Facture d'antivirus non commandée : vrai prélèvement ou faux mail ?

↑ Ce conseil fait partie du guide : Arnaques et hameçonnage

Facture d'antivirus non commandée : que faire ?

Une facture n'est pas un message : c'est une ligne sur un relevé. Tant que votre banque n'affiche aucun débit, il ne s'est rien passé, et le mail est une arnaque dont le seul produit est le numéro de téléphone. Si le débit existe, c'est presque toujours un vrai renouvellement automatique, qui se conteste auprès de l'éditeur — jamais au numéro du message.

1. N'appelez pas le numéro écrit dans le message, même « pour annuler »
2. Ouvrez votre compte bancaire par votre application habituelle
3. Vérifiez vos abonnements et vos moyens de paiement enregistrés
4. Débit réel : demandez le remboursement à l'éditeur, dans son délai
5. Aucun débit : signalez le message, supprimez-le, ne répondez pas

Le relevé bancaire tranche avant tout le reste

Ce message tire sa force d'un montant : 329 €, 429,99 €, parfois davantage, pour un abonnement antivirus « Premium 10 appareils » inconnu. La réaction naturelle est d'appeler pour faire annuler : c'est le geste attendu.

Commencez par l'inverse. Ouvrez votre compte bancaire par le chemin habituel : l'application de votre téléphone, ou l'adresse tapée à la main dans le navigateur. Cybermalveillance.gouv.fr donne la même consigne : « Le meilleur moyen pour ne pas tomber dans le piège de l'hameçonnage est de taper manuellement l'adresse du site officiel. » Puis remontez deux mois d'opérations bancaires. Trois réponses sont possibles.

Ce que montre le relevé	Ce que cela veut dire
Aucun débit correspondant	Le message est un faux. Rien à annuler, rien à rembourser : il n'y a pas de contrat.
Un débit par carte bancaire, au nom de l'éditeur ou du magasin	Un renouvellement automatique réel. Il se résilie et se rembourse, dans des délais précis.
Un débit d'un nom inconnu, sans rapport avec un antivirus	C'est une fraude à la carte, un sujet différent : sept signes la confirment.

Un détail compte : si le prélèvement est réel, le libellé porte le nom de l'éditeur ou de la boutique — Microsoft, Google, Apple, une grande enseigne. Un libellé étranger inconnu sur une somme ronde relève d'un autre problème : le prélèvement frauduleux a ses propres délais de contestation.

Les quatre contrôles sur le message

1. Le numéro de téléphone est le piège entier. C'est le contrôle le plus décisif. Un éditeur d'antivirus ne met jamais de numéro d'annulation dans une facture : la résiliation se fait en ligne, dans votre espace client, parce que la loi l'y oblige. Un message qui invite à « appeler sous 24 heures pour toute question ou annulation » dit donc qu'il n'a aucun compte à montrer, et que la conversation est le vrai produit. C'est le faux support technique, abordé par l'autre bout.

2. L'adresse de l'expéditeur, lue en entier. Le nom affiché ne vaut rien : il se choisit librement. Seule compte l'adresse réelle, souvent une messagerie grand public ou un domaine voisin du vrai. Quatre lignes d'en-tête suffisent à savoir d'où part vraiment un email. Sur téléphone, elle est masquée par défaut : appuyez sur le nom.

3. Le message est une image, ou un PDF, et ne contient aucun lien. Ce n'est pas de la maladresse, c'est la technique : un texte transformé en image ne se lit pas par les filtres anti-hameçonnage, qui cherchent des adresses malveillantes. Sans lien ni fichier exécutable, le message traverse les défenses et atterrit en boîte de réception. L'escroc ne peut plus vous faire cliquer : il lui reste le numéro de téléphone.

4. Les détails qui ne tiennent pas. Un prénom de fusion raté, un produit que vous n'avez jamais eu, un numéro de votre commande introuvable dans votre espace client, un montant en dollars sur votre facture, une date d'achat à laquelle vous étiez ailleurs. Aucun indice n'est décisif seul, mais ils se cumulent vite. Si le message comporte malgré tout un lien, cinq maquillages d'adresse servent à le rendre crédible : on ne le survole pas, on ne le teste pas.

Où voir vos abonnements réels, en deux minutes

La deuxième question est plus troublante : « et si j'avais souscrit sans m'en rendre compte ? » Cela arrive. Un abonnement reste toujours visible dans le circuit de paiement par lequel il a été pris.

Par où l'abonnement a pu être pris	Où la liste s'affiche
Microsoft Store, sur Windows	account.microsoft.com → Services et abonnements, puis Facturation
Play Store, sur Android	Play Store → photo de profil → Paiements et abonnements
App Store, sur iPhone ou iPad	Réglages → votre nom → Abonnements, et Paiement et expédition
PayPal	Compte → Paiements → Gérer les paiements automatiques
Carte donnée directement à l'éditeur	Votre espace client, rubrique Mes abonnements ou Mode de paiement
Ordinateur acheté en magasin ou sur un site de vente	Mon compte chez le revendeur, qui gère parfois l'abonnement à sa place

Il reste un cas que presque personne n'anticipe, et c'est le plus fréquent des vrais prélèvements. Les ordinateurs neufs sont livrés avec un antivirus préinstallé en version d'essai. Pendant la configuration du premier démarrage, l'écran propose d'activer la protection et réclame une carte de crédit « pour la suite ». Beaucoup la saisissent sans y penser, parfois le vendeur ou le proche qui installe la machine. Douze mois plus tard, le renouvellement automatique part, au tarif public et non à celui de la première année. La personne est de bonne foi en disant qu'elle n'a rien commandé — et le débit est légitime. Quand l'échéance tombe un an après l'achat, c'est presque toujours cette histoire-là.

Le prélèvement est vrai : ce que vous pouvez obtenir

Deux gestes souvent confondus. Désactiver le renouvellement automatique arrête les prélèvements à venir sans rembourser celui qui est passé. Demander le remboursement est une démarche séparée, et elle a une fenêtre.

• La fenêtre de l'éditeur. Norton l'écrit dans sa documentation d'assistance : les abonnements annuels bénéficient d'une garantie de remboursement de 60 jours, et « chaque paiement de renouvellement annuel donne également droit à un remboursement intégral s'il est demandé dans les 60 jours suivant le débit ». En mensuel, le délai tombe à 14 jours après l'achat, et les renouvellements suivants ne sont pas remboursables. Les autres éditeurs publient chacun la leur, dans vos conditions d'abonnement.
• Le défaut d'information préalable. L'article L215-1 du code de la consommation impose au prestataire d'informer le consommateur de la possibilité de ne pas reconduire, « au plus tôt trois mois et au plus tard un mois avant le terme de la période autorisant le rejet de la reconduction », avec la date limite « dans un encadré apparent ». Faute de cette information, le contrat se résilie gratuitement à tout moment à compter de la reconduction, et les sommes versées depuis sont remboursables sous trente jours.
• Le bouton de résiliation en ligne. Depuis le 1er juin 2023, l'article L215-1-1 oblige tout professionnel chez qui l'on peut souscrire par voie électronique à offrir une résiliation gratuite, d'accès facile, direct et permanent, sous la mention « résilier votre contrat ». Personne n'a donc le droit de vous obliger à téléphoner.

Écrivez plutôt que d'appeler : la demande passe par le formulaire de mon compte, et elle laisse une trace datée. La contestation bancaire ne s'applique pas, elle, à un paiement que vous avez un jour autorisé : la frontière vaut la peine d'être comprise avant de la franchir.

Reste la question de fond : fallait-il payer cet antivirus ? Sur un Windows à jour, la protection intégrée couvre déjà l'essentiel, et quand elle échoue à supprimer une menace, aucune des quatre causes ne se règle en payant un second logiciel.

Reprendre la main sur le moyen de paiement enregistré

Une fois le renouvellement coupé, il reste la carte de crédit que l'éditeur garde en mémoire. Elle se range au même endroit partout : votre espace client, rubrique Facturation, Mon compte ou Mode de paiement. Chez Microsoft, Google, Apple et PayPal, la liste des moyens de paiement est séparée de celle des abonnements : faites les deux tours.

Supprimer la carte ne résilie rien, et c'est l'erreur qui coûte le plus cher : le moyen de paiement disparaît, l'échéance arrive, le prélèvement échoue — et le contrat continue de courir. L'éditeur relance par email, puis confie parfois le dossier au recouvrement pour une somme qu'on croyait annulée. L'ordre : couper le renouvellement, retirer votre carte ensuite, garder la confirmation écrite.

• Ni chèque, ni virement. Les moyens de paiement d'un abonnement grand public sont la carte et le compte de la boutique ; les virements et les chèques n'y figurent jamais. Un message qui donne un IBAN ou une adresse postale est donc faux par construction : personne ne réclame vos coordonnées bancaires pour encaisser quarante euros.
• Le code secret ne sert jamais en ligne. Un paiement par carte bancaire sur internet demande le numéro, la date d'échéance et le cryptogramme du dos, puis une validation dans l'application de votre banque. Le code secret à quatre chiffres n'existe que devant un terminal ou un distributeur : quiconque le réclame, au téléphone ou sur une page, est un escroc, sans autre examen.
• Le cadenas ne prouve que le chiffrement. Un certificat SSL s'obtient gratuitement en quelques minutes, et le SSL d'un site monté la veille vaut celui d'une banque. Il garantit que personne ne lit la ligne entre vous et le serveur, pas que le serveur est honnête : les quatre codes d'avertissement du navigateur en disent plus.

C'est un faux : ce qui se passe si vous appelez

Le relevé est muet, aucun abonnement n'apparaît : le message est une arnaque. Reste à savoir ce qu'il y a au bout du numéro, parce que beaucoup appellent « juste pour faire annuler ».

L'interlocuteur est aimable. Il confirme votre commande, annonce l'annulation — puis explique que le remboursement « nécessite une connexion sécurisée » et fait installer un outil de prise en main à distance. Il voit alors votre écran et tape à votre place. Vient le tour le plus rentable de cette famille d'escroqueries : le trop-perçu. Il prétend s'être trompé de montant, affiche sur votre compte bancaire un virement de 5 000 € au lieu de 500, et demande la différence tout de suite.

Si aucun argent n'est sorti, la suite est administrative. Signalez par la fonction « signaler un hameçonnage » de votre messagerie, puis à Signal Spam ; les bons guichets diffèrent selon le préjudice, et trois acceptent une plainte en ligne. Puis supprimez sans répondre.

Vous en recevrez d'autres : votre adresse figure dans une liste revendue. Cela ne veut pas dire que votre ordinateur est touché. Un test gratuit dit où cet email a fuité, et si la boîte déborde d'un coup, c'est parfois le signe d'autre chose.

J'ai déjà appelé, ou donné la main

Beaucoup de gens arrivent ici après l'appel. L'ordre des gestes compte davantage que la vitesse.

1. Rien d'installé, rien de payé : rien de grave, mais votre numéro est sur une liste de gens qui décrochent. Attendez-vous à un rappel « du service des remboursements » : le coût réel d'un numéro surtaxé se vérifie avant de rappeler.
2. Un outil de prise en main a été installé : coupez le réseau sans éteindre l'ordinateur, puis refermez les six portes du PC. Lancez une analyse hors ligne ; si la machine refuse, le mode sans échec offre trois routes.
3. Votre carte a été dictée ou saisie : opposition immédiate par le numéro au dos de la carte ou dans l'application bancaire, puis contestation écrite. Le délai de contestation est long, mais il se compte. L'opposition change le numéro : pensez ensuite aux abonnements légitimes qui l'utilisaient comme mode de paiement.
4. Des virements sont partis : prévenez la banque dans l'heure, puis déposez plainte. Si c'est vous qui avez reçu de l'argent pendant l'appel, ne le renvoyez surtout pas : un virement reçu par erreur obéit à des règles précises.
5. Changez les mots de passe depuis un autre appareil, en commençant par la messagerie : l'ordre des comptes à reprendre n'est pas indifférent.
6. Surveillez le compte bancaire pendant deux mois. Les petits débits de test précèdent les gros, et un RIB entre de mauvaises mains autorise cinq usages identifiés.

Ce qui ne sert à rien

• Répondre, ou chercher le lien de désabonnement. Les deux confirment que l'adresse est lue par un humain, ce qui en augmente la valeur de revente.
• Appeler « pour vérifier ». La vérification se fait sur votre relevé et dans vos comptes clients, pas au bout de ce numéro.
• Faire opposition à votre carte alors qu'aucun débit n'existe. Cela immobilise vos moyens de paiement plusieurs jours pour un risque nul : l'escroc n'a que votre adresse mail.
• Installer un deuxième antivirus. Deux protections actives se gênent, et les outils proposés après ce genre de message appartiennent souvent à la famille de ce qu'on cherche à éviter. Un fichier douteux s'analyse par soixante-dix moteurs en une minute.
• Payer pour faire annuler. Cela paraît absurde écrit ainsi, et c'est pourtant l'issue de beaucoup d'appels : des « frais de dossier » réglés en coupons ou en chèques pour clore une commande imaginaire, comme une dette inconnue réclamée par courrier.

Pour les professionnels : ces fausses factures atterrissent souvent à la comptabilité. La règle des quatre derniers caractères évite la confusion la plus coûteuse, et la vigilance vaut pour le faux virement présenté comme urgent.

Questions fréquentes

Le message ne contient aucun lien, juste un numéro : est-ce quand même dangereux ?

Oui, et c'est pour cela qu'il arrive jusqu'à vous : un message sans lien ni pièce jointe ne déclenche presque rien chez les filtres anti-hameçonnage. Le danger est au bout du numéro de téléphone : la conversation sert à obtenir une prise en main à distance, puis un numéro de carte ou des virements.

J'ai bien un antivirus payant, mais pas celui annoncé. Est-ce que ça change quelque chose ?

Non : le relevé d'abord, toujours. Avoir déjà un abonnement en cours rend seulement le message plus crédible. Vérifiez le nom du produit sur votre facture : s'il ne correspond à aucune ligne de votre espace client, elle ne vient pas de l'éditeur.

Comment savoir si c'est l'ordinateur neuf qui a souscrit tout seul ?

Il ne souscrit jamais seul : une carte a été saisie au premier démarrage pour activer l'essai préinstallé. Regardez la date du prélèvement ; s'il tombe douze mois après l'achat, c'est presque toujours ce renouvellement automatique. Mon compte chez l'éditeur porte alors l'email utilisé ce jour-là, parfois celui d'un proche.

Un renouvellement vraiment prélevé peut-il être remboursé ?

Souvent, à condition de rester dans la fenêtre de l'éditeur. Norton écrit que chaque renouvellement annuel donne droit à un remboursement intégral demandé dans les 60 jours suivant le débit, et qu'un abonnement mensuel n'est remboursable que dans les 14 jours de l'achat. Lisez la vôtre dans vos conditions d'abonnement.

Suffit-il de supprimer ma carte de l'espace client pour arrêter les prélèvements ?

Non, et fait seul, ce geste aggrave souvent les choses : le contrat continue de courir, l'impayé s'accumule, et l'éditeur relance par email puis par recouvrement. Coupez d'abord le renouvellement dans votre espace client, vérifiez que la prochaine échéance a disparu de la facturation, et retirez le moyen de paiement ensuite.

Dois-je faire opposition à ma carte par précaution ?

Pas si rien n'a été débité et que vous n'avez donné aucun numéro : l'opposition immobilise vos moyens de paiement plusieurs jours sans rien protéger. Elle devient indispensable dès que votre carte a été dictée, saisie sur une page ouverte pendant l'appel, ou que vos coordonnées bancaires sont sorties.

Le message est arrivé sur une adresse que je n'utilise presque jamais

C'est un bon signe : l'adresse circule dans une liste issue de fuites chez des sites tiers, et votre ordinateur n'est pas en cause. Vérifiez où cet email a fuité, changez le mot de passe des comptes rattachés, et attendez-vous à d'autres messages pendant des semaines. Si les vôtres partent seuls, un test gratuit distingue l'usurpation du vrai piratage.

À lire aussi : l'arnaque au faux support technique · la fausse alerte antivirus · la fausse mise à jour.