« Votre PC est bloqué, appelez ce numéro » : ce n'est pas vous qui avez cliqué

En août 2026, je suis intervenu chez un particulier d’Île-de-France quelques heures après ce type d’arnaque. Les traces conservées par Windows et par son navigateur ont permis de reconstituer la chaîne complète, minute par minute, sans trou. Cet article la raconte, parce que ce qu’elle montre contredit à peu près tout ce qu’on croit savoir sur « les gens qui se font avoir ».

La personne consultait un site d’inventaires de pièces de collection. Un site légitime, sans rapport avec quoi que ce soit de douteux. Aucun mail suspect ouvert, aucune pièce jointe, aucun lien reçu par SMS.

À 14h51, une publicité affichée sur la page l’a redirigée, sans qu’elle ait rien demandé, vers une fausse page d’alerte de sécurité, hébergée sur un service de stockage en nuage (une infrastructure jetable, montée en quelques minutes et abandonnée aussitôt). La page a basculé en plein écran, avec un message de panne mensonger, un signal sonore strident, et un numéro de téléphone à appeler.

Cette publicité a été livrée par une régie publicitaire ordinaire. C’est le point important, et il mérite d’être dit sans détour : n’importe qui pouvait tomber dessus, y compris un utilisateur averti. Il n’y a rien eu à cliquer de travers.

Et aucun antivirus ne s’y oppose, pour une raison simple : à ce stade, il n’y a pas de virus. Il y a une page web mensongère. Un antivirus ne bloque pas un mensonge.

Publicité plus malveillance. La technique consiste à acheter de l’espace publicitaire comme n’importe quelle marque, puis à s’en servir pour expédier le visiteur ailleurs.

Et la question que tout le monde me pose, à juste titre : une boîte comme Google, avec ces moyens-là, depuis le temps, n’arrive pas à filtrer ça ?

Commençons par les chiffres, les leurs. Dans son rapport Ads Safety publié le 16 avril 2026 sur l’année 2025 : 8,3 milliards d’annonces bloquées ou retirées, 24,9 millions de comptes annonceurs suspendus, dont 602 millions d’annonces et 4 millions de comptes liés à des arnaques. Ce n’est pas de l’inaction, c’est une usine.

Et pourtant une publicité est arrivée jusqu’à un écran d’Île-de-France, un mardi après-midi. Trois raisons, aucune mystérieuse.

Ça s’appelle le cloaking : le robot d’inspection et le chercheur en sécurité voient une page sage, la cible voit le piège. Ce n’est plus bricolé dans un garage. Varonis a documenté en février 2026 une plateforme commerciale vendue clés en main aux fraudeurs : filtrage des plages d’adresses de Google et de Microsoft, ciblage par pays et par type d’appareil, et un score de fraude de 0 à 100 attribué à chaque visiteur avant de décider quoi lui montrer.

L’emplacement est vendu aux enchères pendant que la page se charge, en quelques dizaines de millisecondes. Le site n’a pas validé l’annonce, ne la connaît pas d’avance, et n’affichera pas la même au visiteur suivant. Le site de collectionneurs n’a rien fait de mal : il loue un mur, il ne sait pas qui colle l’affiche.

Faible volume, contenu conforme, elle passe la revue. Le cloaking s’allume après. Et quand le compte finit par sauter, un autre ouvre le lendemain, avec un autre nom de domaine.

Là où je serai plus sec : cette course-poursuite a un arbitre qui n’est pas neutre. La publicité pèse près des trois quarts du chiffre d’affaires d’Alphabet (74,18 milliards de dollars sur 102,34 au troisième trimestre 2025). Je ne prête d’intention à personne, je constate une asymétrie : l’affichage frauduleux est facturé le jour même, tandis que la facture réelle tombe des semaines plus tard, sur le livret d’épargne de quelqu’un qui n’a rien signé.

Elle peut : occuper tout l’écran, empêcher la fermeture de l’onglet, faire du bruit, afficher un compte à rebours, imiter les couleurs et le logo de Microsoft ou d’Apple, annoncer que vos fichiers sont chiffrés ou vos mots de passe volés.

Elle ne peut pas : accéder à vos fichiers, lire vos mots de passe, infecter votre machine, ni rien faire d’autre que s’afficher.

Sa seule arme, c’est de vous faire décrocher le téléphone. Tant que vous n’appelez pas, il ne s’est rien passé.

Dans le dossier que j’ai traité, l’historique de navigation montre vingt minutes sans la moindre activité sur l’ordinateur après l’affichage de la page piège. Ces vingt minutes ne sont pas un blanc : c’est la durée de l’appel téléphonique.

Puis, coup sur coup, deux recherches dans le moteur de recherche : d’abord un fragment d’adresse, puis l’adresse complète. Cette double frappe signe une adresse dictée au téléphone, tapée au clavier sous la voix de l’interlocuteur, et non un lien cliqué. Elle mène à un serveur qui affiche fièrement « Remote Support Software ».

Le détail a l’air anecdotique. Il ne l’est pas : c’est un élément factuel, horodaté, qui établit que la victime n’a pas cliqué sur un piège mais a tapé ce qu’on lui épelait, sous instruction. Face à une banque, cet argument ne se plaide pas de la même façon.

C’est le miroir exact de l’arnaque que j’ai décortiquée en mai : là-bas, le téléphone sonne et c’est le « conseiller » qui appelle. Ici, c’est la victime qui compose le numéro, en croyant appeler un service de dépannage. Le scénario d’après est identique.

Le logiciel que l’interlocuteur fait installer porte des noms qui circulent beaucoup : AnyDesk, UltraViewer, TeamViewer, Supremo, ConnectWise Control (anciennement ScreenConnect). Ce sont de vrais logiciels professionnels de télémaintenance, ceux qu’utilisent les dépanneurs légitimes. Ils sont signés numériquement, largement diffusés, et aucun antivirus ne les bloque. Il n’a aucune raison de le faire.

Ce qu’ils donnent à celui qui s’en sert, une fois installés :

• les mêmes droits que vous sur la machine, parfois davantage : certains s’installent en service Windows, donc au niveau le plus élevé du système ;
• une reconnexion automatique à chaque démarrage, donc tant que le logiciel est là, l’escroc peut revenir, sans que vous ayez quoi que ce soit à valider ;
• le transfert de fichiers dans les deux sens, pour emporter comme pour déposer ;
• et surtout, sur plusieurs de ces outils, la possibilité de masquer votre écran pendant qu’il agit à votre place.

Retenez ce dernier point. Nous y revenons plus bas : c’est celui qui pèse le plus lourd dans une contestation bancaire.

Dans ce dossier, la session de contrôle a duré deux heures et vingt minutes. Pendant qu’il « réparait », en affichant des commandes techniques impressionnantes et parfaitement inutiles, l’opérateur avait accès à la machine comme s’il était assis devant.

Ce qu’il faut considérer comme exposé, par défaut :

• les mots de passe enregistrés dans le navigateur et les sessions ouvertes (mail, banque, cloud, réseaux sociaux) : avec un cookie de session volé, la double authentification saute, puisque le site voit une session déjà validée. C’est le même mécanisme que celui des virus voleurs de mots de passe, et il conduit à la même conclusion : nettoyer la machine ne referme pas les comptes ;
• les documents personnels : bureau, documents, téléchargements, dossiers synchronisés dans le cloud ;
• les justificatifs scannés (pièce d’identité, RIB, avis d’imposition) qui alimentent l’usurpation d’identité bien après l’incident.

Mais l’essentiel s’est joué ailleurs : à partir de la quinzième minute, l’opérateur s’est connecté aux espaces bancaires. L’ordinateur n’était que le moyen.

C’est la partie la plus utile de cet article, et la moins écrite ailleurs.

Quand le compte courant n’est pas assez garni, l’escroc ne renonce pas : il commence par virer de l’argent depuis le livret d’épargne vers le compte courant, puis lance le virement vers l’extérieur. Si le dispositif anti-fraude de la banque bloque ce second mouvement (ça arrive, et c’est heureux), le premier, lui, reste en place. L’épargne a été vidée sur le compte courant, et personne ne pense à le faire corriger. Il faut le demander expressément.

Autre détail qui n’en est pas un : le montant du virement sortant est presque toujours calé juste sous un seuil (1 990 € pour 2 000, par exemple). Ce n’est pas un hasard, c’est du contournement de plafond.

Sur ce dossier, deux établissements étaient concernés. L’un a détecté et annulé. L’autre a laissé passer une quinzaine de parcours de virement, avec plusieurs bénéficiaires enregistrés au passage. Si vous avez plusieurs banques, faites vérifier chacune séparément, comptes courants et comptes d’épargne. Et vérifiez le téléphone aussi : le virement peut très bien partir de l’application mobile pendant que la session distante se déroule sur l’ordinateur. Si on vous a fait valider une notification dans l’application, les gestes de la première heure sont ici.

Quand la victime (ou un proche venu à la rescousse) comprend ce qui s’est passé, le premier geste est toujours le même : supprimer le logiciel. C’est humain, c’est même courageux. Mais c’est le pire moment pour le faire.

Ce logiciel a laissé sur la machine des traces horodatées : l’heure exacte de son installation, la durée pendant laquelle la machine a été contrôlée, l’adresse du serveur utilisé, l’identifiant de la session. Ce sont ces éléments qui documentent le dossier bancaire et la plainte. Une fois le logiciel désinstallé proprement, une partie part avec lui.

Si la suppression a déjà eu lieu (c’est le cas le plus fréquent), rien n’est perdu : la preuve a changé d’endroit. Windows conserve ces événements à plusieurs endroits indépendants les uns des autres :

• le journal des services enregistre l’installation, horodatée à la seconde ;
• les erreurs de démarrage du service supprimé datent la suppression elle-même ;
• la base de registre conserve l’adresse du serveur de l’escroc et l’identifiant de sa session ;
• le journal du système de fichiers garde la trace des créations et des suppressions ;
• les traces d’exécution de Windows attestent que le programme a bien tourné, même son fichier effacé ;
• la corbeille contient parfois encore les fichiers, avec leur chemin d’origine et l’heure ;
• et l’historique de téléchargement du navigateur porte, dans l’adresse du fichier téléchargé, l’identifiant du fraudeur.

C’est le point juridique qui change la nature du dossier, et il faut le poser tôt.

La victime a bien tapé, cliqué, validé. Mais elle agissait sous les instructions d’une personne qui se faisait passer pour un service technique et qui contrôlait son écran, avec, rappelons-le, la possibilité de masquer l’affichage pendant qu’elle opérait. Valider un écran qu’on ne voit pas, ou dont le libellé a été maquillé, ce n’est pas autoriser une opération.

Le droit européen des services de paiement, transposé aux articles L.133-18 et suivants du code monétaire et financier, prévoit le remboursement des opérations non autorisées. Et l’article L.133-23 fait peser la charge de la preuve sur la banque, pas sur vous : c’est à elle de démontrer que l’opération a été authentifiée et enregistrée, et le texte ajoute que l’usage de l’instrument de paiement ne suffit pas à lui seul à prouver que vous l’avez autorisé. La Cour de cassation l’a redit sans détour le 26 juin 2019 : la preuve d’une négligence grave ne se déduit pas du seul fait que les données de paiement ont été effectivement utilisées.

Deux bornes à connaître : la banque opposera souvent la négligence grave (c’est son terrain de discussion, et c’est à elle de l’établir), et vous disposez de treize mois à compter du débit pour contester (article L.133-24).

Je serai clair sur ce que cela ne veut pas dire : personne ne peut vous garantir un remboursement. La décision appartient à votre établissement, et le cas échéant au médiateur bancaire. Ce qui se joue, c’est la qualité de votre dossier : des faits horodatés, recoupés, cohérents, valent infiniment mieux qu’un récit de mémoire.

Un dernier mot sur le bénéficiaire du virement : ce n’est presque jamais l’escroc. C’est le plus souvent un compte de mule, parfois ouvert au nom d’une personne elle-même manipulée. Dans un courrier à votre banque, écrivez « bénéficiaire non reconnu » et les faits, jamais une accusation.

Dans ce dossier, l’escroc a rappelé le soir même à 23 h, puis deux fois le lendemain.

C’est attendu, c’est systématique, et ça porte un nom : la seconde arnaque. Elle se présente sous des habits rassurants (« service remboursement », « service anti-fraude », « Microsoft », votre banque, parfois la police). Elle s’appuie sur la première, dont elle connaît tous les détails, ce qui la rend terriblement crédible. Elle coûte régulièrement plus cher que l’arnaque initiale.

La règle est simple et sans exception : ne décrochez plus, ne rappelez pas, ne validez rien. Aucun code reçu par SMS ou par notification ne se communique, quel que soit le prétexte. Aucune banque, aucun service technique ne vous demandera jamais d’installer un logiciel ni de faire un virement « de vérification ». Signalez le numéro par SMS au 33700, gratuitement. Si les appels persistent, votre opérateur peut filtrer ou changer votre numéro.

1. Débranchez l’ordinateur d’Internet (câble réseau ou Wi-Fi coupé) et ne l’utilisez plus.
2. Appelez votre banque au numéro officiel figurant au dos de votre carte : signalement de fraude, opposition, demande d’annulation des virements engagés, blocage des bénéficiaires ajoutés, remise à zéro des plafonds. Chaque banque séparément.
3. Depuis un autre appareil sain (votre téléphone convient), changez le mot de passe de votre boîte mail principale, puis ceux de vos comptes sensibles. Pensez à déconnecter toutes les sessions ouvertes : changer un mot de passe ne suffit pas si les sessions restent actives. L’ordre exact des gestes, je l’ai détaillé ici.
4. Ne désinstallez rien, ne nettoyez rien, ne réinitialisez rien (voir plus haut).

Si vous cherchez la version courte de ces gestes, sans le décryptage : la fiche d’urgence est là. Et toutes les situations que je traite sont triées sur une seule page.

5. Déposez plainte au commissariat ou à la gendarmerie : le récépissé est généralement demandé par les banques pour instruire un remboursement.
6. Signalez sur cybermalveillance.gouv.fr, info-escroqueries.gouv.fr et 17cyber.gouv.fr ; le numéro appelé sur signal-arnaques.com.
7. Surveillez vos comptes quotidiennement pendant un mois, puis régulièrement pendant six mois, alertes activées.
8. Surveillez votre courrier : après ce type d’incident, l’ouverture d’une ligne téléphonique ou d’un crédit à votre nom n’est pas rare. Toute lettre inattendue d’un opérateur ou d’un organisme de crédit se vérifie.

Elle est gratuite, elle prend deux minutes, et elle aurait très probablement évité toute cette affaire : installez un bloqueur de publicités dans votre navigateur.

Le point d’entrée était une publicité. Et sur ce même ordinateur, le même après-midi, deux autres redirections publicitaires douteuses avaient déjà été suivies. L’antivirus, lui, n’avait rien à signaler. Il n’y avait rien à signaler.

Petite ironie au passage, et elle a son sel : le bloqueur le plus efficace, uBlock Origin, ne tourne plus dans Chrome. Google a changé l’interface des extensions (Manifest V3) et retiré l’accès dont il avait besoin. La raison affichée est la sécurité, puisque cette interface donne à une extension la vue sur toutes les requêtes du navigateur, et l’argument se tient. Le résultat aussi : dans Chrome il reste une version allégée, uBlock Origin Lite, moins armée face aux sites qui contournent les bloqueurs.

Donc, en pratique :

• Firefox ou Brave font tourner uBlock Origin en version complète. C’est ce que j’installe chez les gens.
• Si vous restez sur Chrome, prenez uBlock Origin Lite ou AdGuard. Mieux que rien, et de loin.
• Sur mobile aussi, c’est là que se lit la moitié du web aujourd’hui.

Deux mesures complémentaires, utiles et rapides : activez la validation par application plutôt que par SMS sur vos comptes bancaires quand votre banque le propose, et n’enregistrez pas vos mots de passe bancaires dans le navigateur.

En tant que prestataire référencé Cybermalveillance.gouv.fr, j’interviens selon un protocole strict, dans cet ordre :

• relevé des preuves d’abord, avant tout nettoyage et avant toute reconnexion de la machine : identification de l’outil utilisé, adresse du serveur, identifiant de session, horodatages, scellement par empreinte numérique. C’est le rôle de ma clé d’intervention, et les outils que j’emploie sont publics et vérifiables ;
• recherche de ce qui a pu rester : outil d’accès persistant, tâche automatique, compte utilisateur créé, second logiciel déposé ;
• verdict sur la machine, sachant qu’après un accès complet et prolongé, la remise à plat reste la seule garantie sérieuse ;
• renouvellement de vos accès par ordre de priorité, depuis un appareil sain ;
• accompagnement des démarches : dossier remis tel quel à vos banques, à votre assurance et aux services d’enquête, aide au dépôt de plainte et aux signalements ;
• et un temps réservé à l’explication, sans jargon. Sur ce type d’incident, la honte est le premier obstacle, et elle n’a aucun fondement.

Devis avant toute action, aucune intervention sans accord écrit, confidentialité absolue.