Un e-mail tombe à 5 h 30 du matin. Il confirme un abonnement que vous n’avez jamais pris, « Cellcast Vidéos » à 49,99 € par an, et il affiche votre nom, votre adresse postale et votre IBAN. Le vôtre, le vrai. Depuis le 1er août, des dizaines de milliers de Français ont reçu ce message presque au mot près. En moins de trois heures, plus de 170 victimes s’étaient déjà signalées sur la plateforme Signal-Arnaques, qui redoute des dizaines de milliers de personnes visées.
Le message se veut rassurant. Il évoque la fin d’une « période d’essai » et un paiement « en cours de traitement » par prélèvement SEPA. Un bouton propose de gérer ou d’annuler l’abonnement. C’est là que le piège se referme. La page qui s’ouvre réclame le numéro complet de votre carte bancaire, sa date d’expiration et son cryptogramme, sous prétexte de vous rembourser. À ce stade, personne ne vous a rien prélevé. Tout l’objectif est de vous faire saisir vous-même vos coordonnées de carte, sur un site créé le jour même et déjà effacé le lendemain.
Pourquoi ce mail déjoue les filtres anti-spam
La force de la campagne tient à un détail technique. Les messages n’arrivent pas d’une boîte douteuse : ils empruntent l’infrastructure de messagerie de Cellcast, une véritable société australienne de services SMS, étrangère à la fraude et dont le nom a été usurpé. D’après le site spécialisé Les Smart Grids, les escrocs ont compromis ou détourné ces serveurs légitimes. Les mails portent alors des signatures cryptographiques valides, les fameux contrôles SPF et DKIM censés prouver qu’un expéditeur a le droit d’écrire au nom d’un domaine. Programmés pour faire confiance à ces signaux, les filtres livrent le message directement en boîte de réception, sans le moindre avertissement.
Comment ces inconnus connaissent-ils votre IBAN ? La réponse se trouve dans deux fuites de données massives. La quasi-totalité des personnes visées sont d’anciens ou actuels clients de Free ou de Bouygues Telecom, les deux opérateurs frappés par des piratages retentissants. Chez Free, un attaquant a accédé à l’automne 2024 aux données de 24 millions de contrats d’abonnés, IBAN compris ; la CNIL a sanctionné l’opérateur de 42 millions d’euros en janvier 2026, dont 27 millions pour Free Mobile et 15 millions pour Free. Chez Bouygues Telecom, une attaque révélée en août 2025 a exposé l’état civil, les coordonnées et l’IBAN de plusieurs millions de clients, sans toucher aux mots de passe ni aux numéros de carte.
Votre argent ne risque rien, sauf si vous saisissez votre carte
Voilà le point qui compte : recevoir ce mail ne vous expose à aucun débit. Un IBAN seul ne permet pas de déclencher un prélèvement SEPA sans mandat signé au préalable. L’incohérence saute aux yeux des spécialistes. « Devoir renseigner le numéro de carte bancaire pour annuler un abonnement avec un virement SEPA, cela n’a pas vraiment de sens. Ce serait comme donner un permis de conduire pour annuler une carte d’identité », observe Thibaut Hénin, expert judiciaire en cybersécurité cité par Les Smart Grids. Le vrai danger n’est pas dans le mail, il est dans le formulaire de carte, qui donne aux escrocs de quoi payer à votre place.
Ce qu’il faut faire si vous l’avez reçu
Si vous avez seulement lu le message sans cliquer, supprimez-le et surveillez votre compte par précaution : rien de plus. Si vous avez cliqué sans rien saisir, le risque reste limité. Si vous êtes allé jusqu’à taper vos coordonnées bancaires, faites opposition immédiatement auprès de votre banque. Vous disposez ensuite de treize mois pour contester tout débit frauduleux sur votre relevé.
L’organisme public Cybermalveillance.gouv.fr avait anticipé le scénario mot pour mot dès l’été 2025, en prévenant qu’un « mail frauduleux contenant vos nom, prénom, adresse postale et IBAN » annoncerait « un supposé paiement » pour vous pousser à livrer d’autres informations. Ses consignes tiennent en quelques gestes : surveiller le compte dont l’IBAN a fuité, demander à sa banque le remboursement de toute opération non autorisée en s’appuyant sur l’article L133-24 du Code monétaire et financier, faire placer le compte sous vigilance renforcée, et signaler le message plutôt que d’y répondre.
Ces données, elles, ne disparaîtront pas. « Une fois qu’une information est publique, on ne peut plus la supprimer », rappelle Thibaut Hénin : les bases volées se revendent et refont surface des années après une fuite. Le faux Cellcast d’aujourd’hui deviendra le faux péage ou le faux colis de demain, avec les mêmes noms et les mêmes IBAN. La parade, elle, ne bougera pas : ne jamais saisir sa carte pour « annuler » quoi que ce soit, et vérifier soi-même en passant par le site officiel du service concerné.
