Faux mail CAF « trop-perçu » ou « remboursement »

« Vous avez perçu un trop-perçu, régularisez votre situation. » « Un remboursement de 312 € est en attente. » Ces faux messages de la CAF (Caisse d'allocations familiales) circulent très souvent par email et par SMS. Ils visent un but simple : vous faire taper vos informations personnelles et bancaires sur un faux site.

Comment fonctionne l'arnaque

Il existe deux versions, qui marchent par des émotions opposées.

• La menace : la CAF dit que vous devez rembourser un trop-perçu, sinon vos allocations seront suspendues.
• L'appât : la CAF dit qu'elle vous doit de l'argent, et qu'il suffit de confirmer votre compte pour le recevoir.

Dans les deux cas, un bouton ou un lien vous envoie vers une copie du site de la CAF. On vous demande vos identifiants, votre numéro d'allocataire, puis votre carte bancaire « pour le virement ». Tout ce que vous saisissez part chez les escrocs.

Les signes qui doivent vous alerter

• L'adresse de l'expéditeur n'a rien d'officiel : le nom affiché dit « CAF », mais l'adresse vient d'un autre domaine.
• Un délai très court : « sous 48 heures », « dernier rappel », « dossier bloqué ».
• Un lien à cliquer pour payer ou recevoir de l'argent, avec une adresse qui n'est pas caf.fr.
• Une demande de carte bancaire, alors qu'on ne vous demande jamais votre carte pour vous verser une prestation.
• Des fautes, un ton impersonnel : « Cher client », pas votre nom, pas de détail sur votre dossier.
• Un montant rond et précis, sans explication sur la période concernée.

Les bons réflexes

1. Ne cliquez pas et ne répondez pas au message.
2. Vérifiez votre situation en ouvrant vous-même caf.fr ou l'application officielle.
3. En cas de doute, contactez la CAF par les moyens indiqués sur son site officiel.
4. Signalez l'email sur signal-spam.fr, ou le SMS en le transférant au 33700.
5. Si le message est menaçant ou frauduleux, vous pouvez aussi le signaler sur la plateforme gouvernementale Pharos (internet-signalement.gouv.fr).

Et si j'ai déjà cliqué ou payé ?

• Vous avez saisi votre carte : appelez votre banque tout de suite pour faire opposition.
• Vous avez saisi vos identifiants CAF : changez votre mot de passe sur le vrai site. Faites de même partout où vous utilisez le même mot de passe.
• Vous avez perdu de l'argent : déposez plainte, et gardez le message comme preuve.
• Cybermalveillance.gouv.fr propose un diagnostic et des conseils adaptés à votre cas.
• Soyez vigilant dans les semaines qui suivent : vos données peuvent servir à d'autres arnaques, par exemple un faux conseiller bancaire (voir le faux conseiller bancaire).

Les arnaques aux prestations sociales ont un point commun avec le faux remboursement d'impôts : voir aussi le faux mail de remboursement d'impôts et la définition du phishing.

Vérifiez l'email avec Fishi

Un message vous semble louche ? Transférez-le à check@fishi.email, de préférence en pièce jointe pour que les détails techniques soient conservés. Fishi examine l'expéditeur, les liens et le contenu, puis vous répond avec un verdict clair et ce qu'il faut faire. C'est gratuit et sans compte. Aucun outil n'est infaillible : en cas de doute, passez toujours par le site officiel.