifier votre compte bancaire.
Cela inclut : votre nom et prénom, votre adresse postale, le nom de votre banque, votre numéro de compte et surtout, votre IBAN.

Un IBAN c'est un numéro de compte bancaire international (International Bank Account Number) qui est utilisé pour les paiements internationaux et nationaux en Europe et dans le monde.
L'IBAN identifie à la fois un numéro de compte et l'agence auquel il est rattaché

L'IBAN simplifie ainsi les virements ou les prélèvements faits de compte à compte, tant au sein d'un même pays comme pour une opération sur un compte détenu dans une banque d'un autre pays.

Autres détails à : https://fr.wikipedia.org/wiki/Internati ... unt_Number



FONCTIONNEMENT

Le texte qui régit la chose
https://eur-lex.europa.eu/legal-content ... 1e892-22-1

En image :

sepa.jpg

QUE PEUT ON FAIRE AVEC UN IBAN VOLÉ ?


Un IBAN seul (ou un RIB) , ne suffit pas pour vous prélever de l'argent.
En fait, on ne peut QUE créditer votre compte, pas le débiter

En effet il faut un mandat de prélèvement SEPA, c'est-à-dire une autorisation signée par la personne débitée.

Pour l’avocate Hélène Lebon, il faut bien voir que ce type de données est « mieux protégé, techniquement et légalement, que beaucoup d’autres. Elles sont mieux protégées que des données de santé par exemple ».
https://www.helenelebon-avocat.fr/actua ... blications

Par essence, les banques sont habituées à veiller sur des éléments sensibles : protéger les fonds de leurs clients est le cœur de leur activité. Le problème, continue l’avocate, est « qu’on ne s’en rend pas forcément compte, mais nos données bancaires se retrouvent dans énormément d’endroits.
Dès que l’on accepte le prélèvement automatique pour des factures d’électricité ou de gaz, on leur soumet nos IBAN. On les envoie aussi à nos employeurs, à différentes entreprises et prestataires, aux impôts, à la CAF, etc… »

Or, il est impossible de s’assurer de la sécurité de tous ces interlocuteurs. Pour pallier cette fragilité, la loi se fait très protectrice de l’usager, indique Hélène Lebon.

Source : https://next.ink/1394/quels-risques-pos ... bancaires/





ALORS QUELS SONT LES RISQUES ?


Des personnes mal intentionnées en possession de votre RIB ou IBAN, AINSI que d’autres coordonnées personnelles, peuvent utiliser ces informations pour usurper votre identité et réaliser une fausse autorisation de prélèvement en imitant votre signature.
Il faut AUSSI qu'elles récupèrent votre code SMS d'authentification (procédure 2FA) que la banque envoie afin de finaliser une opération de prélèvement.

Ainsi, elles peuvent souscrire à des abonnements auprès de nombreux tiers, prestataires de services (Sociétés de crédits par ex), tels que les fournisseurs d'énergie ou les télécoms qui sont en mesure d'effectuer des prélèvements automatiques sur votre compte bancaire en utilisant votre IBAN
-----------------------------

!	Comme on le voit, cela fait quand même pas mal de conditions, mais les prélèvements bancaires via SEPA sont du domaine du possible et/ou arnaques. Il y a cependant des garde fous et recours - Voir les autres sujets plus bas

----------------------------------

Généralement, la personne malveillante n'a pas toutes les infos vous concernant, c'est pour cela qu'elle essaiera soit d'usurper votre signature, soit de vous contacter par mail ou téléphone pour du complément d'information ou de tenter une autre procédure d'arnaque, puisque le but est de vous voler de l'argent

Là le problème c'est que l'arnaque n'est plus du ressort des banques : il est de l’ordre de la manipulation de la personne elle-même.
Néanmoins la loi, la jurisprudence protège le consommateur et même dans ces cas de figure, sous condition, l'établissement bancaire est obligé de rembourser (voir partie "Recours")
Pire encore pour leur responsabilité si vous avez fourni une liste blanche des organismes autorisés à prélever (voir la partie "Conseils")




SCENARIO :

Avec un IBAN ET les autres informations volées on peut créer un mail de phishing (hameçonnage) qui contiendra:

- Le vrai nom et prénom de la personne (normalement rassurant)
- Le bon logo et charte graphique de la banque du client
- L'adresse et le numéro de téléphone de l'agence la plus proche (pour faire encore plus vrai)

Ce mail, peut être envoyé par la personne malveillante à l'organisme avec lequel elle souhaite négocier un abonnement/Prélèvement
Mais elle peut etre AUSSI envoyée à la cible, avec des demandes de complément(s), pour récupérer des informations manquantes afin de vous soutirer de l'argent (Vol sur le compte bancaire)
Dans les techniques plus sophistiquées, surtout si vous être ciblé et considéré comme "intéressant" il y a la technique du VISHING (voir ci dessous)

Des informations peuvent AUSSI être demandée par SMS, avec toujours en ligne de fond, cette notion d'urgence pour faire paniquer la personne qui le reçoit
On parle de SMISHING, mais en fait de base c'est en lien avec de l'ingénierie sociale, surtout si le malveillant dispose d'éléments personnels vous concernant
https://www.malekal.com/attaque-ingenierie-sociale/ (Technique de base qui sert pour différents types d'arnaques)




AUTRE SCENARIO, AUTRE ARNAQUE AVEC OU SANS IBAN

Autre scénario avec ou sans IBAN, la personne malveillante peut essayer d'obtenir plus d'informations, ou procéder à un hameçonnage téléphonique par une personne qui se fera passer pour votre conseiller bancaire (Vishing)

Cas concret
https://www.leparisien.fr/economie/jai- ... 4ZAHFE.php

parisien.jpg

Que faire ? https://www.cybermalveillance.gouv.fr/t ... r-bancaire


Comme on le voit, il faut une intervention de la cible qui doit se connecter sur son espace personnel bancaire et fournira ensuite les identifiants bancaires et les codes d' application (voire dans certains cas en y ajoutant le numéro de carte bancaire et code)
Dans certaines arnaques très ciblées (personnes âgées) cela va même à l'intervention de faux policiers envoyés à domicile pour récupérer la carte bancaire qui aurait fait l'objet d'un vol, après l'appel du faux conseiller

Donc le vol, n'est pas automatique lorsque la personne malveillante ne dispose pas de tous les renseignements ou même si elle en dispose (il peut manquer une adresse mail spécifique, et/ou le numéro de téléphone pour la protection 2FA ou la signature)

Le but est de faire faire croire que des opérations frauduleuses sont justement en cours, jouer sur l’urgence de la situation et offrir aux victimes une solution rassurante.
L’étape cruciale étant de pouvoir contourner les dispositifs de sécurité, qu’ils soient par SMS ou sur l’application bancaire, pour éviter la double identification et valider leurs vols.

Néanmoins si on prend cet exemple du "fake call" pour du vishing, qui date quand même de 2022, les personnes qui téléchargent des .apk, piratent des jeux android etc peuvent se faire avoir
https://www.kaspersky.com/blog/fakecall ... jan/44072/
Il faut savoir que depuis 2022, il a été ajouté plus de 200 établissements bancaire, que le malware s'est grandement perfectionné
Cela n'a été découvert QUE parce que Kaspersky s'est intéressé à la Corée du Sud
Comme il est dit dans des analyses plus récentes,
Ex même si partiel: https://www.bleepingcomputer.com/news/s ... attackers/
il suffit d'adapter le package du kit à des langues étrangères, en clonant également les interfaces bancaires du pays
Pour l'instant cela n'existe pas en France (Du reste est ce possible ?) , mais jusqu'à quand (aidé par l'IA) ?
Juste pour signifier que les dangers sont partout



Les banques surtout depuis début septembre font tout pour prévenir les usagés de leur réseau
Exemple avec LCL, avec en plus un lien explicatif
Fraude Vishing : https://www.lcl.fr/securite/fraude-vishing

2024-10-25_160733.png

PLUS RARE

La tentative de SIM swap, (Rare parce que les opérateurs téléphoniques sont maintenant rodés à ce type d'arnaque)
Cette dernière fraude permet à l'usurpateur de récupérer le numéro et la ligne d'un client et de l'associer à un nouveau téléphone. Le pirate informatique aura donc accès à la messagerie, aux réseaux sociaux, aux applications bancaires ou encore aux plateformes de paiement des personnes arnaquées.
En France depuis 2019 les opérateurs disposent d'outil anti fraude pour y faire face (A l'époque ce n'était pas le cas de FREE, mais je ne sais ce qu'il en est actuellement)
Voir ce sujet dont avec un lien explicatif à la fin sur le Sim swap sur le site malekal
viewtopic.php?t=72036

Il faut savoir que les opérateurs Orange, Free, SFR et Bouygues Telecom se sont associés pour lutter contre la fraude en ligne, DONT les arnaques à la carte SIM.
C'est attendu pour le début 2025,

Je cite
"Orange, Free, SFR et Bouygues Telecom ont rejoint le GSMA Open Gateway, une initiative lancée par la GSMA (l’association qui représente les intérêts des opérateurs mobiles à travers le monde).
Cette initiative vise à standardiser l’accès aux services de réseaux télécoms via des API ouvertes. Elles doivent permettre à des développeurs ou des entreprises de se connecter facilement à des services fournis par les opérateurs.

Dans le cadre de cette initiative, les quatre opérateurs français ont mis au point deux outils destinés à lutter contre la fraude en ligne et le vol d’identité. Destinées à la France, ces deux interfaces de programmation d’application (APIs) doivent empêcher les cybercriminels d’orchestrer des attaques qui usurpent l’identité d’un utilisateur en exploitant des informations liées à leur numéro de téléphone ou à leur compte mobile, comme les arnaques à la carte SIM.
Elles ont été mises au point avec plusieurs institutions financières, dont BforBank et Fortuneo.
(...)

(...) Les télécoms vont aussi lancer SIM Swap, une API censée lutter contre les escroqueries à la carte SIM. La fraude consiste à déplacer votre numéro de téléphone sur une autre carte SIM, permettant ainsi au cybercriminel de recevoir et d’envoyer des SMS en se faisant passer pour vous. Elle repose sur des données personnelles compromises, détenues par les cybercriminels à la suite de fuites.(...)

La suite sur ;:https://www.01net.com/actualites/arnaqu ... raude.html




Normalement avec les nouvelles mesures de protections en lien avec la téléphonie, applicables depuis le 1 octobre 2024, , il n'est plus possible d'imiter le numéro d'appel de votre agence bancaire, du moins sur votre ligne téléphonique fixe
https://www.quechoisir.org/actualite-ar ... e-n131630/

Il ne reste que pour les malveillants que les appels en 06 ou 07 (téléphonie mobile) sur votre smartphone
Seulement, aucune agence bancaire ne vous appellera avec un numéro mobile

Se méfier des appels les week-ends ou le vendredi soir, ou en dehors des heures d'ouverture de votre agence bancaire, car les malveillants savent que vous ne pourrez pas effectuer une vérification auprès de votre banque

2024-10-24_133040.png

Si on prend l'exemple du vol de données chez FREE (Où tout n'est pas clair)

Vol de données chez FREE
viewtopic.php?p=560577#p560577


Nom,
Prénom,
Numéro Téléphone,
Adresse postale complète,
Date de naissance,
Email
et.. IBAN (dans un deuxième vol et dans un fichier à part)


En utilisant ces informations, des pirates pourraient mettre en place des attaques dites du faux conseiller.

Ils pourraient se faire passer pour des conseillers clients Free par exemple.

En effet, ces derniers pourraient prétexter un problème de prélèvement et demander un paiement immédiat par carte bancaire par téléphone ou email .
Il suffit de jouer sur l’urgence d’avoir la ligne téléphonique coupée, car par précaution ils ont suspendu les prélèvements automatiques


Ou tout simplement avertissant l'abonné par message ou appel téléphonique,
La personne mettra en avant le fait d avoir eu vos coordonnées à partir du vol d'informations, du vol de données et vous prévenir des conséquences
Le "bon samaritain" souhaitera vous... conseiller pour ne pas tomber dans les mains de malveillants, pour protéger vos données, votre compte bancaire, et en vous demandant des informations confidentielles dont celles liées... à votre compte bancaire...
Tout est possible, car les malveillants ne manquent pas d'imagination

[Parisien_entraide]

GARDE-FOUS



La banque est censée vérifier si la signature réalisée pour un mandat de prélèvement correspond à la vôtre.
Si elle ne l'a pas fait, vous pouvez vous retournez contre l'établissement et obtenir un remboursement
Il faudra ensuite bloquer le prélèvement.

La question qui se pose à présent est donc : comment les banques (la vôtre et celle du bénéficiaire du virement) contrôlent-elle que le mandat est OK ?


Certains établissement bancaires vous informe des nouveaux prélèvements via IBAN, d'autres ont des mesures qui leur sont propres (Depuis septembre 2024 les établissements bancaires ont renforcé les mesures de protection)
Lire : https://fr.m.wikipedia.org/wiki/Espace_ ... lit%C3%A9s
Par ex certains établissements renvoient un mail signalant une connexion à l’espace personnel lorsque celle-ci est faite depuis un lieu inhabituel
Mais cela ne dit pas tout...

Quelques exemples

Dans l'application BNP, une clé digitale est installée sur le martphone. Le prélèvement ne peut être autorisé que si on l'accepte personnellement
Là la banque se dédouane mais au moins on est prévenu

Idem à la Société Générale
Tout nouveau prélèvement doit être validé dans l’application.

Chez LCL la banque ne fait pas de contrôle sur un nouveau SEPA qui se présente.
Par contre on est averti des futurs prélèvements sur des SEPA existants.




Je cite (Extrait) https://info.signal-arnaques.com/bonnes ... ent-sepa/
Le contrôle des prélèvements en théorie
"Avant la mise en place des prélèvements SEPA en 2014, vous deviez envoyer un mandat de prélèvement à la fois à votre créancier et à votre banque. Mais SEPA a changé la donne : aujourd’hui, seul votre créancier dispose du mandat.
Votre banque doit donc s’en remettre aux informations données par la banque de celui qui requière le prélèvements pour décider si elle donnera ou non les fonds.

Or, lors d’une demande de prélèvement reçue par votre banque, le mandat correspondant n’est jamais transmis !
Cela veut donc dire que votre banque est dans l’incapacité de contrôler que vous avez bien donné une telle autorisation de prélèvement.
On pourrait pourtant imaginer qu’elle vous envoie un message de validation comme lors d’un paiement par carte en ligne.
On pourrait, oui. Mais ce n’est pas le cas aujourd’hui ! (Du moins pas toutes, mais cela est en train de changer)

Bref, le contrôle n’ayant pas lieu du côté de votre banque, on peut s’attendre à ce qu’il soit du côté du prestataire de paiement de celui qui fait le prélèvement.
C’est d’ailleurs ce que semble dire la réglementation européenne sur les prélèvements SEPA…

Le prestataire de services de paiements du bénéficiaire doit veiller à ce que le payeur donne son consentement à la fois au bénéficiaire et au prestataire de services de paiement du payeur

Exigences applicables aux opérations de virements et de prélèvements
https://eur-lex.europa.eu/legal-content ... 1e892-22-1



La réalité du contrôle en pratique…
Le texte dit donc bien que le prestataire de paiement (souvent la banque) de celui qui prélève doit contrôler que vous avez donné votre consentement au prélèvement. En pratique, ce contrôle s’avère tellement léger qu’il est pour ainsi dire inexistant. Une de nos sources du monde bancaire nous explique pourquoi :

Aujourd’hui, le contrôle se résume à faire lire ses obligations au créancier. On ne peut pas, en tant que banque, vérifier la légitimité de la personne signataire du mandat. On ne peut pas lui demander une pièce d’identité, ni vérifier sa signature.

Les contrôles se limitent donc à des mécanismes d’alerte qui reposent essentiellement sur la bonne volonté des acteurs de la chaîne de paiement. On peut par exemple penser à des contrôles statistiques pour détecter qu’un organisme fait l’objet d’un taux de contestations anormal lors de ses prélèvements. Il pourrait aussi y avoir des “listes noires” d’organismes de prélèvement posant problème.

La Banque de France s’est exprimée à ce sujet à notre demande :

Les banques ont des mécanismes de contrôles visant à prévenir le risque de fraude.
La banque du créancier est tenue de veiller à ce que les prélèvements émis par son client sont bien conformes à son activité économique (en nombre, en valeur …).
La banque du payeur peut identifier les prélèvements initiés par un nouveau créancier pour alerter son client et, le cas échéant, les rejeter avant débit du compte.

Source : service presse de la Banque de France par email"

"les banques ne voient pas trop le problème de cette quasi-absence de contrôle puisque les gens peuvent demander à être remboursés. Qu’en est-il des clients qui ne verront pas l’entourloupe dans les temps ? Ou de ceux qui seront rabroués par un conseiller bancaire mal formé sur ce sujet ?"

En fait c'est comme avec les CB... Il y a des failles, mais tout revoir (dont les terminaux) à un coût beaucoup trop élevé, sans compter que les fraudes représentent un % très minime, même si en augmentation
Du reste c'est pour cela que VISA rembourse sans trop poser de questions

Ce tableau résume très bien la situation.. Seul le contrôle est obligatoire en inter entreprises (B2B)
Même si la banque est censée vérifier, cela reste donc optionnel pour les particuliers (En plus avec la diminution en agences du personnel cela ne risque pas de s'arranger)
En contrepartie, le particulier peut se retourner contre la banque et demander le remboursement

2024-10-27_143139.png

Image extraite de https://blog.ungrandjour.com/fr/fr/prelevement-sepa (dont je conseille la lecture)




RECOURS

En cas de prélèvements frauduleux, le cadre SEPA, mis en place en 2014, vous protège
Dans le cadre d'un prélèvement non autorisé, on dispose d'un délai de 13 mois à compter de la date du débit, pour contester l'opération.
La banque est alors obligée de rembourser les sommes disparues au cours du jour ouvrable suivant la réception de la demande.

ATTENTION

Sauf si il est suicidaire, le malveillant aura un établissement bancaire hors Union Européenne ce qui sera malheureusement le cas de la majorité des opérations frauduleuses.
Le point positif, c'est que les mécanismes automatiques bancaires seront plus attentifs (En théorie)

Le délai de 13 mois est ramené à 70 jours lorsque l’établissement du bénéficiaire du paiement se situe en dehors de l’Union européenne ou de l’Espace économique européen
Il peut éventuellement être prolongé par contrat, sans toutefois dépasser 120 jours ».
Si le pirate est en dehors de l’Europe, le délai varie donc entre deux et quatre mois, d’où l’intérêt d’être attentif.


Même autorisé, un prélèvement SEPA peut être contesté dans les huit semaines qui suivent son exécution.
Dans ce cas, la banque a 10 jours ouvrables pour réaliser le remboursement ou justifier son refus.

Seulement dans la durée cela ne permet QUE de se faire rembourser, pas de contrecarrer le malveillant qui peut continuer son action (voir procédure d'annulation plus bas)


Il faut se rappeler que l'on ne peut pas changer d'IBAN ou de RIB.
Si un pirate tente de vous prélever de l'argent grâce à ce document et du fait des autres informations qu'il détient vous concernant, il faudra ..."tout simplement" ouvrir un autre compte bancaire pour éviter qu'il ne recommence.
C'est facile à dire, mais derrière il y a une perte de temps et d'énergie car il faut changer toutes les domiciliations bancaires comme auprès de son employeur, des impôts, de la sécurité sociale, de l'assurance santé complémentaire (mutuelle) et autres prestations réglées par prélèvement (électricité, gaz, eau, téléphone, internet, etc...).




COMPORTEMENT DES BANQUES


Les banques, comme les assurances, sont là pour prendre votre argent et pas pour vous le redonner..(Comme les assurances)
La réaction première des banques est de faire croire "Que vous n'avez aucun droit au remboursement" et " vous dupent sur l’étendue de vos droits "

L'UFC que Choisir avait ainsi porté plainte en 2020 contre La Banque postale, Crédit agricole, Banque populaire, BNP Paribas, Société générale, CIC, Boursorama, ING, Nickel, Cetelem et Floa Banque.

«
- La méthode la plus répandue consiste à accuser les victimes de négligence.
Un alibi qui n’est pas recevable, et d’autant moins quand l’opération a été validée avec le seul SMS.

- Arrive en deuxième position le refus systématique de rembourser en cas d’authentification renforcée, sans que la banque n’apporte la preuve que son client est à l’origine du paiement.
La banque peut invoquer une opération autorisée par le client et dès lors une négligence grave de sa part du fait qu'il fourni des identifiants, un code secret, ...
Or, c’est suite à la fraude que le client a donné son autorisation, ce qui change tout

- Au pied du podium, d’autres banques tentent de se justifier en indiquant que " leur assurance refuse toute prise en charge ",

Ce qui n’est pas un motif valable dénonce UFC-Que Choisir dans un communiqué.
A lire https://ufc-quechoisir-lille.org/fr/nos ... ue-choisi/

Nous sommes en 2024, et en théorie, tout cela ne devrait plus être de fait, mais il est bon de rappeler le comportement des établissements bancaires dans ces genres de situation




IL EXISTE DES JURISPRUDENCES


La jurisprudence récente en matière de fraude aux " faux conseiller "
Par jugement du 11 janvier 2024 le tribunal judiciaire de Paris (n°23-02421) et le tribunal judiciaire de Versailles par jugement du 22 mars 2024, ont jugé qu’il n’y avait pas de négligence grave dans des affaires de fraudes au « faux conseiller ».

De même, la Cour d’Appel de Douai dans un arrêt du 5 janvier 2023 (n° 21/04625) a jugé :

« le client a été rappelé par une personne qui connaissait son nom, son numéro de téléphone, sa banque et sa conseillère, usait d’une fausse qualité.
Monsieur X soudainement alerté de la tentative de fraude bancaire dont il était victime, a pu être rassuré par le fraudeur, qui a réussi à tromper sa vigilance, en employant des manœuvres frauduleuses…
Dès lors, il n’a pas eu conscience qu’il communiquait les codes au fraudeur, et non à un proposé des banques comme cela lui avait été indiqué… Étant rappelé que ces faits se sont déroulés dans un court laps de temps, ce qui est propice à la manipulation, en raison de l’état de panique, de la victime, sur lequel compte le fraudeur pour parvenir à ses fins ».

Il convient donc d’être extrêmement précis sur le déroulement des faits afin de contester la négligence grave.



Les décisions judiciaires en matière d’hameçonnage ("phishing").

Suite à la réception d’un email frauduleux, le client pense régler un achat et communique les éléments de sa carte bancaire.

Selon la jurisprudence, quelques erreurs liées à des fautes d’orthographe et l’emploi de quelques mots dans un sens inapproprié, tels que : « nous vous prions de bien vouloir confirmer votre attention dans un délai de 48 heures, tous les détails demandés afin d’ éviter tout dysfonctionnement lié à votre compte », ne sont pas suffisants pour que le payeur comprenne qu’il est face un acte de hameçonnage [1].

De même d’autres juridictions ont pu également considérer que des anomalies infimes n’avaient pas à être prises en considération comme : « l’absence de “Paribas”, après le terme, « services–client BNP » figurant sous "nouveau message" dans le cartouche supérieur » qui était d’autant plus difficile à discerner qu’il s’agissait de petits caractères figurant dans une entête qui n’est ni le titre, ni le contenu du message et à laquelle il n’existe pas de raison de prêter attention alors que le regard du lecteur se porte spontanément vers le message lui-même et non sur son cadre [2].

Ainsi, souvent, il s’agit des mêmes faits dans la mesure où une faute d’orthographe et /ou l’emploi d’un mot dans un sens inapproprié figure dans l’email frauduleux.

Cependant, on ne saurait oublier que les conseillers-clientèles font également des fautes d’orthographes…

De même, s’agissant de l’adresse mail du message frauduleux, l’erreur sera plus facilement excusable ou du moins compréhensive si l’adresse mail du message frauduleux comporte bien le nom de la banque comme pour sa véritable adresse.

À l’inverse, la jurisprudence relève la négligence grave pour un intitulé qui diffère :

Code : Tout sélectionner

- “Caisse Épargne” au lieu de “Caisse d’épargne”.
- en cas d’absence d’adresse mail de l’expéditeur au lieu de l’adresse habituelle de la banque,
- un contenu comportant des lettres majuscules en milieu de mots ou de phrases ainsi que des fautes d’orthographe ou une minuscule en début de phrase, des absence de ponctuation, ou d’accents [3].
- Dès lors, quelques anomalies ne peuvent être invoquées à l’appui d’une négligence grave.

Par ailleurs, selon la jurisprudence, en cas d’hameçonnage, la banque doit prouver que les opérations ont été authentifiées, dûment enregistrées et comptabilisées et, surtout, non affectées par une déficience technique ou autre [4]. Ce qui n’est pas aisé.

Ainsi, il existe des moyens de se défendre en cas de négligence grave invoquée par la banque pour refuser de procéder au remboursement.

-------------
[1] Cours d’Appel de Nancy. 24/02/2022 numéro 21–016 43.
[2] Cour d’appel de Poitiers, 21 juin 2022, numéro 20–02709.
[3] Cour d’Appel de Riom 14/09/22 n° 2022-017701.
[4] Cass com 12 novembre 2020, n° 19–12. 112.

Source partielle avec des conseils https://www.village-justice.com/article ... 49870.html

Autre exemple https://next.ink/155359/arnaque-au-faux ... a-justice/


Pour résumer et rappel

!

Il y a des risques OUI avec un vol d'IBAN, mais, sous certaines conditions. De base on ne peut pas vous prélever Avec l'IBAN seul, il est impossible de prélever de l'argent à une personne sans son autorisation. Néanmoins, accompagné d'autres données, il peut permettre à un malfaiteur de détourner de l'argent.(Oui c'est subtil je le conçois) Mais la loi protège le consommateur Le truc c'est qu'il faut attendre le prélèvement pour le bloquer si la banque n'a pas mis en place des sécurités Il ne faut pas croire que c'est votre conseiller bancaire qui va tout vérifier dont votre signature, car ce sont des programmes qui sont en place et le font Le point rassurant, c'est que pas mal de choses étaient possibles avant cet été, mais depuis septembre 2024, et surtout début octobre les banques sont de plus en plus attentives du fait de la prolifération des arnaques et ont mis en place des protections En fait elles se bougent non pas pour nous protéger, mais parce qu'elles sont obligées de rembourser Les fraudes aux moyens de paiement et escroqueries sont en hausse de 64 % entre 2016 et 2023 (1) MAIS la fraude à l'IBAN ne concerne que 1% de ces fraudes Comme il est rappelé, la loi protège le consommateur, si la banque n'a pas vérifié la signature, ce qu'elle fait rarement ou pas du tout, car elle n'y est pas contrainte, MAIS elle est donc obligée de vous rembourser Néanmoins il faut vérifier son compte bancaire car il y a des limites dans le temps pour se retourner

---------------------------------------------
(1) Au 1 Octobre : https://www.banque-france.fr/fr/communi ... 0AC8F_Uw==

Extrait :

"Au premier octobre (...) Ces nouvelles menaces ont conduit les acteurs de marché, en concertation avec les autorités publiques, à développer des mécanismes de lutte contre ces différents procédés frauduleux :(...) d’autre part, au niveau des infrastructures de paiement, avec la mise en place du service de confirmation d’IBAN qui permettra de lutter contre les fraudes aux virements.
Ces dispositifs visent à rendre les tentatives de fraude plus facilement détectables par les utilisateurs, mais ils ne peuvent pas se substituer à leur propre vigilance.

CONSEILS

- Au préalable demander à son conseiller bancaire, quelles sont les mesures qui sont en place et en prendre si ce n'est pas déjà le cas (2FA par ex)

- LISTE BLANCHE ET LISTE NOIRE : L’article 5-3 d du règlement européen no 260⁄2012 du 14 mars 2012 indique que tous les particuliers peuvent adresser à leur établissement bancaire une liste des fournisseurs autorisés à effectuer des prélèvements sur leur compte. La banque ne peut en aucun cas s’opposer au dépôt de cette liste blanche mais aussi d’une liste noire où vous mentionnerez la liste des fournisseurs dont vous refusez le prélèvement
Source: https://www.prelevements-sepa.com/
Ex de courrier https://www.quechoisir.org/lettre-type- ... che-n1037/

- Surveiller son compte bancaire si la personne dispose de tous les renseignements vous concernant
Là c'est assez pernicieux, car souvent un seul vol de données même d'un IBAN n'est pas suffisant, et on se dit que ce n'est pas grave si on a été averti du vol, mais les personnes malveillantes, aidées par des programmes ou l'IA feront des recoupements avec d'autres bases de données volées dont on n'est pas toujours au courant afin de mieux vous cerner, recouper les informations, les croiser afin d'avoir le maximum d'informations et de mieux vous piéger (Phishing ciblé dont on se méfiera moins puisque tout ce qui apparait est crédible)

Heureusement, (Merci l'Education nationale :-) les malveillants font "souvent" des fautes d'orthographes, de syntaxe, voire de traduction en langue FR, surtout si ils opèrent de l'étranger
Exemple
Là pour un ex récent les données du site Boulanger sont volées, et celles du FAI SFR aussi. Le tout a été recoupé et transmis sur une adresse principale SFR .. JAMAIS utilisée, diffusée etc
Outre le fait de jouer sur les classiques appât du gain et l'urgence ou facilité de la chose (on a juste à cliquer) on peut lire

Vous êtres l'heureux gagnant de UN tout nouveau Iphone 16 Pro" ""Réclamer maintenant gratuito", ...

Phishing BOULANGER.jpg

ou pire, pressé par le temps, le malveillant utilise l'IA pour générer son phishing et il est incapable de le vérifier
Soit il ne parle pas la langue, soit il est malin mais n'a que 60 à 80 de QI, ce qui est généralement le cas de la majorité et heureusement

Phishing kit assurance maladie.png

Donc paradoxe de la chose, c'est que les vols de données sont tellement nombreux (+ 25% en début d'année 2024 et une accélération depuis cet été) que les malveillants ont du mal à tout gérer ou le font mal, sauf si vous être particulièrement ciblé ou que le vol de données comporte tout le nécessaire pour un accès direct ou a pu faciliter une usurpation d'identité
Dans les "équipes" il y a les petites mains, majoritaires, et .. les spécialistes dont de la manipulation mentale
Par ex les mouvements anormaux sur votre compte peuvent apparaitre plusieurs mois après un vol de données


Je n'ai pas le temps de tout mettre, car il y a des vols toutes les semaines, mais cela donne une idée
Dans cet exemple c'est FREE avec un vol d'IBAN
viewtopic.php?p=560577#p560577




ATTENTION AUX DOCUMENTS DÉTENUS SUR LE DISQUE DUR OU DISQUE DUR/SSD/CLE USB CONNECTÉS

Dans les analyses FRST sur le forum on note plein d'utilisateurs qui conservent sur leur disque dur ou SSD, un tas de documents qui peuvent les identifier :
Permis, CI, passeport, documents employeurs, CV, contrat d'habitation, RIB, photo d'identité avec nom et prénom (déjà vu) etc, la liste est longue

Alors OUI c'est pratique, mais en cas de vol de données via phishing avec un STEALER (Malware voleur de données https://www.malekal.com/trojan-stealer/) par ex tout part chez les malveillants et il y a donc outre un autre phishing à venir, la possibilité grandissante de l'usurpation d'identité où il faut souvent des années pour s'en remettre...

Du reste les utilisateurs viennent sur le forum parce qu'ils "pensent" être infectés
Certains le sont du fait d'usage de cracks et là, c'est la catastrophe surtout qu'ils pensent que les malwares sont stoppés par l'antivirus comme il y a une dizaine d'années.

POUR LES CRACKS
viewtopic.php?p=544690#p544690



Il vaut mieux donc tout stocker sur un périphérique externe, comme un disque dur, un SSD. En complément une clé USB, mais pas en tant que support principal car une clé USB ce n'est pas fiable, et le tout connecté juste pour la sauvegarde

Du reste si on veut conserver afin de transmettre, (dossier de location d'appartement par ex), il est préférable de passer les documents de type CI ou passeport par ex à https://filigrane.beta.gouv.fr/
Néanmoins ces méthodes de type wattermark (filigrane) ne sont pas fiables à 100% puisque l' IA est capable de retirer des watermarks (Suivant ce qui est en place cela peut peut prendre des heures cependant pour une efficacité à 100%)
Je ne conseille pas de tester avec la presque centaine de sites qui le font "'gratuitement", car il faut se rappeler que de base ils détiennent vos pièces d'identités... et les conditions d'anonymat sont souvent .. bidons
Je ne donnerai pas non plus de noms de programmes (il y en a un paquet sur Github) à base de scripts python et utilisant l'AI ou pas car il faudrait les tester (Photoshop le fait, mais pas testé vu que je n'ai pas Photoshop)

- On pourrait parler aussi des gestionnaires de mots de passe et des règles à connaitre mais c'est un autre sujet
Les gestionnaires de mots de passe : https://www.malekal.com/gestionnaires-d ... e-dossier/
Néanmoins il faut savoir que les stealers https://www.malekal.com/trojan-stealer/ volent les login et mot de passe contenus dans les navigateurs (c'est un simple script pour tout récupérer)

D'où l'intérêt de choisir un gestionnaire de mots de passe.. Le mot de passe principal, peut être intercepté pour plus de sécurité, via certaines solutions d'anti virus, via un clavier virtuel qui n'indiquera pas en "clair" ce qui est tapé pour débloquer
En plus c'est stocké provisoirement en mémoire, dans un container , le temps de la manipulation et le "copier coller" si vous en faites usage à une durée de vie limitée (10 secondes par ex avec KeepassXC qui est gratuit et permet un usage et sauvegarde en mode local)
Néanmoins si votre PC est vérolé (suite à l'usage de cracks par ex) il faut se rappeler que fondamentalement, si un attaquant a un accès complet à votre machine, ce n'est plus votre machine mais la sienne...
Certains gestionnaires sont clairement à éviter. Par ex Lastpass, surnommé "l'emmenthal Suisse" par les experts en sécurité et à juste titre
viewtopic.php?t=47929




En cas de prélèvement(s) frauduleux :

- Réagir au plus vite en informant son conseiller bancaire, et parfois demander un " recall " (annulation d’un virement) avant que les fonds retirés ne disparaissent du compte crédité.
Outre l'appel téléphonique, faire en parallèle les réclamations à sa banque par écrit, pour en garder une trace.

- Bien prendre conscience qu il faut différencier l'opposition à l'annulation d'un prélèvement
L'opposition c'est pour du ponctuel, elle est limitée dans le temps, et en plus certaines banques vous la font fpayer. Du reste cela n'annule pas l'autorisation de prélèvement
Il faut surtout faire une annulation de prélèvement
Ceci est en cas d usage frauduleux (pas pour un simple litige avec un commerçant ou vous pouvez vous retrouve en impayé ce qui est différent, avec des conséquences néfastes pour vous)
Tout ceci est bien décrit dans
https://www.banque-france.fr/fr/a-votre ... 0AC8F_WQ==

- L'opposition de sa carte bancaire et pour en demander une nouvelle (sauf arnaque spécifique lié la carte bancaire) n'apporte rien puisque rattachée au même compte bancaire, est donc inutile

- Déposer plainte (Il faut avoir les éléments en sa possession comme le vol de données, et un extrait du relevé avec les prélèvements frauduleux)

Rappel : Suivant les cas de figure, appliquer ce qui figure sur
https://www.cybermalveillance.gouv.fr/t ... r-bancaire

A lire aussi : Les vols de cartes et données bancaires
Dans ce cas de figure (CB Volée) attention si vous appelez le numéro vert de signalement de vol pour VISA par ex
Je ne sais si c'est encore le cas mais il y a peu, l'interlocuteur essayait de glisser dans la conversation le terme "perte" au lieu de "volé"
Dans la panique, et parce que les gens ne sont pas attentifs, ils diront "oui"
Ce qui change tout pour les remboursements...
En plus l'appel est enregistré donc vous ne pourrez le contester et vous ne pourrez être remboursé des prélèvements frauduleux

[Parisien_entraide]

COMPLEMENTS DE LECTURE





CONSEILS, INDICATIONS, ALERTES


Assurance Banque Epargne Info Service est une plateforme commune mise en place par la Banque de France, l'Autorité de contrôle prudentiel et de résolution (ACPR) et par l'Autorité des marchés financiers (AMF).
https://www.abe-infoservice.fr/search-e ... +autorites

2024-10-25_161717.jpg

On peut y trouver des alertes, des conseils, des indications comme (extrait) :
https://www.abe-infoservice.fr/evenemen ... -bancaires

-----------------------------------
Qu’est-ce que le spoofing bancaire ?
Une personne vous appelle et se présente comme un conseiller de votre banque ou un agent du service anti-fraude de celle-ci. Il peut parfois aussi prétendre agir au nom d’une administration du monde bancaire ou financier (ACPR, BDF, AMF).

Son objectif est de vous mettre en confiance afin de vous faire valider une ou plusieurs opérations sur votre application ou d’obtenir des informations sensibles et personnelles comme vos données de carte bancaire, vos identifiants et vos codes d’accès. Ainsi, il pourra effectuer des paiements par carte ou des virements à son profit. Il peut parfois aller jusqu’à vider tous vos comptes et ceux de vos proches si vous y avez accès.

On parle de spoofing (usurpation d’identité en anglais) car les escrocs se font passer pour une personne susceptible de vous mettre en confiance.
Ils peuvent utiliser différents moyens de communication, parfois associés : SMS, téléphone, courriel ou site internet.


Le vishing (voice phishing) ou spoofing téléphonique : comment l’identifier et comment réagir ?
L’escroc vous téléphone et se présente comme un conseiller de votre banque. Grâce à un procédé technique facilement accessible, il peut parfois faire apparaître le véritable numéro de téléphone de cette dernière.

Il apparaît très rassurant et peut même vous rappeler de ne jamais communiquer vos informations personnelles par SMS, par téléphone ou par courriel !

Pour être plus crédible, il peut vous citer des informations bancaires confidentielles vous concernant (votre nom, celui de votre conseiller bancaire, votre adresse, votre numéro de compte), qu’il a obtenues en les achetant ou grâce à un précédent hameçonnage (phishing), par exemple par l’envoi de SMS (SMishing – SMS phishing) :


------------------------------------------------------------------------------------------------------

SIGNALER ET/OU PORTER PLAINTE


Vous êtes victime ou vous souhaitez signaler une arnaque ?
En cas de difficulté, le site propose également un service de tchat avec un policier ou un gendarme pour aider l’usager à s’orienter.
https://www.masecurite.interieur.gouv.fr/fr.

Idem sur Pharos
https://www.internet-signalement.gouv.fr/PharosS1/

Que Faire en cas de fraude au faux conseiller bancaire ? Toutes les démarches
https://www.cybermalveillance.gouv.fr/t ... r-bancaire


La CNIL rappelle que les personnes victimes d'une fuite de leurs données personnelles ont la possibilité de porter plainte directement auprès d'elle, si elles estiment que leurs données personnelles n'ont pas été suffisamment sécurisées, ou auprès de la police ou de la gendarmerie, si elles sont victimes d'une usurpation d'identité, d'une arnaque ou de paiements frauduleux consécutifs à cette fuite de données.
https://www.cnil.fr/fr/adresser-une-plainte

En attente :
Pour faciliter le traitement des dossiers dans le cadre de la cyberattaque contre Free, les clients de l'opérateur auront également la possibilité de porter plainte via un formulaire en ligne qui sera prochainement disponible sur le site https://www.cybermalveillance.gouv.fr/
Leurs dépositions pourront ainsi être ajoutées à l'enquête sans avoir à se déplacer en commissariat ou en gendarmerie.
Pour l'instant il y a https://www.cybermalveillance.gouv.fr/t ... ree-202410





---------------------------------------------------------------------------------------------------


PREVENTIONS



Un guide de prévention face aux différents types d'arnaques
https://www.economie.gouv.fr/files/file ... 1658225754

Savoir détecter une arnaque avec les différentes techniques et produits bancaires proposés
https://www.abe-infoservice.fr/page-som ... ne-arnaque


Listes noires et alertes des autorités
https://www.abe-infoservice.fr/liste-no ... -autorites
Concernant la partie pour les adresses de sites je conseille plutôt Red Flag domains de Mikołajek qui lutte au quotidien contre les noms de domaine malveillants, et qui est membre du conseil d'administration de l'Afnic
viewtopic.php?p=527790#p527790

[Parisien_entraide]

A noter que le site
https://next.ink/155808/fuite-diban-que ... -proteger/

présente la même chose (ils ont suivi la même trame) mais peut etre de façon plus concise

[Parisien_entraide]

Petit résume des potentiels risques liées aux fuites de données (Au sens global et potentiellement)

Je précise bien "potentiellement"

En ca de fuite de donnes les risques.jpg

[Parisien_entraide]

Mise à jour avec les liens de dépôt de plainte pour l'affaire FREE auprès de la CNIL

En attente de lien précis à venir : https://www.cybermalveillance.gouv.fr/
Pour l'instant il y a https://www.cybermalveillance.gouv.fr/t ... ree-202410

[Parisien_entraide]

sepa.jpg

Démonstration de ce qu'il est possible de faire avec un IBAN, et pourquoi cela fonctionne


Source : https://www.01net.com/actualites/fuites ... achats.html


Il y a juste une erreur...
Dans l'étape 2 il est indiqué, suite à l'achat d'un abonnement téléphonique, chez B&You de Bouygues Telecom.(mais c'est valable pour tous les opérateurs)

À noter qu’à aucun moment de la procédure, il ne m’a été demandé de pièce d’identité.

En fait il n'y a AUCUNE obligation légale de fournir une pièce d'identité pour un abonnement (ou pas) téléphonique pour une simple raison : L'opérateur n'est pas en mesure de vérifier la véracité de la pièce d'identité demandée
Cela est demandé uniquement pour des raisons administratives liées à l'opérateur


Par contre cela rejoint ce qui a été indiqué précédemment :

- Il ne faut pas faire confiance au créancier pour vérifier quoi que ce ce soit
- Il ne faut pas faire confiance à sa banque non plus (Du moins et surtout sur les petits montants)

Il y a quand même quelques nuances au niveau bancaire suivant les enseignes et parfois les agences (relire le précédent sujet)



Il ne faut pas compter à un changement des textes régissant le SEPA avant quelques années, qui se situe au niveau Européen... SI cela s'effectue

En effet si cela se produit, cela sera sous la pression des établissements bancaires
Problème : Pour eux, l'impact est faible, donc ils ne se bougeront pas

En 2023 "« l’utilisation frauduleuse de l’IBAN d’un tiers pour payer un produit ou service par prélèvement concernait 1 % des montants de fraude remontés par les établissements bancaires français de l’OSMP sur le prélèvement ».
Au total, cela représenterait seulement 317 000 euros sur les 22 millions d’euros que représente la fraude au prélèvement – « soit un montant très faible par rapport aux autres fraudes et arnaques financières ».

Au final, l'action, revient à l'utilisateur, qui se doit de vérifier de son compte bancaire, puisque ce type de fraude est remboursé

Cela rejoint le fonctionnement de notre société, où on ne règle pas le problème à la source, mais seulement les effets
De toutes les façons vous êtes remboursé, donc de quoi vous plaignez vous ? Lamentable...

[Parisien_entraide]

Source image : https://aide.wintoz.fr



Numéros des banques pour les oppositions bancaires

2024-11-20_181346.jpg