Ne communiquez jamais votre code secret, vos mots de passe, vos identifiants bancaires, ni votre numéro de carte complet avec son cryptogramme par e-mail, SMS ou téléphone. Le RIB demande aussi un peu de prudence. Un site digne de confiance ne réclame jamais d’informations sensibles par message. Quelques réflexes simples suffisent pour acheter l’esprit tranquille.
🔒 L’essentiel à retenir
Code secret et mots de passe
Aucun marchand légitime ne les demande.
Vérifier par un autre canal
Appelez le numéro du site officiel, pas celui du message.
Agir vite en cas d’erreur
Faites opposition à votre carte sans attendre.
| Information | À donner ? | Dans quel cas |
|---|---|---|
| Code secret | Jamais | Nulle part, à personne |
| Mots de passe | Jamais | Aucun tiers n’en a besoin |
| Identifiants bancaires | Jamais via un lien reçu | Uniquement sur l’adresse habituelle de votre banque |
| Numéro de carte, date, cryptogramme | Avec précaution | Sur la page de paiement d’un site vérifié |
| RIB | Avec précaution | À un interlocuteur identifié |
Quelles données bancaires ne jamais communiquer, même à un site connu ?
Une demande peut sembler parfaitement légitime : logo familier, ton courtois, urgence apparente. Pourtant, certaines données ne se donnent jamais en réponse à un message, quel que soit l’expéditeur affiché.
Code secret et mots de passe : pourquoi aucun site ne doit les demander
Votre code PIN (ou code confidentiel) sert uniquement au distributeur et au terminal de paiement en magasin. Un paiement en ligne n’en a jamais besoin, donc quiconque le réclame cherche à vider votre compte.
Même règle pour vos mots de passe de banque, de messagerie ou de compte client : personne ne peut légitimement vous les demander. Un marchand n’a d’ailleurs aucune raison de vous réclamer le mot de passe d’un autre service.
Numéro de carte, date d’expiration et cryptogramme : dans quels cas sont-ils interdits ?
Ces trois informations suffisent à réaliser un achat. Ne les écrivez jamais dans un e-mail, ne les envoyez pas par SMS, ne les dictez pas à un interlocuteur que vous n’avez pas identifié vous-même.
La CNIL cite le cas d’un client qui a répondu à un faux message en indiquant son numéro de carte dans le corps du texte. La fraude a suivi aussitôt.
Identifiants de l’espace bancaire : pourquoi ne jamais les saisir après un lien reçu
Ces identifiants n’ont rien à voir avec ceux du site marchand : ils ouvrent l’accès à tout votre compte. Un lien reçu par message peut mener à une copie parfaite de la page de votre banque.
Tapez toujours vous-même l’adresse habituelle, ou ouvrez l’application officielle.
Peut-on donner son RIB sans danger ?
Oui, dans un cadre précis. Le RIB seul ne permet pas de prélever de l’argent sur votre compte : il faut en plus un mandat SEPA que vous avez signé.
Il reste toutefois une donnée sensible. Réservez-le à des interlocuteurs que vous avez identifiés (employeur, bailleur, organisme officiel). Ne le transmettez jamais en réponse à une demande que vous n’avez pas sollicitée, ni à un vendeur inconnu qui exige un virement direct.
Comment reconnaître une tentative de phishing avant de transmettre une information ?
Le phishing (ou hameçonnage) consiste à se faire passer pour une entité de confiance, banque, site marchand ou plateforme de réservation, afin de vous soutirer des informations. Il prend la forme de faux e-mails, de faux SMS ou de faux sites qui copient l’original.
Comment fonctionne l’arnaque de la fausse re-confirmation de réservation
Un cas rapporté par la CNIL montre le mécanisme. Un hôtelier stockait ses mots de passe dans sa messagerie, piratée via un e-mail d’hameçonnage. Les fraudeurs ont alors accédé à son compte sur une plateforme de réservation et écrit aux clients, depuis la même adresse d’expéditeur que d’habitude, pour leur demander de « confirmer » leur réservation avec leurs données bancaires.
Les clients ont réagi de trois façons : l’un a répondu avec sa carte, un autre a cliqué sur un faux lien de paiement, un troisième a appelé l’hôtel et découvert la fraude. Cette dernière réaction est la bonne : appelez via le numéro du site officiel, jamais celui indiqué dans le message.
Quels signaux d’alerte indiquent un site ou un message frauduleux
Plusieurs indices doivent vous faire suspendre toute saisie :
- une demande de re-confirmation de commande accompagnée de données bancaires ;
- un paiement par virement direct exigé, qui contourne les protections ;
- un prix anormalement bas, trop beau pour être vrai ;
- des coordonnées de vendeur vagues, incomplètes ou absentes ;
- de nombreux avis négatifs sur le site ou le vendeur.
Comment vérifier qu’un site est sécurisé avant de payer ?
Regardez d’abord l’adresse : elle doit commencer par https et afficher un cadenas. Cela signifie que la connexion est chiffrée (le certificat SSL), donc que vos données ne circulent pas en clair. Gardez aussi votre navigateur à jour, car il affiche ainsi correctement les alertes.
Le cadenas ne prouve pas l’honnêteté du vendeur. Pour trancher, passez l’adresse dans des outils gratuits comme ScamAdviser, WOT ou France Verif, qui examinent l’ancienneté du site, les avis et les moyens de paiement. Vous trouverez aussi des repères pour savoir si un site internet est fiable avant de commander.
Lisez ensuite la politique de confidentialité, obligatoire pour tout site qui collecte des données personnelles. Elle indique si vos informations sont revendues ou partagées. Pour un site peu connu, cherchez les avis sur Google avant d’acheter.
Côté paiement, préférez la carte de crédit à la carte de débit (contestation plus facile), PayPal (le vendeur ne reçoit pas vos coordonnées bancaires) ou une carte virtuelle à usage unique. Évitez les achats sur Wi-Fi public ou sur un ordinateur partagé.
Que faire si vous avez déjà donné une information sensible par erreur ?
Pas de panique : agir vite limite fortement les dégâts. Suivez ces étapes dans l’ordre :
- faites opposition sur la carte concernée ;
- contactez votre banque pour signaler la fraude ;
- vérifiez vos relevés et repérez toute opération suspecte ;
- changez les mots de passe potentiellement compromis ;
- déposez plainte à la police ou à la gendarmerie.
Conservez les preuves : confirmation de commande, reçu, date et heure. Elles serviront en cas de litige, et vous pouvez voir comment récupérer votre argent si un prélèvement a déjà eu lieu. Une entreprise victime d’une fuite de données doit, elle, notifier la CNIL sous 72 heures.
Avant votre prochain achat, prenez deux minutes pour vérifier le site avec ScamAdviser et activez les alertes de votre banque : vous serez prévenu à la moindre opération inhabituelle.
