Passage de Payconiq à Wero : attention aux faux messages suivis d'appels de faux banquiers

Depuis la fin du mois de septembre, l'application de paiement Payconiq a cédé sa place à Wero au Grand-Duché. Pour beaucoup d'utilisateurs, ce changement s'accompagne de messages les invitant à « basculer » vers le nouveau service. Les escrocs l'ont bien compris : ils profitent de cette période de transition, où chacun s'attend à recevoir ce genre de consigne, pour glisser leurs propres messages au milieu des vrais.

Le quotidien Le Quotidien relevait dès le 1er octobre la circulation de faux courriels et SMS au nom de Wero. Le 6 octobre, la Police grand-ducale a à son tour lancé une mise en garde après avoir reçu plusieurs signalements de victimes, et le phénomène concerne aussi bien les particuliers que les petites entreprises qui encaissent leurs clients par smartphone.

Un piège en deux temps : le message, puis l'appel

D'après la police, le scénario suit souvent le même déroulement. La victime reçoit d'abord un e-mail ou un SMS lui demandant d'activer Wero en suivant un lien. Celui-ci mène vers une fausse page sur laquelle elle saisit ses données personnelles ou celles de sa carte bancaire. Peu de temps après, son téléphone sonne : un interlocuteur se présente comme employé de sa banque ou de LuxTrust et lui annonce que son compte a été piraté ou que des opérations suspectes ont été repérées.

C'est là que le piège se referme. Sous prétexte de « sécuriser » le compte, le faux conseiller demande de scanner un QR code, de communiquer un code ou de valider une demande dans l'application bancaire ou LuxTrust. En réalité, c'est la victime elle-même qui autorise le virement vers les fraudeurs. Comme les données saisies la veille rendent l'appel très crédible, même des personnes prudentes s'y laissent prendre.

Ce n'est pas le seul procédé du moment. La police luxembourgeoise signalait aussi le 10 octobre de faux courriels attribués à un huissier, à la police ou à BEE SECURE, qui accusent le destinataire d'un délit imaginaire pour lui réclamer de l'argent. Côté belge, Safeonweb, le service du Centre pour la Cybersécurité Belgique, met régulièrement en garde contre de faux messages au nom d'itsme menaçant de bloquer le compte de l'utilisateur.

Le bon réflexe : raccrocher et rappeler soi-même

Retenez une règle simple : aucune banque, ni LuxTrust, ni itsme ne vous demandera jamais par téléphone vos codes, votre code PIN ou de valider une opération que vous n'avez pas lancée vous-même. Si un appel vous met sous pression, raccrochez poliment, puis rappelez votre banque au numéro inscrit au dos de votre carte ou dans votre application, jamais à celui donné par votre interlocuteur. Pour installer Wero, passez uniquement par l'App Store, Google Play ou l'application de votre banque, sans cliquer sur le lien d'un message.

Si vous avez déjà saisi des informations, faites bloquer votre carte sans attendre, prévenez votre banque et conservez les preuves (captures d'écran, numéro appelant, e-mail reçu). Au Luxembourg, le portail cyberfraud.lu, relancé le 9 octobre par la Luxembourg House of Cybersecurity, guide pas à pas les victimes. En Belgique, transférez les messages suspects à suspect@safeonweb.be.

Dans une PME, prenez quelques minutes pour en parler à l'équipe, en particulier aux personnes qui gèrent la caisse ou les paiements : ce qui est expliqué de vive voix est bien plus vite reconnu le jour où le faux message arrive.

Vous avez un doute sur un message reçu, ou vous craignez d'avoir cliqué trop vite ? Passez nous voir dans nos magasins de Bastogne et de Wiltz ou appelez-nous : nous vérifions avec vous votre smartphone ou votre ordinateur, nous vous aidons à sécuriser vos comptes et, si vous le souhaitez, nous pouvons aussi sensibiliser votre équipe à ces nouvelles arnaques.