Fraude en ligne: quels sont les bons réflexes à adopter ?
- Publié le 23/10/2023
- Derrnière mise à jour le 27/11/2023
Co-auteurs: Lydie Van Muylem, associée - Fryderyk de Peslin Lachert, associé - Alexandra Guillaume, collaboratrice / Janson-Cabinet d'avocats
Contexte
La fraude en ligne est omniprésente aujourd’hui. Les belges n’ayant encore jamais fait l’objet d’une tentative de phishing au moyen d’un email, d’un SMS ou encore d’un appel téléphonique sont, hélas, de plus en plus rares.
Le « phishing » (ou « hameçonnage ») est un terme générique utilisé pour décrire les fraudes s’appuyant sur l’obtention, auprès de l’utilisateur d’un instrument de paiement, de ses données de sécurité, afin de permettre au fraudeur de réaliser des opérations depuis le compte bancaire de l’utilisateur. Pour ce faire, le fraudeur met en place une structure, initiée par l’envoi d’un email, d’un SMS, d’un message sur WhatsApp ou d’un appel téléphonique, destiné à faire croire à la victime qu’elle effectue une opération à l’enjeu souvent limité (paiement de frais de port, par exemple ou remboursement d’un trop perçu), alors qu’elle est en réalité en train de lui communiquer ses données bancaires personnelles afin de permettre au fraudeur de réaliser (« authentifier ») une autre opération.
Face à ce phénomène en constante évolution, nous décrivons ci-dessous les points importants de la règlementation belge en la matière ainsi que les bons réflexes à adopter pour vous protéger contre le phishing.
Quelles sont les règles applicables ?
La réglementation applicable aux opérations de paiement non-autorisées est issue du droit européen. Elle figure désormais dans le Code de droit économique.
Les principaux points d’attention de cette réglementation sont les suivants :
- Lorsque le payeur détecte une opération de paiement non autorisée, il doit la notifier à sa banque (le « prestataire de service de paiement ») « sans délai » et « au plus tard dans les treize mois suivant la date de débit ou de crédit ». Tant qu’il n’a pas notifié, il devra supporter les conséquences de la fraude.
- Les opérations non autorisées sont en principe remboursées par le prestataire de services de paiement (éventuellement après déduction d’une franchise de 50 EUR), sauf lorsque que les pertes occasionnées résultent :(i) d’un manquement du payeur, intentionnel ou suite à une négligence grave, à ses propres obligations en matière de services de paiement (parmi lesquelles figure notamment celle de de préserver la sécurité de ses instruments de paiement et données de sécurité personnalisées), ou (ii) s’il a agi frauduleusement. Dans ces derniers cas, c’est au payeur de supporter toutes les pertes liées aux opérations de paiement non autorisées.
Les Cours et Tribunaux apprécient la négligence grave sur base du critère du comportement attendu d’un payeur normalement prudent et diligent, placé dans les mêmes circonstances concrètes, sans tenir compte des caractéristiques propres au payeur, tel que l’âge.
8 conseils pour se prémunir contre le phishing ?
Vous recevez un message ou appel qui semble suspect, voici quelques bons réflexes à adopter pour reconnaître le phishing :
- Demandez-vous si ce message ou appel est attendu (ex : êtes-vous effectivement dans l’attente d’un colis ?). Dans la négative, il s’agit déjà d’une raison suffisante pour être vigilant et vérifier l’authenticité du message.
- Vérifiez l’expéditeur. Par exemple :
- Ne donnez jamais suite à un message ou appel émanant d’une prétendue institution ou entreprise publique lorsque le numéro utilisé est un numéro privé (+32 4…). Il s’agit très probablement d’une fraude car ces dernières utilisent en général des numéros à 4 chiffres.
- Si vous êtes contacté par email, vérifiez toujours l’adresse email complète. La moindre faute d’orthographe dans l’adresse ou l’utilisation d’adresses emails atypiques sont des indices de fraude.
- Vérifiez l’orthographe. Des fautes d’orthographe et/ou l’emploi d’une langue étrangère peuvent aussi être des signes d’un message suspect. Votre banque et l’administration communiquent en général avec vous dans votre propre langue.
- Vérifier le site web. Les messages frauduleux contiennent souvent un hyperlien menant à un faux site web. Ne cliquez jamais dessus sans réfléchir. Vérifiez toujours l’URL complète d’un site web (en passant votre souris dessus sans cliquer), en vous posant les questions suivantes : y a-t-il un nom de domaine ? Ce nom de domaine correspond-il au nom de l’entreprise ou est-il atypique ? Contient-il des fautes d’orthographe.
- Soyez attentif aux éventuels SMS reçus de votre banque. Il est fréquent qu’un fraudeur se serve des données interceptées pour installer l’app de la banque sur son GSM, liée aux comptes de sa victime. La plupart des banques ont donc désormais renforcé la sécurité des procédures d’installation de leur app au moyen de codes ou liens d’activation supplémentaires envoyés à leurs clients par SMS ou email. Si vous recevez un SMS ou email de votre banque vous avertissant de l’installation d’une application bancaire sur un GSM et que vous n’en êtes pas à l’origine, stoppez immédiatement toute action en cours et contactez votre banque et Card Stop.
- N’utilisez jamais votre lecteur de carte pour recevoir un paiement. Un lecteur n’est jamais nécessaire pour ce type d’opération.
- En règle générale, ne communiquez jamais à un tiers vos données bancaires confidentielles. Soyez attentif au fait que le code de réponse qui s’inscrit sur votre digipass après y avoir inséré votre carte et entré votre code secret est aussi une donnée confidentielle.
- Si vous avez le moindre doute sur l’authenticité de votre opération après avoir entré des données confidentielles, appeler Card Stop (accessible 24h/24 et 7j/7).
L’adoption d’un comportement contraire à l’une ou plusieurs des recommandations qui précèdent pourrait être vue comme une négligence grave, justifiant aux yeux d’un juge que vous supportiez les pertes occasionnées.
A titre exemplatif, ont notamment déjà été retenus par les Cours et Tribunaux comme témoignant d’une négligence grave dans le chef du payeur : l’absence d’attention attirée sur l’origine du SMS (numéro privé), la caractère non-officiel d’un hyperlien, la présence de fautes d’orthographe, le types de manipulations demandées à la victime avec le lecteur de carte et l’absence de réaction aux SMS reçus de la banque signalant l’installation d’une application bancaire sur un appareil.
Victime de phishing, que faire ?
Si vous constatez que des transactions non-autorisées ont été effectuées depuis vos comptes :
- Bloquez immédiatement vos cartes de paiement via Card Stop ;
- Déposez plainte à la police en expliquant les détails de la fraude ;
- Contactez immédiatement votre banque. Si elle est contactée suffisamment tôt après l’exécution des opérations de paiement non autorisées, elle pourra peut-être encore bloquer les transactions et vous restituer les fonds. Sachez toutefois que ce sera impossible en cas d’opérations de paiement instantané et d’achat sur internet.
Lydie Van Muylem
Depuis son admission au barreau en 2010, Lydie travaille dans les domaines du contentieux commercial et du droit des sociétés et des fusions-acquisitions. Ces deux domaines, entre lesquels elle partage principalement sa pratique, se nourrissent mutuellement et lui permettent d'aborder chaque transaction ou litige de manière pragmatique et éclairée.
Lydie possède également une grande expérience en droit bancaire et financier, domaine dans lequel elle a publié de nombreux articles, notamment dans le domaine du crédit, des services de paiement et des produits financiers.
Les clients apprécient ses capacités d'analyse et d'écoute, qui lui permettent de trouver la meilleure solution pour leurs intérêts. Elle travaille en français, anglais et en néerlandais. En savoir plus: Vers mon site internet
Alexandra Guillaume
Alexandra est collaboratrice au sein du département Banque et Finance, au sein duquel elle pratique également le contentieux commercial.
Elle travaille en français et anglais. En savoir plus: Vers mon profil LinkedIn
