Arnaque au faux support technique ou Tech Support Scam : de fausses commandes et alertes bancaires incitent à appeler
Nos détections mettent en évidence des messages qui usurpent l’identité de commerçants et d’établissements financiers pour inciter leurs destinataires à appeler un prétendu service d’assistance. Les scénarios varient, mais convergent vers le même geste : contacter un numéro fourni dans le message.
Sur une période de 2 semaines, du 18/09/2026 au 02/10/2026, nos équipes ont identifié plus de 150 000 messages et recensé plus de 40 numéros de rappel utilisés dans cette campagne.
Table des matières
À retenir
- Les prétextes détectés portent principalement sur des achats coûteux ou des opérations bancaires présentées comme suspectes.
- L’urgence et la crainte d’une perte financière poussent à appeler le numéro indiqué.
- Les numéros de rappel recensés sont associés au service Onoff.
Qu’est-ce que le Tech Support Scam ?
Une arnaque au faux support technique, ou tech support scam, consiste à se faire passer pour un service d’assistance légitime afin d’inciter une personne à appeler, à payer, à divulguer des informations sensibles ou à autoriser un accès à son appareil.
Une fausse commande pour provoquer une contestation
Plusieurs messages se présentent comme des confirmations d’achat ou des factures liées à des enseignes connues, dont Darty, BUT et Cdiscount. Ils mentionnent des produits recherchés et coûteux : smartphones, consoles, tablettes ou cartes cadeaux. L’opération est décrite comme acceptée, en cours de préparation ou déjà réglée.
Le destinataire est invité à contacter le service client s’il ne reconnaît pas l’achat. Cette consigne transforme une facture inattendue en prétexte à l’appel. Des formulations similaires réapparaissent dans plusieurs messages, alors que les identités affichées et les coordonnées changent.
Une fausse alerte bancaire pour accélérer l’appel
D’autres messages imitent des notifications bancaires. Ils évoquent une connexion depuis un nouvel appareil, parfois associée à une localisation inhabituelle, puis signalent un virement ou un paiement en attente. Les sommes affichées se chiffrent en milliers d’euros. Le destinataire est pressé de joindre l’assistance pour vérifier ou contester l’opération.
Ces alertes combinent plusieurs leviers : la peur d’un accès non autorisé, l’apparence d’un suivi de transaction et la promesse d’une intervention rapide. Les noms d’établissements et les détails présentés dans le message donnent au scénario une apparence familière, sans authentifier son expéditeur.
Le numéro de rappel, un repère commun
Selon les vérifications menées par notre équipe, les numéros de rappel recensés sont associés au service Onoff. Cette association constitue un élément de corrélation entre les messages observés ; elle ne permet pas, à elle seule, d’identifier les utilisateurs des lignes ni d’attribuer la campagne à Onoff. Ce lien fournit un repère pour rapprocher des messages dont les enseignes, les banques ou les adresses d’expédition diffèrent. Les noms d’expéditeur affichés, comme « Service client », « Banque » ou « Epay », ne correspondent pas toujours à un domaine officiel de l’organisation usurpée.
Nous avons transmis plusieurs demandes de retrait à Onoff, qui les a rapidement prises en charge. En revanche, malgré plusieurs tentatives, nous n’avons pas réussi à joindre son équipe antifraude.
Le mécanisme détourne ainsi l’attention du destinataire vers une conversation téléphonique avec un interlocuteur présenté comme capable d’annuler l’opération. C’est cette transition vers le faux support qui caractérise l’arnaque : la fausse commande ou l’alerte bancaire sert à déclencher l’appel.
Ce que révèlent les échanges téléphoniques
Nous avons appelé les numéros concernés et échangé avec plusieurs opérateurs. Ils commencent par demander le nom de l’interlocuteur, qu’ils associent au numéro appelant. Cette pratique complique l’investigation : utiliser la même ligne jetable sous plusieurs identités risque de révéler les appels, tandis qu’une ligne unique ne permet pas facilement de contacter plusieurs numéros pour des arnaques différentes.
Les opérateurs entendus au cours des appels présentaient des accents similaires. Cette observation ne permet pas d’en déterminer l’origine. Dans la majorité des appels, d’autres conversations étaient audibles en arrière-plan, ce qui suggère une activité menée dans un environnement collectif.
Les opérateurs nous ont demandé la référence de l’opération mentionnée dans le message. Une fois celle-ci fournie, ils ont repris les éléments déjà présentés, comme le montant, le marchand ou le bénéficiaire supposé, pour dérouler un discours cohérent avec le scénario reçu.
Les opérateurs ont ensuite envoyé un fichier par MMS. Nous n’avons pas pu le récupérer ni en analyser le contenu.
Chaîne d’attaque
La chaîne observée commence par un message qui imite une confirmation d’achat ou une alerte bancaire et invite son destinataire à appeler le numéro indiqué. Au téléphone, l’opérateur demande le nom de son interlocuteur et la référence de l’opération, puis reprend les détails du message (montant, marchand ou bénéficiaire supposé) pour rendre son discours crédible. Lors des appels étudiés, les opérateurs ont ensuite envoyé un fichier par MMS. Nous n’avons pas pu le récupérer : son contenu et son rôle dans la chaîne restent inconnus. La figure ci-dessous résume ces étapes et signale les éléments que nous n’avons pas pu confirmer.
Pistes de détection et de prévention
Les équipes de sécurité peuvent rechercher la combinaison d’une opération inhabituelle, d’un montant élevé et d’une consigne de rappel. Les signaux utiles incluent aussi les achats d’électronique coûteuse, les alertes de connexion depuis un nouvel appareil et les messages qui prétendent qu’un virement reste à traiter.
Il est utile de normaliser les numéros en supprimant espaces, tirets et parenthèses, puis de les corréler avec les formulations, les identités affichées et les marques imitées. Cette mise en relation peut révéler des variantes qui ne partagent pas la même adresse d’expédition.
Les destinataires vérifient toute opération depuis leur application bancaire ou en utilisant les coordonnées officielles du commerçant ou de la banque, obtenues indépendamment. Ils n’appellent pas le numéro fourni dans le message.
Motivations possibles
Au vu des prétextes, la motivation la plus probable est financière. L’échange peut viser à convaincre la victime d’effectuer un paiement, de communiquer des données bancaires ou des codes d’authentification, ou de réaliser une action donnant accès à son appareil. Le fichier envoyé par MMS pourrait prolonger cette manipulation, mais son rôle reste à l’heure actuelle indéterminé.
Conclusion
Les détections montrent deux prétextes récurrents, l’achat non reconnu et le virement suspect, qui conduisent à la même sollicitation téléphonique. Le rapprochement des numéros associés à Onoff avec les textes et les marques usurpées aide à repérer les variantes de cette arnaque au faux support technique.
En 2025, notre équipe a également suivi un cluster opérant sur le marché américain et impliquant des plateformes légitimes comme PayPal, Venmo et Adobe Sign dans des scénarios d’arnaque au faux support technique. Les canaux observés diffèrent de ceux décrits ici, qui reposent sur l’usurpation de commerçants et d’établissements bancaires. Les deux cas montrent toutefois comment des marques connues peuvent rendre ces sollicitations plus crédibles.
Cybersecurity Report 2026
L’accélération des menaces mondiales sous l’impulsion de l’IA
IOCs
| Type | Valeur | Description |
|---|---|---|
| Téléphone | 0451459025 | Numéro de téléphone malveillant |
| Téléphone | 0159581731 | Numéro de téléphone malveillant |
| Téléphone | 0756862950 | Numéro de téléphone malveillant |
| Téléphone | 0189629302 | Numéro de téléphone malveillant |
| Téléphone | 0756837552 | Numéro de téléphone malveillant |
| Téléphone | 0259508016 | Numéro de téléphone malveillant |
| Téléphone | 0376379967 | Numéro de téléphone malveillant |
| Téléphone | 0189628128 | Numéro de téléphone malveillant |
| Téléphone | 0189628155 | Numéro de téléphone malveillant |
| Téléphone | 0189628478 | Numéro de téléphone malveillant |
| Téléphone | 0189628702 | Numéro de téléphone malveillant |
| Téléphone | 0189628757 | Numéro de téléphone malveillant |
| Téléphone | 0189628812 | Numéro de téléphone malveillant |
| Téléphone | 0189628868 | Numéro de téléphone malveillant |
| Téléphone | 0189629082 | Numéro de téléphone malveillant |
| Téléphone | 0189629102 | Numéro de téléphone malveillant |
| Téléphone | 0189629137 | Numéro de téléphone malveillant |
| Téléphone | 0189629227 | Numéro de téléphone malveillant |
| Téléphone | 0189629250 | Numéro de téléphone malveillant |
| Téléphone | 0189629312 | Numéro de téléphone malveillant |
| Téléphone | 0189629506 | Numéro de téléphone malveillant |
| Téléphone | 0189629537 | Numéro de téléphone malveillant |
| Téléphone | 0189629808 | Numéro de téléphone malveillant |
| Téléphone | 0189629830 | Numéro de téléphone malveillant |
| Téléphone | 0259508686 | Numéro de téléphone malveillant |
| Téléphone | 0259509004 | Numéro de téléphone malveillant |
| Téléphone | 0259509101 | Numéro de téléphone malveillant |
| Téléphone | 0259509429 | Numéro de téléphone malveillant |
| Téléphone | 0259509674 | Numéro de téléphone malveillant |
| Téléphone | 0259509877 | Numéro de téléphone malveillant |
| Téléphone | 0392239204 | Numéro de téléphone malveillant |
| Téléphone | 0537078189 | Numéro de téléphone malveillant |
| Téléphone | 0537078321 | Numéro de téléphone malveillant |
| Téléphone | 0644693987 | Numéro de téléphone malveillant |
| Téléphone | 0756814003 | Numéro de téléphone malveillant |
| Téléphone | 0756830468 | Numéro de téléphone malveillant |
| Téléphone | 0756861942 | Numéro de téléphone malveillant |
| Téléphone | 0756895565 | Numéro de téléphone malveillant |
| Téléphone | 0756990631 | Numéro de téléphone malveillant |
| Téléphone | 0780941108 | Numéro de téléphone malveillant |
| Téléphone | 0780943122 | Numéro de téléphone malveillant |
| Téléphone | 0189628996 | Numéro de téléphone malveillant |
| Téléphone | 0392239150 | Numéro de téléphone malveillant |
| Téléphone | 0537078998 | Numéro de téléphone malveillant |