Fraude par virement sur Livret d'Epargne Populaire

[hargneux]

Virement en euro et zone SEPA donc non récupérable, les virements sont fait en continue, même 10 minutes après c'est déjà trop tard.
Votre banque aurait du demander le blocage des fonds à la banque destinataire dès qu'elle a eu l'info par swift prioritaire.
Sur la Lituanie je me faisait aussi aider par le service de sécurité de l'ambassade de France qui pouvait actionner ses propres réseaux avec la police locale. Par contre pour récupérer les fonds il faut aller en justice et donc avoir un avocat sur place.

Pour ce qui est de votre affaire un avocat spécialisé dans les affaires bancaires sera suffisant, je ne vois pas l'intérêt d'avoir une association en plus. (avis tout personnel)

 

[hapx]

Le problème est que par méconnaissance de Certicode Plus, vous l'avez donné au hacker.

Le hacker a apparemment accès à vos identifiants de la Banque Postale (LBP) : ceci est à voir comment (spyware, phishing, keylogger ?...). Il a en tout cas connaissance de vos nom, prénom, e-mail, numéro de téléphone, adresse.

Il installe l'application La Banque Postale sur son smartphone et peut donc se connecter normalement comme si c'était vous.

Il vous appelle en se faisant passer par un conseiller de LBP pour activer Certicode Plus sur votre smartphone (mais en fait il l'activera sur le sien).

Pour cela il faut un code d'activation reçu soit par SMS (rapide, mais pas sûr si téléphone volé ou code SMS communiqué) ou la plupart du temps par courrier postal (long, mais plus sûr).
Dans votre cas c'est par SMS : vous lui avez communiqué le code d'activation de Certicode Plus : le piège se referme. Le smartphone du hacker a désormais Certicode Plus activé et il peut donc valider toutes les opérations sensibles (ajout de bénéficiaires, virements externes...).

Il commence par l'ajout d'un bénéficiaire : LBP par sécurité demande 72h avant la validation du bénéficiaire.
Après 72h, le hacker fait le virement (maximum 3.000 euros virement et par jour fixé par LBP) vers le bénéficiaire (son compte). Il fait le virement de votre livret d'épargne vers le compte courant LBP : instantané car entre comptes internes.

Le jour suivant, il fait un autre virement de 3.000 euros (max autorisé) vers le bénéficiaire (son compte).

Toutes ces opérations sont validées par Certicode Plus et validées en temps réel sur son smartphone, il n'y a pas de SMS ni d'e-mail de notification. Ce qui fait que vous n'êtes pas du tout au courant !

LBP, par sécurité, aurait dû ajouter (comme le font d'autres banques), un SMS de notification + l'e-mail à chaque opération sensible même si le Certicode Plus est activé. Dans ce cas, vous auriez été notifié par SMS (car vous avez votre numéro de téléphone-carte SIM), et par e-mail (si votre e-mail n'a pas été modifié par le hacker) de l'ajout du bénéficiaire et des virements.


Donc dans votre espace personnel il faut faire rapidement :
- Vérifier les dates des opérations
- Vérifier l'historique des opérations Certicode Plus (vous devriez voir les opérations d'ajout de bénéficiaire, les virements).
- Vérifier quel est le nom du smartphone (indiqué dans votre espace personnel) associé par Certicode Plus.
- Vérifier vos informations : téléphone, e-mail, adresse.
- Changer immédiatement de mot passe : j'espère que cette opération ne nécessite pas Certicode Plus (actuellement pris par le smartphone du hacker)
- Dé-associer le téléphone du hacker de Certicode Plus, et en demandant un nouveau code d'activation Certicode Plus (code communiqué soit par SMS sur votre téléphone, vérifier le bon numéro) ou par courrier postal à votre adresse (plus sûr, mais plus long).
- Une fois le nouveau code d'activation Certicode Plus reçu, activer Certicode plus sur votre smartphone.
- Vérifier l'accès correct à votre e-mail (dans le doute, changer le mot de passe pour l'e-mail aussi)

Avec le changement de mot passe LBP, et avec Certicode Plus maintenant activé sur votre smartphone, le hacker ne peut plus accéder à votre compte et faire d'autres opérations frauduleuses dans le futur.


Pour les opérations frauduleuses (ajout de bénéficiaire, virements) déjà effectuées, vu de la banque, elles seraient issues par vous car validées par Certicode Plus censé être sur votre smartphone (en votre possession). Or en fait vous aviez communiqué le code d'activation de Certicode Plus reçu par SMS au hacker, d'où problème (négligence). Il serait très difficile d'en demander le remboursement.

 

[Tomas466]

L'enchaînement des actions tel que décrit au message précédent me paraît hélas très plausible : l'appel téléphonique malveillant n'est que la dernière étape du détournement de l'accès au compte bancaire.

J'ai également un compte LBP et je ne vois pas comment un fraudeur pourrait se l'accaparer sans connaître a minima le login et le mot de passe. À partir de ce point, il est très simple de connaître le reste (nom, prénom, adresse mail) car ils sont en clair dans les données consultables. Ça semble un peu plus compliqué pour le numéro de téléphone où il manque les trois derniers chiffres, mais il est probablement possible d'effectuer un recoupement avec d'autres fichiers existants (réseaux sociaux, annuaire professionnel...). Il suffit ensuite d'être suffisamment à l'aise et d'appeler en se faisant passer pour un conseiller financier... et récupérer le code envoyé par SMS qui correspond dans les faits à l'activation d'un changement de numéro téléphone. À partir de là il n'y a plus aucune trace pour le titulaire, sauf à se connecter à son compte et à constater les virements.

@Dan_65 il vous faut trouver un avocat rompu à ce genre de dossier, car la banque cherchera probablement à démontrer qu'il a existé deux salves de négligence de votre part.

 

[hapx]

@Dan_65

J'abonde dans le sens de @Tomas466.

Effectivement le point à comprendre est comment les identifiants (login, mot de passe) puis le numéro du téléphone du compte ont été obtenus par le hacker. Le phishing semble être écarté d'après @Dan_65. Spywares/keyloggers : possibles mais peu probables si l'ordinateur bien entretenu (sécurité à jour pour le système et les applications), ce qui semble être le cas.

Hypothèse : fuite dans les documents professionnels d'auto-entrepreneur (carte de visite, factures...) ?

1) Login : Le login est en fait le numéro de compte. Avec la Banque Postale, il n'est pas trop difficile de l'obtenir si le hacker a accès à un chèque, ou à un RIB (via une facture avec paiement par virement bancaire par exemple).

2) Mot de passe : changé tous les deux mois. Comme c'est 6 chiffres : vraiment aléatoires et pas liés par exemple à : date de naissance ? date création Société ?

3) Téléphone : pour l'obtention du numéro téléphone, quelques possibilités : recherche sur réseaux sociaux, ou contacts (adresse société/auto-entrepreneur, carte de visite), factures émises ? Registre du commerce/greffe SIRET (où l'on obtient via le Kbis en particulier l'adresse et la date de naissance) ?

 

[hapx]

@Dan_65

Pour la procédure de remboursement par LBP il faudrait insister sur le fait qu'il n'y avait pas de notification par SMS et/ou par e-mail lors des opérations sensibles (dont ajout de bénéficiaire). S'il avait existé, avec le délai imposé de 72h par LBP, vous auriez été averti à temps de la fraude et auriez pris les mesures nécessaires. Donc responsabilité de LBP sur ce point.

 

[MChat]

@Dan_65

Pour la procédure de remboursement par LBP il faudrait insister sur le fait qu'il n'y avait pas de notification par SMS et/ou par e-mail lors des opérations sensibles (dont ajout de bénéficiaire). S'il avait existé, avec le délai imposé de 72h par LBP, vous auriez été averti à temps de la fraude et auriez pris les mesures nécessaires. Donc responsabilité de LBP sur ce point.

En effet : A quoi peut servir le délai de 72h, si le titulaire n'est pas prévenu de l'opération en cours ?

 

[Dan_65]

En effet : A quoi peut servir le délai de 72h, si le titulaire n'est pas prévenu de l'opération en cours ?

Bonsoir,
J'ai signalé par téléphone la fraude 24h après le premier virement et 2h après le second.
C'est un pur hasard qui m'a permis de constater cette fraude et surtout le fait que le montant soit aussi élevé.
Surtout qu'il s'agit d'un Livret d'Epargne Populaire. Autant je regarde mon compte courant au moins une fois par semaine, mon LEP, uniquement quand je dois y déposer ou y retirer de l'argent....
J'aurais pu constater cette fraude que plusieurs semaines plus tard, lors de la réception de mon relevé de compte...

 

[Dan_65]

@Dan_65

Pour la procédure de remboursement par LBP il faudrait insister sur le fait qu'il n'y avait pas de notification par SMS et/ou par e-mail lors des opérations sensibles (dont ajout de bénéficiaire). S'il avait existé, avec le délai imposé de 72h par LBP, vous auriez été averti à temps de la fraude et auriez pris les mesures nécessaires. Donc responsabilité de LBP sur ce point.

Bonsoir,
Oui c'est ce que m'a dit également l'enquêteur de Police. A priori LBP semble être une cible privilégiée des fraudeurs...

 

[Dan_65]

@Dan_65

J'abonde dans le sens de @Tomas466.

Effectivement le point à comprendre est comment les identifiants (login, mot de passe) puis le numéro du téléphone du compte ont été obtenus par le hacker. Le phishing semble être écarté d'après @Dan_65. Spywares/keyloggers : possibles mais peu probables si l'ordinateur bien entretenu (sécurité à jour pour le système et les applications), ce qui semble être le cas.

Hypothèse : fuite dans les documents professionnels d'auto-entrepreneur (carte de visite, factures...) ?

1) Login : Le login est en fait le numéro de compte. Avec la Banque Postale, il n'est pas trop difficile de l'obtenir si le hacker a accès à un chèque, ou à un RIB (via une facture avec paiement par virement bancaire par exemple).

2) Mot de passe : changé tous les deux mois. Comme c'est 6 chiffres : vraiment aléatoires et pas liés par exemple à : date de naissance ? date création Société ?

3) Téléphone : pour l'obtention du numéro téléphone, quelques possibilités : recherche sur réseaux sociaux, ou contacts (adresse société/auto-entrepreneur, carte de visite), factures émises ? Registre du commerce/greffe SIRET (où l'on obtient via le Kbis en particulier l'adresse et la date de naissance) ?

@hapx
Bonsoir,
Merci pour votre longue intervention détaillée. Effectivement, cela semble être un scénario tout à fait plausible. Par contre, j'ai mis en place le certicode plus après cette fraude, je n'ai eu à supprimer aucun appareil associé. J'ai dû attendre la réception d'un courrier envoyé par LBP contenant le code activant le certicode plus (et je trouve très bien que l'envoi de ce code soit effectué par courrier à l'endroit où sont domiciliés les comptes).
Donc je ne comprends pas pourquoi et comment le fraudeur (je ne dis pas hacker, car j'ai été contacté hier après-midi par l'enquêteur qui suit mon dossier. il y a plusieurs possibilités dans cette affaire....) a pu m'envoyer ou me faire envoyer par sms un code que moi-même je ne peux obtenir que par voie postale...

Effectivement, aucun hameçonnage, je ne reçois quasiment pas de pub par mail et ça part directement à la corbeille. Mon PC est protégé par antispyware et antivirus. Il est scanné automatiquement une fois par semaine par l'un comme par l'autre. Je n'ai rempli aucun formulaire en ligne où j'ai eu à renseigner mes données bancaires.

Récupérer mon nom, mon prénom, mon adresse et à la limite mon numéro de téléphone portable, c'est quelque chose d'assez simple pour quelqu'un qui se débrouille, c'est un fait.
Par contre comment récupérer mon identifiant (pour beaucoup de mes contacts qui sont à LBP, il s'agit de leur numéro de CCP, pour moi, ce n'est pas le cas, donc beaucoup plus compliqué à trouver) et mon mot de passe (je le changeais une fois tous les 2 mois, actuellement, dans l'attente de changer d'établissement bancaire, je le change tous les 15 jours). Je précise que mon mot de passe n'était pas ma date de naissance ou celle de ma fille ou 123456 ou 111111, bref quelque chose de facilement hackable et/ou trouvable par logique.

Lorsque j'utilise ma carte bleue pour un achat en ligne, je reçois un code par sms dans un message qui m'indique l'opération effectuée. Comment mon compte courant peut-il être plus protégé que mon livret d'épargne populaire ?
Autant j'ai toujours été conscient qu'une fraude sur mon CCP était possible, je privilégie PAYPAL pour les paiements. Mais mon livret A ou un quelconque livret de placement.....

 

[Dan_65]

L'enchaînement des actions tel que décrit au message précédent me paraît hélas très plausible : l'appel téléphonique malveillant n'est que la dernière étape du détournement de l'accès au compte bancaire.

J'ai également un compte LBP et je ne vois pas comment un fraudeur pourrait se l'accaparer sans connaître a minima le login et le mot de passe. À partir de ce point, il est très simple de connaître le reste (nom, prénom, adresse mail) car ils sont en clair dans les données consultables. Ça semble un peu plus compliqué pour le numéro de téléphone où il manque les trois derniers chiffres, mais il est probablement possible d'effectuer un recoupement avec d'autres fichiers existants (réseaux sociaux, annuaire professionnel...). Il suffit ensuite d'être suffisamment à l'aise et d'appeler en se faisant passer pour un conseiller financier... et récupérer le code envoyé par SMS qui correspond dans les faits à l'activation d'un changement de numéro téléphone. À partir de là il n'y a plus aucune trace pour le titulaire, sauf à se connecter à son compte et à constater les virements.

@Dan_65 il vous faut trouver un avocat rompu à ce genre de dossier, car la banque cherchera probablement à démontrer qu'il a existé deux salves de négligence de votre part.

Bonsoir,
Merci pour votre intervention. Deux salves de négligences ? A part mon échange téléphonique où j'ai divulgué un code qui ne validait ni le rajout d'un bénéficiaire de virement, ni un virement, quelle serait l'autre négligence ?
Auriez-vous une idée d'une association qui pourrait m'épauler et me conseiller un avocat sur mon département...