À retenir
- Les usurpateurs copient des noms de confiance et ajoutent de l'urgence : prenez votre temps.
- Ouvrez votre courtier via un favori ou en saisissant l'adresse, jamais via un lien reçu dans un message.
- Ne communiquez jamais de codes en temps réel, de mots de passe ni d'accès à distance.
- Utilisez un gestionnaire de mots de passe, une authentification à deux facteurs par application et une adresse e-mail dédiée.
- Agissez rapidement si de l'argent a été envoyé, et méfiez-vous de quiconque propose une récupération contre rémunération.
Les traders sont des cibles de choix : ils détiennent des fonds sur des comptes en ligne et ont l'habitude d'agir vite. Les escrocs exploitent précisément cela. La plupart des attaques ne réussissent pas grâce à un piratage sophistiqué, mais grâce à un message convaincant, un clic précipité et des identifiants saisis sur la mauvaise page.
Les déguisements habituels
Les arnaques par usurpation d'identité copient quelque chose en quoi vous avez déjà confiance et vous demandent d'agir. Ce qui est copié peut être votre courtier, un régulateur, un investisseur célèbre, un conseiller du support, ou même un ami dont le compte a été piraté.
| Attaque | À quoi elle ressemble | Ce qu'elle cherche à obtenir |
|---|---|---|
| Fausse page de connexion | Un e-mail ou une publicité renvoie vers une copie quasi parfaite du site de votre courtier | Votre identifiant, votre mot de passe et vos codes |
| Faux conseiller du support | Un message ou un appel de la « sécurité » à propos d'une activité suspecte | Un code à usage unique, l'installation d'un outil d'accès à distance ou un virement |
| Faux régulateur ou faux avocat | Un courrier affirmant que vos fonds sont gelés dans l'attente du paiement de frais | Un paiement ou des documents personnels |
| Faux service de récupération | Un contact propose de récupérer des fonds perdus contre un dépôt | Des frais d'avance, puis le silence |
| « Mentor » sur les réseaux sociaux | Un message privé proposant des signaux, des comptes gérés ou du copy trading | Un dépôt sur une plateforme contrôlée par l'escroc |
| Piratage du compte d'un ami | Un contact familier fait la promotion d'un investissement | Votre confiance, puis un dépôt |
Les signaux d'alerte qui reviennent
- L'urgence : votre compte sera fermé dans une heure, une opération est sur le point d'expirer ou une offre se termine aujourd'hui.
- Une demande que votre courtier ne ferait jamais : votre mot de passe, un code d'authentification complet, un accès à distance à votre ordinateur ou un paiement vers un compte inconnu.
- Un lien au lieu d'un chemin : les sociétés sérieuses acceptent généralement que vous vous connectiez en saisissant vous-même leur adresse.
- De légères anomalies dans le nom de domaine : un mot supplémentaire, une lettre remplacée, une extension inhabituelle ou un sous-domaine qui masque la véritable adresse.
- Un contact non sollicité, suivi d'une invitation à passer sur une application de messagerie privée.
- Des promesses de rendements fixes ou très élevés.
Aucun de ces signes ne prouve à lui seul qu'un message est frauduleux, mais deux ou trois réunis doivent vous faire marquer une pause. La meilleure réponse à l'urgence, c'est de prendre son temps.
Un cas à titre d'illustration
Il s'agit d'un exemple inventé, qui montre un schéma typique. Un trader reçoit un e-mail intitulé « Connexion inhabituelle détectée » avec un bouton « Sécuriser mon compte ». Le nom de l'expéditeur correspond à celui du courtier, et la page ouverte par le bouton affiche le bon logo et la bonne mise en page. L'adresse est le nom du courtier suivi d'un trait d'union et du mot « secure », et non le véritable domaine. Le trader saisit son mot de passe puis, lorsque la page lui demande le code de l'application d'authentification, le saisit lui aussi. En quelques minutes, l'attaquant utilise les deux pour se connecter au vrai site et demander un retrait ou modifier les coordonnées de versement.
Deux habitudes simples auraient évité cela : ouvrir le site du courtier en saisissant l'adresse ou à partir d'un favori enregistré, et considérer comme suspecte toute demande de code en temps réel, car un code ne protège contre cette attaque que si vous ne le communiquez jamais.
Que faire lorsqu'un message vous paraît suspect
- Marquer une pause et ne pas cliquer. N'ouvrez ni les liens ni les pièces jointes, et ne répondez pas. L'urgence est l'outil de l'escroc ; ralentir la neutralise.
- Aller vous-même à la source. Ouvrez le site du courtier à partir de votre favori ou en saisissant l'adresse, et cherchez le même avis dans l'espace client.Astuce : Contactez le support avec les coordonnées figurant sur le site officiel, et non avec celles du message.
- Vérifier l'expéditeur et le lien. Survolez le lien pour afficher l'adresse, et examinez l'adresse complète de l'expéditeur, pas seulement le nom affiché.
- Le signaler. Transférez les e-mails d'hameçonnage au contact sécurité du courtier et à l'outil de signalement de votre fournisseur de messagerie. De nombreux régulateurs disposent aussi de pages de signalement des arnaques.
- Si vous avez déjà cliqué. Changez le mot de passe depuis un appareil sain, activez ou réinitialisez l'authentification à deux facteurs, contactez immédiatement le courtier et vérifiez les connexions récentes ainsi que les coordonnées de versement.
Les réflexes qui renforcent vos comptes
Une bonne sécurité repose surtout sur une série de réglages par défaut sans éclat, qui fonctionnent même quand vous êtes fatigué ou distrait.
- Utilisez un gestionnaire de mots de passe et un mot de passe long et unique pour chaque compte financier.
- Activez l'authentification à deux facteurs avec une application d'authentification ou une clé physique dès que possible, plutôt que par SMS, car les SMS peuvent être détournés par une fraude à l'échange de carte SIM (SIM swapping).
- Utilisez une adresse e-mail distincte pour vos comptes financiers, dotée de sa propre protection renforcée.
- Activez les listes blanches de retrait ou les réglages de confirmation si le courtier les propose.
- Maintenez à jour votre système d'exploitation, votre navigateur et votre logiciel de trading, et évitez d'installer des outils d'accès à distance inconnus.
- Ne tradez ni ne vous connectez jamais depuis des ordinateurs partagés ou publics, ni sur un Wi-Fi non fiable.
Les arnaques qui empruntent le nom d'un régulateur
Une astuce courante consiste à citer un véritable numéro d'agrément appartenant à une société légitime tout en exploitant un faux site au nom similaire. Vérifier le numéro dans le registre du régulateur ne suffit pas si l'adresse du site ne correspond pas aussi à celle qui y figure. Les régulateurs publient des listes d'avertissement sur les sociétés clones, et y rechercher le nom de domaine peut révéler un faux. Notre guide sur la vérification de l'agrément d'un courtier détaille cette vérification.
Si l'argent a déjà été envoyé
La rapidité compte. Contactez immédiatement votre banque ou votre prestataire de paiement et demandez si le virement peut être rappelé ou signalé. Informez le courtier si le compte est concerné, conservez tous les messages, captures d'écran et identifiants de transaction, et signalez l'incident à la police ou au service national de lutte contre la fraude de votre pays. Méfiez-vous de toute personne qui vous contacte ensuite pour vous proposer de récupérer les fonds : il s'agit généralement de la seconde phase de la même arnaque.
Questions fréquentes
Comment savoir si un e-mail de mon courtier est authentique ?
Ne vous fiez ni au nom de l'expéditeur ni au logo. Connectez-vous en saisissant vous-même l'adresse et cherchez le même avis sur place, ou contactez le support avec les coordonnées du site officiel.
L'authentification à deux facteurs par SMS est-elle suffisante ?
C'est mieux que rien, mais une application d'authentification ou une clé physique est plus robuste, car les SMS peuvent être interceptés par une fraude à l'échange de carte SIM.
Pourquoi un inconnu m'a-t-il proposé de m'apprendre le trading dans une conversation privée ?
Les mentors non sollicités sont une voie fréquente vers les arnaques à l'investissement. Une véritable formation n'exige pas que vous déposiez des fonds sur une plateforme contrôlée par le mentor.
Une banque peut-elle annuler un virement que j'ai effectué vers un escroc ?
Parfois, si vous agissez vite et que l'argent n'a pas été transféré ailleurs. Il n'y a aucune garantie : contactez donc immédiatement la banque.