Distributeurs automatiques de billets : ces 7 réflexes anti-arnaques que les banques vous supplient d'adopter à chaque retrait au DAB pour éviter le pire

Un retrait au distributeur automatique de billets a tout d’un geste banal, presque machinal. On insère sa carte, on compose son code, on récupère ses billets et on repart, souvent sans même regarder autour de soi ni la machine de trop près. Or les fraudeurs, eux, scrutent chaque détail : fente modifiée, caméra cachée, faux module collé sur l’appareil, tout est bon pour piéger les utilisateurs pressés.

Les données de la Banque de France et de l’Observatoire de la sécurité des moyens de paiement rappellent que les fraudes liées aux retraits d’espèces aux distributeurs automatiques représentent chaque année en France plusieurs dizaines de millions d’euros de pertes, en partie liées au skimming. Les banques et les forces de l’ordre ont donc mis en avant sept réflexes simples à adopter à chaque retrait pour tenir les arnaques aux distributeurs de billets à distance, des gestes qui paraissent anodins mais changent tout en cas de tentative de fraude.

Pourquoi les arnaques aux distributeurs de billets se multiplient sur les DAB

Les techniques mises au point par les escrocs sont variées et très discrètes pour un œil non averti. Sur le plan purement technique, l’experte en cybersécurité bancaire Elida Policastro décrit un parc de machines fragilisées : « L’écosystème des DAB (…) fonctionne souvent sur des systèmes d’exploitation obsolètes et non adaptés. Les DAB sont constitués de matériel et de logiciels hétérogènes, souvent difficiles à mettre à jour, tant du point de vue des systèmes que des coûts. De plus, [ils] doivent rester accessibles aux clients 24/7 : le temps d’indisponibilité doit être limité, créant ainsi un impact sur les tests et mises à jour, [qu’on] a tendance à repousser (…). En outre, les systèmes et le matériel sont légitimement accessibles à un trop grand nombre de personnes au sein du personnel, ce qui augmente le risque de cyberattaques. », a-t-elle expliqué dans une tribune pour MoneyVox. Même si 99% des Français sont clients d’une banque, tous n’ont pas conscience que les DAB restent des cibles techniques pour les cybercriminels.

Elida Policastro évoque aussi des attaques plus sophistiquées. Elle cite d’abord le détournement d’opération baptisé « Man-in-the Middle », puis une autre méthode redoutée, l’attaque par boîte noire, ou jackpotting, qui « devrait davantage se répandre en 2021 », prévient-elle. Selon elle, l’enjeu pour les fraudeurs est « d’accéder aux DAB de deux façons. La première est physique : ils s’attaquent à la partie supérieure du DAB, via la connexion d’un appareil non autorisé qui va envoyer des commandes de distribution d’argent, et ainsi dévaliser les distributeurs. La seconde est logique via l’introduction d’un logiciel malveillant. ». À côté de ces scénarios très techniques, les arnaques plus « classiques » continuent d’exister sur le terrain : le skimming, qui consiste à installer un lecteur factice et une micro-caméra pour copier les données de la carte et le code, le cash trapping qui bloque les billets dans la fente, ou encore le card trapping qui retient la carte pour pousser la victime à s’éloigner.

Les arnaques les plus courantes et les 7 réflexes pour sécuriser vos retraits

Dans la pratique, les fraudes au distributeur mêlent très souvent manipulations matérielles et observation du comportement du client. Une façade ajoutée sur la fente permet de lire la piste magnétique, une barrette insérée devant la sortie empêche les billets de sortir, un dispositif retient la carte dans la machine, pendant qu’un complice se poste derrière l’utilisateur pour espionner la composition du code PIN, une méthode connue sous le nom de « vol à l’épaule ». Le retrait d’argent au distributeur est un geste si quotidien qu’il en devient anodin, alors que les criminels convoitent surtout les données de la carte pour la cloner ou réaliser des achats en ligne. La meilleure défense reste donc d’automatiser une série de gestes qui compliquent énormément la tâche des escrocs.

Les forces de l’ordre et les experts bancaires recommandent ainsi sept réflexes à appliquer systématiquement dès que vous vous approchez d’un DAB :

• Avant d’insérer la carte, inspecter attentivement la fente : elle doit être bien alignée, sans surépaisseur, sans couleur différente ni élément qui bouge au toucher, et la zone de sortie des billets ne doit pas être obstruée.
• Protéger la saisie du code en couvrant le clavier avec votre main libre, même si personne ne semble vous regarder, afin de déjouer les micro-caméras ou les regards indiscrets.
• Privilégier des distributeurs placés dans des endroits passants et bien éclairés, de préférence à l’intérieur d’une agence bancaire ou d’une galerie commerciale, et interrompre immédiatement l’opération si quelqu’un tente de vous distraire.
• En fin de retrait, une fois la carte récupérée, appuyer sur la touche « Annuler » ou « Stop » pour fermer complètement votre session, y compris si l’écran revient au menu principal.
• En cas de carte avalée ou de billets qui ne sortent pas, rester devant la machine, ne pas accepter l’aide d’un inconnu et contacter immédiatement le numéro d’urgence de votre banque ou les forces de l’ordre depuis votre propre téléphone.
• Ne jamais écrire votre code confidentiel sur un papier conservé près de la carte ou dans une note de téléphone : il doit être mémorisé, car son absence de protection peut engager votre responsabilité en cas de fraude.
• Limiter l’impression du reçu bancaire, éviter à tout prix de le jeter dans la poubelle à côté du DAB, le conserver ou le détruire chez vous, et consulter régulièrement vos comptes pour repérer rapidement toute opération inhabituelle.

Comment réagir si vous pensez être victime d’une arnaque au distributeur de billets ?

Si votre carte reste coincée dans l’appareil, si les billets ne sortent pas malgré une opération validée ou si vous remarquez un élément suspect sur le DAB juste après votre passage, la première étape consiste à ne pas quitter les lieux sans démarche. Rester face à la machine, appuyer sur « Annuler » pour clore la transaction, puis appeler sans attendre le numéro officiel de votre banque, figurant au dos de votre carte ou sur votre application, afin de faire opposition et signaler l’incident. En cas de pression de la part d’un individu qui prétend aider ou se présente comme technicien, les forces de l’ordre recommandent de garder vos distances et, si nécessaire, de composer le 17 pour demander conseil ou assistance immediatement.

Une fois l’opposition faite, la surveillance de votre compte en ligne permet de vérifier l’absence de retrait ou de paiement frauduleux et, si besoin, de contester très vite les opérations litigieuses auprès de votre établissement. En parallèle, les banques renforcent leurs propres défenses techniques, car, comme le rappelle Elida Policastro, « Les technologies génériques de protection des terminaux, telles que les solutions anti-malware, ne suffisent pas, car elles sont conçues pour protéger de simples ordinateurs ». Selon l’experte, les établissements doivent déployer des « dispositifs qui permettront de surveiller et contrôler en temps réel les distributeurs, [de] prévenir les tentatives d’attaques de logiciels malveillants ou autres activités frauduleuses et d’empêcher l’usurpation des informations clients ». Les réflexes que vous appliquez devant le DAB viennent compléter ces protections en profondeur et réduisent fortement les chances de réussite des arnaques aux distributeurs de billets.