Depuis quelques semaines, une nouvelle arnaque bancaire particulièrement dangereuse circule en France. Elle est d’autant plus efficace qu’elle utilise un canal de confiance auquel nous sommes peu habitués à nous méfier : le courrier postal. Le scénario est toujours à peu près le même et peut toucher absolument tout le monde.
Des particuliers reçoivent une carte bancaire par la poste, accompagnée d’un courrier expliquant qu’il est nécessaire de l’activer rapidement. Le document est bien rédigé, crédible, avec les codes visuels d’une vraie banque. Rien ne semble anormal au premier abord, surtout pour une personne peu sensibilisée aux arnaques numériques.
Les erreurs à ne JAMAIS commettre
Ne jamais activer une carte bancaire que vous n’avez pas demandée
Ne jamais scanner un QR code reçu par courrier pour une opération bancaire
Ne jamais saisir vos identifiants bancaires à partir d’un lien ou d’un QR code
Ne jamais céder à un message d’urgence ou de pression
Sur ce courrier figure une instruction simple : scanner un QR code pour activer la carte bancaire. C’est précisément à ce moment-là que l’arnaque commence réellement.
En scannant ce QR code, la victime est redirigée vers un faux site bancaire, une copie très fidèle du site officiel. On lui demande alors de saisir ses identifiants bancaires, son mot de passe, voire d’autres informations de sécurité. En réalité, ces données sont envoyées directement aux cybercriminels, sans que la victime ne s’en rende compte.
Les bons réflexes à adopter
N’utilisez pas la carte reçue
Ne scannez pas le QR code
Contactez votre banque uniquement via ses canaux officiels
(numéro habituel, application officielle, agence)
Signalez la tentative d’arnaque
Une banque ne vous demandera jamais d’activer une carte bancaire via un QR code envoyé par courrier.
Beaucoup pensent encore être protégés grâce à la double authentification. Malheureusement, cette arnaque a prévu ce cas. Les attaquants déclenchent plusieurs demandes de validation en même temps, créant un effet de saturation et de confusion. Il suffit d’une seule validation acceptée au mauvais moment pour leur permettre d’accéder au compte bancaire. À partir de là, le compte peut être vidé en quelques minutes.
Cette attaque fonctionne très bien parce qu’elle repose sur des leviers psychologiques simples : la confiance, l’urgence et la peur de faire une erreur bancaire. Le QR code, devenu banal dans notre quotidien, est ici utilisé comme outil de phishing, ce qui le rend encore plus dangereux.