Fausse facture PayPal : « paiement de 499 € »

« Un paiement de 499 € a été effectué. Si vous ne reconnaissez pas cette opération, appelez-nous. » Ce faux email PayPal ressemble à un reçu ou à une facture. Il peut aussi se présenter comme une « facture » d'un service que vous n'avez jamais commandé. Le but n'est pas de vous faire cliquer. C'est de vous faire téléphoner aux escrocs.

Comment fonctionne l'arnaque

1. Vous recevez un faux reçu, souvent avec le logo PayPal et un montant élevé.
2. Aucun bouton à cliquer, mais un numéro de téléphone pour « contester le paiement ».
3. Quand vous appelez, un faux conseiller vous répond. Il se montre rassurant, puis vous demande de vous connecter ou d'installer un logiciel de prise en main à distance.
4. Une fois dans votre ordinateur ou votre compte, il vide vos comptes ou vous fait valider des virements.

On appelle cela une arnaque « au rappel » : c'est vous qui appelez, donc vous baissez la garde.

Les signes qui doivent vous alerter

• Un achat que vous n'avez pas fait, souvent d'un montant rond et élevé.
• Un numéro de téléphone à appeler au milieu du message. Un vrai reçu ne vous demande pas d'appeler un numéro.
• L'adresse de l'expéditeur : le nom affiché dit « PayPal », mais l'adresse vient d'un autre domaine ou d'une boîte gratuite.
• Pas de vrai nom : « Cher client », « Cher utilisateur ».
• Une pièce jointe PDF qui contient la « facture » et le numéro.
• Un ton d'urgence : « annulez dans les 24 heures ».

Attention : parfois, la facture est envoyée par un vrai système de facturation, détourné par un escroc. L'email peut alors sembler authentique. Un numéro à appeler reste le signe d'alerte.

Les bons réflexes

1. N'appelez pas le numéro et ne répondez pas au message.
2. Ouvrez vous-même paypal.com ou l'application officielle. Si aucun paiement n'apparaît, c'est un faux.
3. N'installez jamais un logiciel à la demande d'un inconnu au téléphone.
4. Signalez l'email sur signal-spam.fr. Si vous avez reçu un SMS, transférez-le au 33700.
5. Vous pouvez aussi le signaler sur Pharos (internet-signalement.gouv.fr).

Et si j'ai déjà appelé ou payé ?

• Vous avez donné vos codes bancaires ou validé un virement : appelez votre banque immédiatement.
• Vous avez installé un logiciel : coupez la connexion internet, désinstallez-le, puis changez vos mots de passe depuis un autre appareil.
• Vous avez perdu de l'argent : déposez plainte et gardez l'email.
• Cybermalveillance.gouv.fr propose un diagnostic et des conseils adaptés.
• Méfiez-vous des rappels dans les jours qui suivent : voir le faux conseiller bancaire.

Pour reconnaître un message piégé, voir aussi les 9 signes d'un email de phishing et la définition du phishing.

Vérifiez l'email avec Fishi

Un message vous semble louche ? Transférez-le à check@fishi.email, de préférence en pièce jointe pour conserver les détails techniques. Fishi examine l'expéditeur, les liens, les pièces jointes et le contenu, puis vous répond avec un verdict clair et ce qu'il faut faire. C'est gratuit et sans compte. Aucun outil n'est infaillible : dans le doute, passez toujours par le site officiel.