Le code qui vous trahit sans que vous le sachiez

Imaginez : vous venez de passer 20 minutes au téléphone avec un « conseiller » qui vous a demandé un code à 6 chiffres. « Pour vérifier votre identité, tapez 1-2-3-4-5-6. » Vous l’avez fait. Sauf que ce code, vous ne l’avez jamais saisi sur un clavier. Il était pour eux.

Voilà comment ça fonctionne :

• L’escroc appelle votre numéro. Quand vous décrochez, il vous dit qu’il est de votre banque ou de votre opérateur.
• Il vous demande un code (souvent un numéro de série, un numéro de compte, ou pire : un code envoyé par SMS). « C’est pour vérifier que c’est bien vous. »
• Vous le lui donnez.
• Pendant que vous parlez, il active une redirection d’appels (USSD en jargon technique) via ce code. Résultat : dès maintenant, tout appel entrant sur votre numéro est automatiquement basculé vers leur ligne.

Google a documenté cette technique dans son rapport sur les fraudes vocales (2023). Les escrocs utilisent des codes USSD comme *123# ou *100# pour pirater les lignes. Une fois votre numéro détourné, ils reçoivent vos appels, factures impayées, colis en attente, notifications bancaires. Ils répondent à votre place, volent vos infos, et vous, vous ne savez même pas que votre téléphone est devenu leur complice.

Le pire ? Les opérateurs français (Orange, SFR, Bouygues) mettent des semaines à désactiver ces redirections une fois signalées. D’ici là, les escrocs ont le champ libre.

Pourquoi cette arnaque marche encore ?

Parce que les gens croient les voix au téléphone. Parce que les opérateurs ne bloquent pas les codes USSD malveillants par défaut. Et parce que Google, malgré ses alertes, n’a toujours pas forcé les fabricants à intégrer un bloqueur automatique de ces codes dans Android.

Prenez l’exemple de la banque Poste : en 2022, des escrocs ont utilisé cette technique pour détourner 5 000 numéros en trois mois (source : rapport de la DGCCRF). Les victimes ? Des retraités, des jeunes, des entrepreneurs. Tous avaient une chose en commun : ils avaient obéi sans réfléchir.

Le problème n’est pas la technique. C’est l’absence de sanctions pour les opérateurs qui laissent faire. Et l’absence de solution simple pour les utilisateurs. Aujourd’hui, si votre numéro est redirigé, vous devez :

1. Composer ##002# (pour désactiver la redirection).
2. Changer tous vos codes bancaires (même si vous n’avez rien perdu).
3. Porter plainte (parce que les opérateurs ne bougent que sous la pression).

Trois étapes. Trois heures de stress. Trois risques d’erreur.

La parade d’Android arrive… mais trop tard pour beaucoup

En décembre 2024, Google promet une mise à jour pour bloquer automatiquement les codes USSD suspects. Trop tard pour les 200 000 victimes annuelles en France (chiffre DGCCRF 2023).

Pourquoi cette attente ? Parce que les opérateurs ne veulent pas perdre de l’argent. Une redirection d’appels, c’est un moyen pour eux de facturer des services premium… ou de revendre les données. Résultat : ils traînent des pieds pour sécuriser leurs réseaux.

Ce que vous pouvez faire maintenant :

• Ne jamais donner un code à quelqu’un qui vous appelle. Même si la voix semble « officielle ».
• Vérifier vos redirections en composant *#21#. Si un numéro s’affiche, c’est que votre ligne est piratée.
• Activer le double authentification sur tous vos comptes (même pour les appels bancaires).
• Exiger un déblocage immédiat auprès de votre opérateur si vous suspectez une redirection. Sinon, attendez-vous à des factures faramineuses ou des dettes qui ne sont pas les vôtres.

Le vrai combat : faire pression sur les opérateurs

Google a raison de pointer du doigt cette faille. Mais une alerte ne suffit pas. Il faudrait :

1. Une obligation légale pour les opérateurs de bloquer les codes USSD malveillants par défaut.
2. Un numéro unique (comme le 3018 pour les fraudes) où signaler une redirection sans perdre 20 minutes au service client.
3. Des amendes pour les opérateurs qui ne désactivent pas les redirections sous 48h.

Aujourd’hui, rien de tout ça n’existe. Les escrocs continuent. Les victimes aussi.

Le système est pourri. Pas par accident. Parce que ça arrange tout le monde : les opérateurs, qui font semblant de protéger leurs clients ; les escrocs, qui exploitent la faille ; et les régulateurs, qui préfèrent regarder ailleurs.

Ce que vous devez retenir avant de raccrocher

Si un inconnu vous appelle pour vous demander un code : raccrochez. Puis composez ##002# pour vérifier vos redirections. Si un numéro s’affiche, appelez immédiatement votre opérateur et exigez un déblocage. Pas de discussion, pas d’excuses.

Android va (enfin) agir en décembre. Mais entre maintenant et les fêtes, vous êtes seul face aux escrocs. Alors ne leur donnez pas votre numéro. Ne leur donnez pas votre code. Ne leur donnez pas une seconde chance.

Parce que la prochaine fois, ce ne sera pas une simple redirection. Ce sera votre compte en banque qui sera vidé.