Non, la Caf n’envoie pas de SMS pour vos coordonnées bancaires

Vérification

Le téléphone vibre entre deux courses de rentrée. Un SMS annonce une aide à débloquer ou un dossier suspendu, et il tombe pile quand des millions de familles attendent vraiment un versement. C’est ce calage qui fabrique le doute : on relit, on hésite, on clique parfois. Nous avons compilé les pages officielles de la Caf pour ramener la question à un test de dix secondes.

Le test tient en une phrase. La Caf utilise quatre canaux et un seul numéro : son site caf.fr, l’espace Mon Compte, des courriels envoyés depuis des adresses en @caf.fr ou @caf.cnafmail.fr, et le 3230, présenté par l’organisme comme l’unique numéro pour la joindre. Aucun de ces canaux ne sert à réclamer un mot de passe ou un relevé d’identité bancaire. Si le message le fait, il ne vient pas de la Caf, quelle que soit la date de versement de l’allocation de rentrée.

Ce que la Caf fait, ce qu’elle ne fait jamais

Les invariants sont écrits noir sur blanc sur la page nationale de l’organisme, mais dispersés sur trois pages qui ne se lisent jamais ensemble. Nous les rassemblons ici canal par canal, en face du signal qui trahit l’imitation.

Le tableau se lit dans un sens utile : la colonne du milieu décrit une administration qui informe, la colonne de droite un expéditeur qui réclame. Un organisme qui détient déjà votre numéro d’allocataire n’a aucune raison de vous le redemander.

Les trois signes qui reviennent à chaque vague

Les caisses départementales publient régulièrement des alertes, et la Caf du Pas-de-Calais décrit une recrudescence de tentatives d’hameçonnage bâties sur les mêmes gabarits. Trois marqueurs suffisent à les reconnaître.

• La promesse. Une prime qui n’existe pas, un cadeau, un remboursement dont l’origine n’est pas expliquée. La Caf verse des droits calculés, elle n’offre rien.
• L’urgence. Un délai de vingt-quatre heures, une menace de suspension du dossier, une mise à jour à confirmer immédiatement. La pression sert à empêcher la vérification.
• L’adresse. Un lien qui ne commence pas par https://www.caf.fr, ou un expéditeur dont le domaine ne correspond à aucune adresse officielle. C’est le critère le plus mécanique des trois, donc le plus fiable.

La mécanique n’a rien d’inédit : elle recycle les gabarits déjà vus sur les faux sites de shopping, avec une marque de confiance à la place d’une enseigne.

Si vous avez déjà cliqué

Un clic seul n’engage pas la même chose qu’un formulaire rempli. La conduite à tenir dépend de ce que vous avez donné, et elle se joue dans l’heure qui suit.

• Coordonnées bancaires transmises : faites opposition immédiatement auprès de votre banque, comme le recommande Cybermalveillance.gouv.fr, puis surveillez les prélèvements des semaines suivantes.
• Mot de passe communiqué : changez-le sur le service concerné sans attendre, et partout où vous l’aviez réutilisé.
• Dans tous les cas : conservez le message reçu comme preuve, prévenez la Caf au 3230, et portez plainte au commissariat, à la gendarmerie ou par courrier auprès du procureur de la République. Info Escroqueries oriente gratuitement au 0 805 805 817, en semaine.

Le signalement passe ensuite par trois guichets distincts, selon le support : un SMS se transfère au 33700, un courriel s’alerte auprès de Signal Spam, un site frauduleux se déclare sur internet-signalement.gouv.fr. Nous ne reproduisons ici ni capture ni adresse du message piégé : recopier un gabarit d’arnaque, c’est lui offrir un canal de diffusion supplémentaire.

Reste le réflexe qui rend tout le reste inutile. Ne partez jamais d’un lien reçu : tapez caf.fr vous-même, ouvrez Mon Compte, et regardez si le message annoncé s’y trouve. S’il n’y est pas, il n’existe pas.

Article créé en collaboration avec l’IA.