Cette arnaque suisse m’a fait tomber dans un piège, je vous raconte
J'ai donné 500 francs à un inconnu qui se faisait passer pour mon banquier et m’a fait effectuer un versement en me faisant croire qu'il s'agissait d'une notification de sécurité.
Avant de continuer cet article, certains d’entre vous vont sûrement se dire: «Mais quel idiot!». Je le sais bien, car moi aussi j’ai réagi de la sorte en entendant des histoires d’arnaques survenues à d’autres. J’ai moi-même souvent ressenti cette condescendance à mon égard quand j’ai partagé ma propre mésaventure. Et c’est cette pensée qui m’obsède chaque jour depuis.
A 40 ans et très à l’aise avec le numérique, je me suis pourtant fait avoir. Alors qu’en général, on pense que cela touche surtout les seniors et les retardataires de la transition digitale, même les ultra-connectés peuvent se faire piéger par un abus de confiance. En Suisse romande, les trois premiers mois de l’année 2026 ont vu la police enregistrer 931 escroqueries de ce type (274 cas aboutis, 657 tentatives), pour des dommages s’élevant à plus de 2,4 millions de francs. Les auteurs se font généralement passer pour des policiers, des banquiers ou encore des collaborateurs d’un service antifraude.
Mordre à l'hameçon
Tout a commencé par un e-mail malveillant qui a échappé à mon filtre à spams. Dans le jargon, on appelle cela «le phishing». Grâce à l’hameçonnage (ou phishing), les criminels cherchent à obtenir des informations personnelles, telles que des mots de passe, des données de connexion ou des informations de carte de crédit. Se faisant passer pour des entreprises connues, ils incitent leurs victimes à cliquer sur un lien ou scanner un code QR menant à un faux site, créé dans le but de les escroquer.
C'est donc sous le masque de Jeff Bezoz que le cambrioleur entre chez moi avec un e-mail de la plateforme Prime Video d’Amazon. Celui-ci m’informe que mes 14 jours d’essai gratuit sont écoulés et que 69,90 euros pour un abonnement annuel vont être débités, sauf si je demande un remboursement. En temps normal, ce mail aurait fini dans la corbeille avec un blocage de l'expéditeur. Mais quel heureux hasard pour mon escroc, puisque quelques semaines plus tôt, je m'étais réabonné à la plateforme de streaming d'Amazon pour regarder la dernière saison de leur série The Boys.
Dans mon esprit malheureusement embrumé ce jour-là, le mail semblait donc légitime, surtout que, visuellement, la charte graphique de l'entreprise était respectée, y compris sur le site vers lequel le lien renvoyait. Une véritable plateforme, dont les liens menaient même vers le vrai site d'Amazon. J'ai donc rempli naïvement les champs pour demander mon remboursement, incluant les informations de ma carte. Monumentale erreur de ma part, à ne pas refaire. Vraiment, je déconseille.
Mes trois lacunes ont été:
- De ne pas vérifier l’adresse e-mail cachée dans le nom du destinataire.
- De ne pas vérifier la légitimité de l’URL sur ce faux site d’Amazon.
- Et surtout, de remplir un formulaire avec mes informations bancaires, alors que Prime Video avait déjà ma carte enregistrée.
L’excès de confiance en soi, combiné au timing parfait avec ma réinscription à la plateforme, m’a conduit dans cette arnaque de phishing. Le pire étant que je ne m’en serais jamais aperçu à moins de détecter des transactions suspectes sur mon compte bancaire. Dans mon cas, il s'agissait d'abord d'une graine à semer qu'il fallait laisser germer avant de la cueillir, une semaine plus tard.
Si cela vous arrive:
- Signalez l'e-mail suspect sur cybercrimepolice.ch.
- Supprimez ou déplacez-le dans les courriers indésirables ou spam.
- Ne suivez jamais les liens figurant dans des e-mails, des SMS, etc. ou sur d'autres sites web et ne divulguez jamais de données sensibles vous concernant.
- Le piège se trouve dans l'adresse cachée de l'expéditeur et dans l'URL qui aura toujours un détail qui diffère de l'officiel.
Si c'est trop tard:
- Changez immédiatement le mot de passe de votre compte (dans mon cas Amazon) ainsi que celui de tout autre compte utilisant les mêmes identifiants.
- Informez immédiatement votre banque et faites bloquer les données d'accès.
- Rendez-vous à votre poste de police cantonale le plus proche et déposez plainte.
Le piège se referme
Après le phishing, place au vishing (contraction de «voice phishing») soit l'hameçonnage vocale. Celle-ci consiste à contacter les victimes de vive voix, généralement par téléphone, et à les inciter à effectuer certaines actions en leur faisant croire qu'elles agissent dans leur propre intérêt. Gardez à l’esprit que, dans 99% des cas, les collaborateurs des entreprises bancaires ne vous appelleront jamais de leur propre initiative. Voilà encore quelque chose que je n'avais pas appris à l'école.
L'escroc m'appelle un vendredi soir à 18h, au moment même où je sors du travail. C'est quand même plus simple d'embobiner quelqu'un en fin de semaine quand il est épuisé.
Le monsieur se présente comme un employé de Postfinance avec un professionnalisme qui laissait pantois. Il aurait pu dire «Raiffeisen» et je lui aurais immédiatement raccroché au nez, mais c’était bien à la Poste que j’avais laissé mes sous. J'ignore comment l'escroc a su à quel système bancaire j'appartenais, puisqu’il n’avait que les données d'une carte Mastercard.
Le numéro du brigand:
Je réponds donc à cet appel provenant d’un numéro fixe en Suisse. Il m’explique que mes données ont été piratées et que près de 500 francs ont été dépensés avec ma carte, qu’il a soi-disant bloquée au vu de l'urgence. Très aimable, sa voix se veut rassurante et polie, il connaît mon nom, mon prénom et mon adresse et me parle avec l’aplomb et la bienveillance d’un commercial chevronné prêt à me vendre son tapis.
A partir de là, la confiance est gagnée et le coït sur ma personne peut commencer. A aucun moment mon esprit ne fait le lien entre Amazon et Postfinance. Il me fait analyser le mail dont je dispose encore, m'indique de vérifier l'adresse de l'expéditeur qui était masquée sous l'appellation «Amazon Prime Video» et j'y découvre une adresse quelconque. Je suis abasourdi par ma bêtise, le taux de cortisol dû au stress explose et l'homme au bout du fil apparaît comme un bienfaiteur dans une situation d'urgence. Je suis désormais sa chose et je ne le conscientise même pas.
Il m’explique que, la source ayant été localisée et les transactions bloquées, il va simplement m’envoyer une authentification à valider dans mon e-banking afin de récupérer le montant. Mais dans la panique, le corps réagit parfois plus vite que l’esprit, et au moment où j’analyse cette notification, mon doigt glisse et valide un versement pour l’achat d’une carte cadeau sur la plateforme en ligne kkiosk.ch, la chaîne de kiosques de la compagnie Valora Suisse SA.
C’est à ce moment-là que la ligne se coupe, me laissant seul avec mes yeux pour pleurer. J’ai bloqué ma carte, appelé ma banque, je me suis rendu au poste de police pour porter plainte et j'ai changé tous mes mots de passe. Ni Postfinance ni mon assurance ne peuvent me rembourser, puisque le fait d’avoir effectué moi-même un virement, malgré une manipulation psychologique par un tiers, n’est pas pris en compte.
Pendant ce temps, sur mon compte:
K Kiosk, de son côté, indique que l’achat a déjà été effectué et que l'entreprise ne peut rien faire. Un dédouanement systématique: les cartes-cadeaux volées sont utilisées bien avant que l’entreprise alertée puisse réagir. Etant donné que la seule option pour les contacter est un chatbot et un e-mail, l’escroc a largement le temps de mener sa funeste tâche avant que l’entreprise ne puisse intervenir.
Un système bien rodé
Vendre des cartes cadeaux en ligne permet à toute personne disposant d'une adresse e-mail et d'une carte de crédit de convertir de l'argent en cartes de cryptomonnaie ou prépayées, sans laisser de trace. Grâce à des bons comme Paysafe, elle offre un moyen de paiement anonyme, qui peut ensuite être transformé en argent en revendant les bons ou en les utilisant directement. Une méthode particulièrement pratique pour escroquer des victimes ou blanchir de l'argent en étant invisible.
Ce que la vie m’aura appris? L’imprudence découle de la responsabilité individuelle: si quelqu’un pointe une arme sur vous et vous fait appuyer sur la gâchette sans que vous vous en rendiez compte, on considérera vraisemblablement cela comme un suicide, vous serez responsable de votre propre mort. Quant à ma plainte, j’espère que la cyberpolice arrêtera le filou qui m’a détroussé, mais j’ai quelques doutes. L’ensemble du système semble avoir un train de retard face aux menaces numériques. Internet est une vaste partie de Loups-garous et un villageois de plus s'est fait avoir. Cela n'arrive pas qu'aux autres.