Un interlocuteur convaincant, une raison crédible, et vous avez lu les chiffres à voix haute. Ça va très vite, et ça arrive à des gens très compétents.
Première chose à savoir : ce que vous avez donné a une portée précise. Ni plus, ni moins. Savoir laquelle vous évite à la fois de paniquer inutilement et de sous-estimer le risque.
Ce que ces trois informations permettent
Numéro à 16 chiffres, date d'expiration et cryptogramme à 3 chiffres au dos : c'est exactement ce qu'il faut pour payer en ligne. C'est le triplet que tous les sites marchands demandent.
Concrètement, la personne peut :
- Faire des achats en ligne sur des sites qui n'exigent pas de validation forte
- Mettre en place un abonnement récurrent, souvent d'un petit montant mensuel — c'est le plus vicieux, parce que ça passe longtemps inaperçu
- Revendre les données à d'autres, sur des places de marché spécialisées. Un débit peut donc survenir des semaines plus tard.
Ce qu'elles ne permettent pas
- Retirer de l'argent à un distributeur. Il faut la carte physique et le code à 4 chiffres.
- Faire un virement depuis votre compte. Cela nécessite vos identifiants de banque en ligne, qui sont autre chose.
- Valider seule un paiement 3D Secure, tant qu'ils n'ont pas aussi le code que votre banque vous envoie par SMS. C'est précisément pour cela qu'un escroc rappelle souvent quelques minutes plus tard pour réclamer « le code de confirmation ». Ne le donnez jamais — et si c'est déjà fait, lisez notre article dédié au code reçu par SMS.
Les trois gestes, dans l'heure
1. Faites opposition. Application bancaire, numéro au dos de la carte, ou serveur interbancaire au 0 892 705 705, disponible en permanence. L'opposition rend le numéro inutilisable, y compris pour les abonnements déjà mis en place.
2. Surveillez les petits montants. Un débit de 0,50 € ou 1,99 € que vous ne reconnaissez pas n'est pas une broutille : c'est un test de validité de la carte. Il précède presque toujours une tentative plus importante. Signalez-le comme le reste.
3. Signalez et conservez les traces. Notez l'heure de l'appel, le numéro affiché, ce que l'interlocuteur savait de vous. Puis Perceval pour le signalement, et une plainte. Ces éléments serviront si votre banque discute le remboursement.
Sur le remboursement
Votre banque doit vous rembourser. L'article L133-18 du code monétaire et financier l'oblige à recréditer votre compte immédiatement, et au plus tard à la fin du premier jour ouvrable suivant votre signalement. Vous disposez de treize mois pour signaler.
Si elle invoque une « négligence grave », sachez que c'est à elle de la prouver, pas à vous de démontrer votre bonne foi. Tout est détaillé dans notre article sur le remboursement après une fraude bancaire.
Le réflexe à garder
Aucun organisme légitime ne vous demandera jamais le cryptogramme à 3 chiffres au téléphone.
Ni votre banque, ni un service de livraison, ni les impôts, ni un opérateur. Ce nombre existe pour prouver que la carte est physiquement entre vos mains au moment de l'achat : le demander oralement n'a aucun sens, sauf pour quelqu'un qui veut s'en servir.
C'est une règle agréablement simple : elle ne demande aucun jugement sur le moment, aucune évaluation du sérieux de l'interlocuteur. Dès que ces trois chiffres sont demandés à l'oral, la conversation est terminée. Vous raccrochez, et vous rappelez le numéro au dos de votre carte si vous avez un doute.
Combien en auriez-vous repéré ? Notre test anti-phishing gratuit vous confronte à 5 messages réels en une minute, sans compte.