Arnaques mobile money : les plus efficaces n'ont pas besoin de votre code

Pourquoi cette fraude touche-t-elle plus de monde que la fraude bancaire ?

L'inclusion financière atteint 40 % de la population malgache, portée par le mobile money. L'accès aux services financiers formels, ceux qui passent par une banque, ne concerne que 19 % des adultes. La fraude mobile money vise donc un public deux fois plus large que la fraude bancaire — et souvent moins outillé pour la repérer.

Le phénomène s'intensifie. L'ANSSI malgache, qui héberge le CERT national, a enregistré une hausse de près de 40 % des signalements d'arnaques téléphoniques visant les entreprises en 2024. À l'échelle de l'Afrique subsaharienne, la GSMA relève une progression comparable des tentatives d'hameçonnage ciblant spécifiquement les utilisateurs de mobile money sur deux ans.

Le faux SMS de désactivation : la seule qui vise vraiment votre code

Le message se présente comme venant de MVola ou d'Orange Money. Il annonce que le compte sera désactivé si les informations ne sont pas mises à jour, et fournit un lien. La page qui s'ouvre reproduit l'interface officielle. Seule l'adresse diffère, souvent d'un caractère ou d'une extension. Ce qui est saisi là part directement chez l'escroc.

Un point suffit à trancher : un opérateur ne demande jamais de saisir un code secret sur une page web. Les manipulations légitimes passent par le menu USSD du téléphone ou l'application officielle, jamais par un lien reçu. Un message qui presse — compte bloqué, délai de vingt-quatre heures — est un signal en soi : l'urgence est l'outil de travail de l'escroc, pas celui d'un opérateur.

Les arnaques qui ne touchent jamais à votre compte

La plus répandue est celle des frais d'avance. On annonce un gain, un emploi, une commande ou un colis, puis on réclame une petite somme préalable : frais de déblocage, taxe de traitement, activation de compte. Le montant demandé reste toujours faible devant le gain promis — c'est ce rapport qui fait accepter. Une fois l'argent envoyé, le contact bloque le numéro ou fait durer.

La seconde vise les entreprises et fait bien plus de dégâts. Un fournisseur habituel voit sa boîte mail compromise. L'escroc écrit depuis cette adresse réelle, ou depuis une adresse presque identique, pour annoncer un changement de coordonnées de paiement : nouveau numéro MVola, nouveau compte Orange Money. Le client paie, en toute confiance, sur le compte de l'escroc. Rien n'a été piraté chez la victime.

Ces deux montages ont un point commun décisif. Aucun ne réclame votre code, aucun ne pirate votre téléphone. Ils obtiennent une transaction volontaire, autorisée par la victime elle-même. C'est le même ressort que les promesses de rendement qui vident les épargnes : on ne force personne, on fabrique une raison de payer.

Peut-on récupérer l'argent une fois le transfert validé ?

Presque jamais, et pour deux raisons cumulées. Un transfert mobile money est immédiat et irrévocable : contrairement à un virement bancaire, qui laisse parfois une fenêtre de rappel, il n'existe pas de bouton d'annulation. L'argent est ensuite retiré en espèces dans les minutes qui suivent. Et les comptes qui le reçoivent sont fréquemment ouverts avec de faux papiers d'identité, si bien que l'enquête bute sur un titulaire qui n'existe pas.

Cette irréversibilité change ce qu'il faut faire. Il n'existe pas de recours efficace après coup, donc toute la protection se joue avant la validation. C'est un renversement complet par rapport à la carte bancaire, où la contestation existe. Signaler reste utile — au service client de votre opérateur et au CERT malgache, joignable via cert.mg — mais pour la suite, pas pour vos fonds.

Les réflexes qui coupent court

Un seul réflexe désamorce la majorité des cas : rappeler soi-même. Jamais le numéro reçu par message, mais celui qu'on connaît déjà — le service client noté sur sa facture, le fournisseur dans son répertoire. Un escroc perd tout pouvoir dès que la conversation reprend sur un canal qu'il ne contrôle pas.

Pour une entreprise, la règle se formalise. Tout changement de coordonnées de paiement se confirme par téléphone, au numéro déjà enregistré, jamais à celui indiqué dans le mail qui annonce le changement. Cette vérification prend deux minutes et couvre le risque le plus coûteux de la liste. Et vérifier son solde avant et après chaque opération sensible permet de repérer un débit anormal tant qu'il est encore isolé.

Le fond du problème n'est pas technique. Le mobile money a mis un compte dans la poche de millions de Malgaches sans que personne n'enseigne les réflexes qui vont avec — c'est aussi ce qui rend le choix entre mobile money et compte bancaire moins évident qu'il n'y paraît. Comme dans une tontine, où tout repose sur la confiance sans garantie légale, la seule protection réelle est celle qu'on applique soi-même, avant de valider. Aucune ne s'ajoute après.