Ne partagez jamais votre code de vérification : fonctionnement des arnaques OTP

Ne partagez jamais votre code de vérification : cette seule phrase est la défense la plus importante contre les arnaques OTP (mot de passe à usage unique). Un code à six chiffres reçu par SMS est la clé qui permet de se connecter à un compte ou de valider une transaction. C'est pourquoi les escrocs ne se donnent pas la peine de déchiffrer votre mot de passe : ils essaient de vous convaincre de leur lire le code. Dans cet article, nous expliquons comment fonctionnent les arnaques OTP et comment vous protéger.

Qu'est-ce qu'un OTP et pourquoi a-t-il tant de valeur ?

Un OTP, ou mot de passe à usage unique, est un code de courte durée envoyé lors d'une connexion ou d'une transaction pour confirmer que le compte vous appartient bien. Il vous parvient par SMS, par e-mail ou par notification d'application.

Ce code a de la valeur parce qu'il constitue la seconde étape : même quelqu'un qui connaît votre mot de passe ne peut pas entrer sans lui. Mais si le code est communiqué à une autre personne, cette protection disparaît. C'est pourquoi aucun organisme sérieux, aucun employé ou ami ne vous demandera de lui lire un code au téléphone, dans un message ou par tout autre moyen.

La règle d'or : un code n'arrive que pour une action que vous avez lancée vous-même, et il ne se saisit que sur l'écran de l'application ou du site concerné. Il n'est jamais communiqué à qui que ce soit, ailleurs.

Comment fonctionne une arnaque OTP ?

L'escroc tente de se connecter à un compte ou de lancer une transaction, et à cet instant le service envoie un code sur votre numéro. Il essaie ensuite de vous convaincre de lui communiquer ce code. Pour cela, il invente une « raison » : les schémas les plus courants sont les suivants :

• Un faux appel de banque ou d'organisme : « Une activité suspecte a été détectée sur votre compte ; lisez-moi le code reçu sur votre téléphone pour vérifier. »
• Un acheteur sur une annonce d'occasion : « J'ai envoyé le paiement ; transférez-moi le code que vous avez reçu pour confirmer. »
• Un message se faisant passer pour quelqu'un que vous connaissez : « J'ai tapé votre numéro par erreur, pourriez-vous m'envoyer le code que vous avez reçu ? »
• Un livreur ou un transporteur : « Dites-moi le code pour la livraison. »
• Un faux support technique : « Partagez le code pour que nous puissions récupérer votre compte. »
• Un concours ou un gain : « Nous devons vérifier votre identité pour votre cadeau. »

Tous ces scénarios aboutissent au même point : le code remplace votre approbation. En le lisant, vous autorisez en réalité l'action de l'escroc de vos propres mains.

Signaux d'alerte : comment repérer l'escroc

1. Urgence et pression : « Dites-le-moi maintenant, sinon votre compte sera fermé / votre argent disparaîtra. »
2. Un code auquel vous ne vous attendiez pas : si un code arrive sans aucune action de votre part, quelqu'un tente peut-être d'accéder à votre compte. Ne le partagez avec personne.
3. Toute personne qui vous demande de lire un code : quelle que soit la raison, celui qui demande le code est un faux.
4. Une apparente connaissance des détails de l'organisme : un escroc peut connaître votre nom, votre banque ou votre dernière transaction ; cela ne prouve pas qu'il est sincère.
5. Qui ne vous laisse pas raccrocher : vous garder en ligne ou vous dire « ne consultez personne » est un avertissement sérieux.
6. Susciter un sentiment de confiance : un ton amical ou très professionnel n'est pas une preuve d'honnêteté.

Les codes envoyés par message comportent généralement une mise en garde du type « Ne partagez ce code avec personne ». Prenez-la au sérieux.

Que faire si vous avez communiqué le code ?

Agissez vite, sans paniquer :

1. Mettez fin à la conversation immédiatement et cessez de parler à l'autre personne.
2. Depuis un appareil sûr, changez le mot de passe du compte concerné et déconnectez toutes les sessions.
3. Vérifiez vos paramètres de vérification en deux étapes et vos informations de récupération (e-mail, téléphone), et supprimez les appareils que vous ne reconnaissez pas.
4. Si vous avez communiqué un code bancaire ou de paiement, appelez immédiatement votre banque et faites placer votre carte ou votre compte sous protection.
5. Si vous avez réutilisé le mot de passe ailleurs, changez-le aussi là-bas.
6. Signalez l'incident au service, à votre banque et aux autorités compétentes, et conservez les traces des messages et des appels.

N'ayez pas honte : ces méthodes sont conçues pour être très convaincantes, et même les utilisateurs prudents se font piéger. Ce qui compte, c'est de signaler rapidement.

Habitudes de protection

• Gravez cette règle dans votre esprit : « Code = ne le communique à personne. » Parlez-en aussi à votre famille.
• Ne faites pas confiance aux appels que vous n'avez pas initiés. Même si l'interlocuteur affirme appartenir à un organisme, raccrochez et appelez vous-même le numéro officiel.
• Vérifiez l'action à laquelle correspond le code. Le message indique généralement le service concerné ; si vous n'avez rien lancé avec lui, ne saisissez pas le code.
• Utilisez une méthode plus forte que le SMS. Les applications d'authentification et les passkeys réduisent le risque de lire un code à quelqu'un. Pour une comparaison, consultez notre article sur la vérification en deux étapes.
• Gardez les notifications de compte activées. Réagissez immédiatement lorsqu'une alerte de connexion depuis un nouvel appareil arrive.
• Masquez l'aperçu des messages sur l'écran verrouillé. Un code visible sur un écran verrouillé est un risque si quelqu'un se trouve à proximité.

L'autre versant : limiter les endroits où vos codes peuvent vous atteindre

Une autre façon de vous protéger des arnaques aux codes consiste à limiter le nombre d'endroits qui détiennent votre numéro. Lorsque vous donnez votre vrai numéro à chaque site, la probabilité que le site et ses partenaires vous joignent par appel et par SMS augmente, tout comme celle de recevoir des messages frauduleux. Nous avons traité ce sujet dans pourquoi vous ne devriez pas partager votre numéro de téléphone partout.

Pour les inscriptions anecdotiques ou temporaires, vous pouvez utiliser un numéro virtuel à usage unique au lieu du vôtre. Le code n'arrive que dans votre propre espace, et il n'y a personne à qui vous devriez le communiquer. Vous pouvez consulter les options sur la page tarifaire. Les numéros virtuels ne sont pas permanents et certaines plateformes peuvent les restreindre ; sur vos comptes importants, utilisez donc votre propre numéro et des méthodes de vérification solides.

Si un code n'arrive pas, restez calme et ne demandez à personne d'autre de vous le fournir ; pour les causes possibles, lisez pourquoi votre code SMS n'arrive pas.

Erreurs courantes

Quelques habitudes facilitent le travail des escrocs :

• Saisir ou lire le code sans réfléchir, en disant « réglons vite ça ».
• Approuver sans lire à quelle action le code correspond.
• Appeler le numéro indiqué dans le message ou donné par l'interlocuteur pour « vérifier ».
• Signaler tardivement par gêne ; un signalement précoce limite souvent les dégâts.
• Ne jamais en parler à sa famille.

Quand une demande de code arrive, prendre une minute pour vous demander « est-ce moi qui ai lancé cela ? » suffit à stopper la plupart des attaques.

Questions fréquemment posées

Ma banque peut-elle me demander de lui lire un code au téléphone ?

Non. Un vrai conseiller bancaire ne vous demandera jamais un OTP, un mot de passe ou un code de vérification de carte. Si une telle demande arrive, raccrochez et appelez vous-même le numéro officiel de votre banque.

Un code est arrivé alors que je n'ai rien fait. Que dois-je faire ?

Ne partagez ni ne saisissez le code avec qui que ce soit. Quelqu'un tente peut-être d'accéder à votre compte ; changez votre mot de passe et vérifiez votre vérification en deux étapes.

Puis-je partager le code si une personne que je connais le demande ?

Non, car la personne qui vous écrit a peut-être pris le contrôle du compte de votre connaissance et pourrait utiliser votre code pour une autre action. Contactez cette personne par un autre canal, par exemple un appel vocal, pour confirmer, et ne lisez toujours pas le code.

J'ai lu un code par erreur mais rien ne s'est passé sur le compte. Puis-je être tranquille ?

Non ; prenez malgré tout des précautions. Changez le mot de passe, déconnectez les sessions et surveillez les alertes. Pour plus d'informations, consultez notre page questions fréquemment posées.