Trois semaines après avoir perdu 2 400 € dans un faux virement bancaire, Claire reçoit ce SMS :
« Mme MOREAU, votre dossier n°RF-2026-8841 a été retenu par notre cellule de recouvrement des victimes de fraude bancaire. Montant identifiable : 2 380 €. Rappelez le 01 84 XX XX XX ou consultez : recouv-victimes-fr.net »
Le montant est presque juste. Le nom est correct. Le mot « dossier » évoque un numéro de plainte qu'elle a effectivement déposée. Et surtout : Claire veut désespérément croire que cet argent n'est pas perdu.
Elle rappellera. Elle paiera 380 € de « frais de constitution de dossier ». Puis 750 € de « caution de déblocage ». Elle ne reverra ni les 2 400 € initiaux, ni les 1 130 € supplémentaires.
Cette mécanique porte un nom dans le vocabulaire policier international : la recovery room, ou arnaque à la récupération de fonds. En France, l'Autorité des marchés financiers (AMF) alerte sur ce schéma depuis plusieurs années, initialement dans le domaine des placements frauduleux. En 2026, il a massivement basculé vers le SMS et vise désormais toutes les victimes d'escroqueries, pas seulement les investisseurs floués.
Pourquoi les escrocs reviennent vers les mêmes victimes
C'est le point le plus dur à entendre, et pourtant il est central : être victime une fois augmente statistiquement la probabilité d'être ciblé à nouveau.
Trois raisons se combinent.
1. Les listes de victimes circulent. Quand une campagne de smishing aboutit — formulaire rempli, carte saisie, appel abouti — l'opérateur note le résultat. Ces fichiers, appelés « sucker lists » dans le jargon anglo-saxon, ont une valeur marchande supérieure à une liste de numéros bruts, parce qu'ils identifient des personnes ayant déjà franchi le pas. Ils sont revendus entre groupes criminels, exactement comme n'importe quel fichier de prospection.
2. Le profil psychologique est connu. L'escroc ne sait pas seulement que vous avez un numéro de mobile : il sait quel scénario a fonctionné sur vous, quel montant vous avez accepté de payer, à quelle heure vous répondez. C'est du ciblage comportemental appliqué à la fraude.
3. La victime est dans un état émotionnel exploitable. Honte, colère, sentiment d'injustice, besoin de réparation. La perspective de « récupérer » agit comme un levier bien plus puissant que la peur d'une amende ou l'appât d'un cadeau. Cybermalveillance.gouv.fr et la Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) insistent régulièrement sur ce point : les campagnes secondaires exploitent la détresse créée par la première.
Autrement dit, la première arnaque produit la matière première de la seconde.
Anatomie du SMS de fausse récupération
Ces messages ne ressemblent pas aux SMS de colis ou d'amende. Ils sont plus sobres, plus administratifs, souvent plus longs. Quelques marqueurs récurrents observés en 2026 :
| Élément | Ce que dit le SMS | Ce que ça vaut réellement |
|---|---|---|
| Numéro de dossier | « Dossier n°RF-2026-8841 » | Généré aléatoirement, aucune base |
| Montant | Proche mais pas identique au montant perdu | Estimation à partir de données revendues ou fourchette plausible |
| Entité citée | « cellule de recouvrement », « médiateur », « cabinet agréé » | Aucune existence légale sous ce nom |
| Urgence | « sous 72 h avant clôture » | Empêche la réflexion et la vérification |
| Canal de rappel | Numéro en 01/09 ou lien web | Plateforme d'appel offshore, site jetable |
Certains messages vont plus loin et usurpent des noms réels : Banque de France, AMF, Tracfin, « service national de lutte contre la fraude », voire un cabinet d'avocats existant dont le nom a été copié. L'usurpation d'identité d'organismes publics reste l'un des ressorts les plus efficaces du smishing — le même mécanisme que le spoofing d'expéditeur, mais appliqué à une promesse de réparation plutôt qu'à une menace.
Les variantes les plus fréquentes
- Le faux avocat spécialisé. Il propose une « action collective » contre la plateforme frauduleuse, contre honoraires versés d'avance.
- La fausse autorité de régulation. Elle annonce que vos fonds ont été « gelés sur un compte séquestre » et qu'une taxe de déblocage est due.
- Le faux service bancaire. Il prétend avoir « identifié le bénéficiaire » du virement et demande vos identifiants pour lancer le rappel de fonds.
- La fausse cagnotte d'indemnisation. Elle évoque un fonds de garantie européen et demande des justificatifs — pièce d'identité, RIB, facture — qui alimentent en réalité une usurpation d'identité complète.
- Le faux « chasseur de cryptos ». Il affirme pouvoir tracer vos crypto-actifs sur la blockchain, service techniquement plausible mais commercialement bidon dans 99 % des cas.
Le signal qui ne trompe jamais : on vous demande de payer
Retenez cette phrase, elle résume tout l'article :
Aucun organisme légitime en France ne vous demande de payer, à l'avance et par des moyens non traçables, pour vous restituer de l'argent qui vous appartient.
Ni la Banque de France, ni l'AMF, ni la police, ni la gendarmerie, ni votre banque. Le dépôt de plainte est gratuit. La saisine du médiateur bancaire est gratuite. La procédure de contestation d'un paiement auprès de votre banque, prévue par le Code monétaire et financier, est gratuite.
Quand des frais apparaissent — « frais de dossier », « taxe de déblocage », « caution », « TVA sur récupération », « commission de succès payable d'avance » —, la question n'est plus est-ce vrai ? mais comment mettre fin à l'échange ?
Deuxième signal, tout aussi fiable : le mode de paiement demandé. Cartes cadeaux (PCS, Transcash, Neosurf), virements vers l'étranger, crypto-actifs, envoi d'espèces par transporteur. Ce sont des canaux choisis parce qu'ils sont irréversibles. Une organisation légitime ne fonctionne jamais ainsi.
Ce qu'il faut faire concrètement à la réception du message
1. Ne rappelez pas le numéro indiqué
Même par curiosité. Un rappel confirme que la ligne est active et qu'un humain répond — information qui a de la valeur. Les plateformes d'appel qui opèrent ces campagnes sont entraînées : elles ont un script pour la personne méfiante, un autre pour la personne en colère, un autre pour celle qui « veut juste comprendre ».
2. Vérifiez par un canal que vous choisissez vous-même
Le principe cardinal de toute vérification : n'utilisez jamais un contact fourni par le message suspect. Tapez vous-même l'adresse officielle, ou composez le numéro figurant au dos de votre carte bancaire.
- AMF : liste noire publique des acteurs non autorisés, consultable sur le site officiel
- Assurance Banque Épargne Info Service (ABE IS), service public commun AMF / ACPR / Banque de France : 34 14 (appel non surtaxé)
- Cybermalveillance.gouv.fr pour un diagnostic et une mise en relation
3. Signalez le message
Le numéro 33700 reste le dispositif national de signalement des SMS frauduleux : transférez le SMS au 33700, puis envoyez le numéro de l'expéditeur quand on vous le demande. En parallèle, la plateforme PHAROS (internet-signalement.gouv.fr) recueille les signalements de contenus illicites en ligne.
4. Documentez tout
C'est ici que la plupart des dossiers se perdent. Les captures d'écran, les relevés, les horodatages : tout doit être conservé de manière lisible et ordonnée. Beaucoup de victimes m'écrivent avec une dizaine de photos floues d'un écran prises avec un autre téléphone. Un simple classeur à archives avec des pochettes, dans lequel on range les impressions datées, les relevés bancaires annotés et le récépissé de plainte, fait souvent plus pour un dossier qu'une heure de recherche en ligne. Numérotez les pièces. Datez-les. Cela vous servira devant la banque, l'assurance et, le cas échéant, le tribunal.
5. Bloquez, mais sans illusion
Bloquer le numéro est utile, mais les campagnes tournent sur des milliers de lignes jetables. Le blocage protège de ce numéro-là, pas de la campagne.
Les vraies voies de recours en France
Puisque l'arnaque exploite une méconnaissance des procédures réelles, autant les rendre claires.
Pour un paiement par carte bancaire non autorisé : vous disposez d'un droit de contestation auprès de votre banque. L'article L133-18 du Code monétaire et financier prévoit un remboursement immédiat des opérations non autorisées, sauf négligence grave de votre part — c'est précisément ce point qui fait débat quand la victime a elle-même saisi ses codes. Le délai de contestation est de 13 mois (70 jours pour certaines opérations hors Union européenne).
Pour un virement effectué par vous sous manipulation : la situation est plus difficile, mais elle bouge. La Banque de France et l'Observatoire de la sécurité des moyens de paiement suivent de près la hausse des « escroqueries par manipulation », où la victime exécute elle-même l'opération. Demandez à votre banque de tenter un rappel de fonds (recall) le plus vite possible : les premières heures sont décisives.
En cas de refus de la banque : saisine gratuite du médiateur bancaire de l'établissement, puis éventuellement de l'ABE IS.
Plainte : en commissariat, en gendarmerie, ou en ligne sur la plateforme de préplainte. Le dépôt de plainte est un droit ; un service ne peut pas le refuser.
Usurpation d'identité : si vous avez transmis une pièce d'identité, signalez-le, surveillez votre situation bancaire et pensez au droit d'accès prévu par le RGPD pour savoir ce qui est détenu sur vous. Un guide pratique sur la protection des données personnelles écrit pour le grand public aide à comprendre quels leviers existent réellement, au-delà des conseils génériques.
Réduire la surface d'attaque après une première fraude
On ne peut pas effacer son numéro des listes qui circulent. On peut en revanche rendre les tentatives suivantes moins efficaces.
Séparer les usages. Beaucoup de victimes récidivantes utilisent le même numéro pour tout : banque, petites annonces, inscriptions commerciales, livraisons. Une seconde ligne — via une carte SIM prépayée sans engagement — réservée aux annonces et aux inscriptions non essentielles limite la contamination de votre ligne principale.
Verrouiller le second facteur. Si vos codes de validation arrivent par SMS, ils sont vulnérables au détournement de ligne. Basculer les comptes sensibles vers une application d'authentification, voire vers une clé de sécurité physique FIDO2, supprime purement et simplement ce vecteur.
Sécuriser l'appareil lui-même. Après une fraude, la question « mon téléphone est-il compromis ? » revient toujours. Faites la mise à jour du système, retirez les applications installées hors magasin officiel, et vérifiez les autorisations d'accessibilité — c'est par là que passent les logiciels malveillants Android qui lisent les SMS.
Ralentir volontairement. L'escroquerie à la récupération repose sur l'idée qu'il faut agir vite. Adoptez la règle inverse : aucune décision financière dans les 24 heures qui suivent un message non sollicité. Un carnet de notes format poche, dans lequel vous écrivez la date, l'heure, le contenu et votre réaction avant de décider quoi que ce soit, transforme une impulsion en dossier.
La part psychologique qu'on n'aborde jamais assez
Il faut le dire franchement : la honte est le meilleur allié des escrocs. Une victime qui n'en parle à personne est une victime qui décide seule, sous pression, avec un interlocuteur professionnel de la manipulation en face.
Les associations d'aide aux victimes — France Victimes et son numéro national 116 006, gratuit et accessible sept jours sur sept — existent précisément pour ça. Elles ne jugent pas, elles orientent. Parler à un tiers avant de payer quoi que ce soit reste la mesure de protection la plus efficace, et la moins technique, de toute cette liste.
Certaines personnes trouvent aussi utile de comprendre les mécanismes eux-mêmes plutôt que de subir : un livre sur la manipulation et l'ingénierie sociale explique comment ces scripts sont construits, et lire cela une fois vaccine durablement. On reconnaît beaucoup mieux une technique quand on l'a vue décrite à froid.
À retenir
- Recevoir une proposition de récupération de fonds après une fraude n'est pas une chance : c'est le signe que vous figurez sur une liste de victimes revendue.
- Aucun organisme légitime ne demande un paiement d'avance pour restituer votre argent. Les « frais de dossier » sont l'arnaque elle-même.
- Cartes cadeaux, crypto, virement à l'étranger : trois modes de paiement qui signent l'escroquerie.
- Vérifiez toujours par un canal que vous avez choisi — jamais le numéro fourni dans le message.
- Signalez au 33700, déposez plainte, saisissez gratuitement le médiateur bancaire si votre banque refuse.
- Le 116 006 (France Victimes) et le 34 14 (ABE IS) sont gratuits. Les escrocs, non.
Si vous avez déjà perdu de l'argent, la bonne nouvelle est modeste mais réelle : les recours existent, ils sont gratuits, et ils passent par des institutions que vous pouvez contacter vous-même. Tout ce qui vous arrive spontanément par SMS avec une promesse de restitution mérite, en 2026, exactement le même traitement qu'un faux SMS de colis — la suppression.
