Un mail Amazon Prime réclame un paiement ou un IBAN : vrai ou faux ?

↑ Ce conseil fait partie du guide : Arnaques et hameçonnage

Faux mail Amazon Prime : que faire ?

Un mail Amazon Prime qui réclame un IBAN, une carte, ou menace de bloquer votre compte sous 24 heures ne vient jamais d'Amazon : aucun vendeur en ligne ne demande ces informations par courriel, et la loi lui impose au contraire une résiliation accessible depuis votre compte, pas depuis un message. Avant de cliquer, ouvrez amazon.fr à la main et regardez vos commandes et vos abonnements : si rien n'y correspond, le message est un faux.

1. Ne cliquez sur aucun lien du message, même « pour vérifier » ou « pour refuser »
2. Tapez amazon.fr vous-même dans le navigateur, jamais depuis le mail
3. Vérifiez votre commande récente et vos abonnements dans votre compte
4. Rien ne correspond : signalez le message, supprimez-le, ne répondez pas
5. IBAN ou numéro de carte déjà donnés : contactez votre banque dans l'heure

Les quatre marqueurs du faux

1. Un IBAN réclamé pour ce qui devrait être une carte. Un abonnement Prime se paie par carte bancaire ou par le moyen de paiement déjà enregistré dans le compte : jamais par virement. Une carte bancaire se débite avec son numéro, sa date d'expiration et son cryptogramme, validés ensuite dans l'application de la banque. Un IBAN sert à tout autre chose : il autorise un prélèvement, c'est-à-dire un ordre que l'organisme qui le détient peut déclencher lui-même, sans code ni validation du jour. Un message qui mélange les deux ne se trompe pas par maladresse : un IBAN capturé ouvre la porte à des prélèvements répétés, pas seulement à un paiement unique.

2. La menace de blocage, chronométrée. « Votre compte sera suspendu sous 24 heures », « votre abonnement Prime expire aujourd'hui » : l'échéance sert à empêcher de vérifier ailleurs avant d'agir. Un vrai blocage de compte, lui, s'affiche directement au moment où vous tentez de vous connecter sur amazon.fr : il n'a besoin d'aucun courriel pour exister, et il ne se lève jamais en cliquant un lien reçu par mail.

3. Aucune référence vérifiable. Pas de numéro de commande, pas de nom d'article, pas les quatre derniers chiffres du moyen de paiement enregistré : la formule reste générale, « votre abonnement », « votre compte », parce que l'expéditeur ne sait rien de vous au-delà de votre adresse mail. Un vrai message de facturation reprend toujours un détail que vous pouvez recouper dans votre propre compte, et son en-tête complet confirme ou contredit l'adresse affichée.

4. Un lien qui ne mène pas vers amazon.fr. Le texte du lien peut afficher n'importe quoi : seule l'adresse réelle, celle qui s'ouvre, compte. Cinq maquillages d'adresse le font ressembler au bon domaine sans l'être : un sous-domaine ajouté avant « amazon », un tiret inséré, une extension différente du « .fr » habituel. On ne clique pas pour vérifier : on compare le texte affiché dans la barre d'adresse une fois la page ouverte, jamais avant. D'un clic, vous êtes redirigé droit vers cette copie, sans étape intermédiaire ni avertissement : c'est cette bascule immédiate qui rend risqué le réflexe de cliquer « juste pour voir ».

Vérifier dans son compte, jamais dans le message

La bonne vérification ne se fait jamais à partir du message : ni en cliquant son lien, ni en composant un numéro qu'il afficherait. Elle se fait en ouvrant amazon.fr par le chemin habituel — l'application, ou l'adresse tapée à la main dans le navigateur — puis en rejoignant votre espace client, parfois appelé « Votre compte » selon l'écran, jamais celui ouvert depuis le lien reçu. Cybermalveillance.gouv.fr donne la même consigne pour toute arnaque par message électronique : « Le meilleur moyen pour ne pas tomber dans le piège de l'hameçonnage est de taper manuellement l'adresse du site officiel. » Une fois connecté, trois endroits suffisent : vos commandes, la rubrique qui regroupe vos abonnements, et celle de vos moyens de paiement enregistrés.

Ce que dit le message	Ce qui le confirme, ou l'infirme
Un abonnement vient d'être renouvelé, ou va l'être	La ligne apparaît dans vos commandes, à la date annoncée : sinon, elle n'existe pas.
Le compte va être bloqué faute de réponse	Vous vous connectez normalement sur amazon.fr : rien ne vous en empêche tant que vous n'avez rien cliqué.
Un moyen de paiement a expiré ou doit être confirmé	Les quatre derniers chiffres affichés dans votre compte correspondent, ou non, à votre carte réelle.
Un remboursement vous attend	Aucun remboursement légitime ne réclame des coordonnées bancaires pour être versé : il revient sur le moyen de paiement d'origine, sans rien demander.

Le cadenas affiché par le navigateur sur la page ouverte depuis le lien, ou la mention « paiement sécurisé » qui l'accompagne, ne prouvent rien de plus qu'un chiffrement SSL : n'importe quel site, y compris une copie montée la veille, l'affiche gratuitement en quelques minutes. Il garantit que personne ne lit la ligne entre vous et le serveur, pas que ce serveur appartient à Amazon. Une connexion sécurisée et des paiements présentés comme sécurisés ne sont donc pas des preuves d'identité : n'importe quelle copie récente d'un site marchand les affiche aussi facilement que le vrai.

Le réflexe suivant consiste à ouvrir vos relevés bancaires des dernières semaines, même sans message reçu. Une utilisation frauduleuse ne se limite pas à un débit isolé : une opération frauduleuse commence souvent par une petite somme, testée avant un montant plus élevé. Toute ligne que vous ne reconnaissez pas se signale à votre banque, même minime, et même si elle porte un libellé qui ressemble à celui d'Amazon.

Ce contrôle règle aussi le doute le plus fréquent : « et si j'avais vraiment souscrit sans m'en rendre compte ? ». Un abonnement Prime réel reste toujours visible dans le compte qui l'a souscrit, avec sa date de départ exacte. S'il n'y figure pas, aucune autre vérification n'est nécessaire : le cas d'une vraie commande que vous n'avez pas passée suit une autre procédure, celle d'un compte réellement piraté ou d'une carte réellement volée.

Pourquoi un IBAN, précisément

Demander un IBAN pour un abonnement qui se paie par carte n'est pas une maladresse de rédaction : c'est le choix le plus rentable pour qui écrit le message. Un numéro de carte bancaire volé permet un ou plusieurs paiements, jusqu'à ce que la victime fasse opposition : la fenêtre est courte. Un IBAN permet d'initier un prélèvement automatique, via un mandat SEPA : une fois signé, même frauduleusement, l'organisme qui le détient peut déclencher des débits sans code, sans validation sur le moment, et sans que la victime en soit avertie à l'avance. La première trace visible est une ligne sur le relevé, des semaines plus tard.

Vous ne payez jamais un abonnement Amazon par IBAN, par chèque, par chéquier ou par Titre interbancaire de paiement — le TIP, encore utilisé pour certaines factures administratives, mais absent du commerce en ligne. Aucun de ces canaux ne figure parmi les modes de paiement acceptés pour un abonnement grand public, qui se limitent à la carte de paiement déjà enregistrée dans le compte, quelle que soit la marque : carte Visa, Mastercard, carte de crédit ou carte bleue. Un message qui évoque votre facture tout en réclamant un virement ou un chèque ne décrit donc aucun circuit réel. Le code confidentiel à quatre chiffres, lui, n'existe que devant un terminal ou un distributeur : sur une page web, personne ne le demande jamais, et quiconque réclame ce code secret, en ligne ou au téléphone, est un escroc sans autre examen.

Les cartes de paiement restent protégées même si leur seul numéro fuite : les retraits en distributeur réclament toujours la carte physique et son code, et un paiement par carte bancaire en ligne passe désormais presque toujours par une authentification forte — un code reçu sur votre téléphone, ou validé dans l'application bancaire — avant que la banque n'autorise le débit. Un paiement par carte protégé de cette façon ne suffit donc pas, seul, à vider un compte : c'est l'IBAN, dépourvu de cette étape, qui ouvre la voie la plus large.

C'est pour cette raison que un RIB tombé dans de mauvaises mains autorise plusieurs usages, pas un seul, et que la réaction ne se limite pas à surveiller son solde : elle passe par la banque, pour faire opposition au mandat avant qu'un premier prélèvement n'apparaisse. Si un débit est déjà passé, la contestation d'un prélèvement suit ses propres délais, différents de ceux d'une fraude à la carte : la DGCCRF rappelle qu'un prélèvement se rembourse sur simple demande dans les huit semaines qui suivent le débit, et jusqu'à treize mois s'il n'a jamais été autorisé. Dans les deux cas, c'est la banque qui agit, jamais l'expéditeur du message : aucun remboursement légitime ne transite par un lien reçu par mail.

Le réflexe « je vérifie le RIB qu'on me présente » est lui aussi trompeur : un RIB bien formé ne prouve rien sur l'honnêteté de qui le présente, il prouve seulement qu'un compte existe quelque part.

Ce que la loi impose à tout vendeur en ligne

Amazon n'échappe à aucune des règles qui encadrent un abonnement souscrit en ligne, et ces règles rendent le scénario du message impossible tel qu'il est raconté.

• L'information préalable. L'article L215-1 du code de la consommation impose à tout prestataire d'informer le consommateur de la possibilité de ne pas reconduire un contrat, « au plus tôt trois mois et au plus tard un mois avant le terme de la période autorisant le rejet de la reconduction », avec la date limite « dans un encadré apparent ». Cette information se transmet par courrier ou par e-mail dédié, et suit un calendrier fixe : elle n'arrive jamais sous la forme d'une échéance de 24 heures glissée dans un message de relance.
• Le bouton de résiliation en ligne. Depuis le 1er juin 2023, l'article L215-1-1 oblige tout professionnel chez qui l'on peut souscrire par voie électronique à offrir une résiliation gratuite — sans frais, ni appel ni déplacement —, d'accès facile, direct et permanent, sous la mention « résilier votre contrat ». Personne n'a donc besoin de cliquer un lien reçu par mail pour arrêter un abonnement : la fonction existe déjà, dans le compte.
• Le défaut d'information, sanctionné. Faute de cette information préalable, le contrat se résilie gratuitement à tout moment à compter de la reconduction, et les sommes versées depuis sont remboursables sous trente jours. C'est un droit qui s'exerce dans votre compte, par écrit, jamais au bout d'un lien.

Ces trois points ferment la même porte : aucune urgence légitime ne peut forcer une décision avant d'avoir pu vérifier, et aucune résiliation légitime ne dépend d'un clic venu d'un message. Pour le mécanisme identique appliqué à un éditeur d'antivirus, la même loi produit les mêmes conclusions ; pour une menace plus générale sur l'énergie, un calendrier légal rend de la même façon une coupure annoncée par mail impossible.

Vous avez déjà cliqué, ou donné l'IBAN

L'ordre des gestes compte plus que la vitesse. Il dépend de ce qui a été donné.

1. Un IBAN a été donné : contactez votre banque pour vous opposer au mandat de prélèvement avant qu'un débit n'apparaisse. Si un prélèvement est déjà passé, demandez son remboursement en précisant qu'il n'a pas été autorisé : le délai de treize mois s'applique.
2. Un numéro de carte a été saisi : opposition immédiate par le numéro au dos de votre carte ou dans l'application bancaire, puis contestation écrite. Sept signes confirment qu'une carte est réellement compromise, utiles pour surveiller les semaines qui suivent.
3. Vous avez saisi votre mot de passe Amazon sur la page du lien : changez-le depuis amazon.fr, en tapant l'adresse vous-même, puis vérifiez les sessions ouvertes et les adresses de livraison enregistrées. La reprise d'un compte réellement piraté suit un ordre précis, utile si une commande inconnue apparaît entretemps.
4. Rien n'a encore été donné, mais le doute persiste : surveillez votre compte bancaire deux mois, sans faire opposition par précaution : cela immobilise vos moyens de paiement plusieurs jours pour un risque nul tant qu'aucun numéro n'est sorti.
5. Dans tous les cas : signalez le message par la fonction « signaler un hameçonnage » de votre messagerie, puis à Signal Spam. Si de l'argent est parti, les bons guichets diffèrent selon le préjudice, et trois d'entre eux acceptent une plainte en ligne.

Votre adresse continuera de recevoir ce type de message : elle figure dans une liste revendue après une fuite chez un site tiers, sans que votre ordinateur soit en cause. Un test gratuit dit où elle a fuité, et si la boîte en reçoit des dizaines d'un coup, c'est parfois le signe d'autre chose.

Ce qui ne sert à rien

• Répondre, ou chercher le lien de désabonnement du message. Les deux confirment que l'adresse est lue par un humain, ce qui en augmente la valeur de revente.
• Cliquer « pour vérifier seulement », sans rien saisir. Certaines pages copient l'identité visuelle d'Amazon au pixel près ; la vérification se fait avant de cliquer, pas après.
• Faire opposition à sa carte alors qu'aucun numéro n'a été donné. Cela immobilise vos moyens de paiement plusieurs jours pour un risque nul : l'escroc n'a, au départ, que votre adresse mail.
• Installer une extension ou un antivirus proposé par le message. Les outils suggérés après ce type de message appartiennent souvent à la même famille que ce qu'on cherche à éviter. Un fichier reçu en pièce jointe s'analyse par soixante-dix moteurs en une minute, sans l'ouvrir d'abord.

Pour les professionnels : ces faux messages de facturation atterrissent aussi à la comptabilité, parfois au nom d'un fournisseur réel. La règle des quatre derniers caractères évite la confusion la plus coûteuse.

Questions fréquentes

Le message ne demande pas d'IBAN, juste de « mettre à jour » ma carte en cliquant : est-ce plus sûr ?

Non, c'est le même mécanisme avec un autre appât. Le lien ouvre une page qui imite Amazon et enregistre le numéro de carte, la date d'expiration et le cryptogramme que vous y saisissez. La seule vérification fiable reste la même : fermer le message et retaper amazon.fr soi-même.

J'ai bien un abonnement Prime en cours : comment savoir si ce message en parle vraiment ?

Ouvrez votre compte directement et comparez la date de renouvellement annoncée à celle qui apparaît réellement dans vos commandes et abonnements. Un vrai message reprend toujours un détail que vous pouvez recouper ailleurs que dans le message lui-même.

Le lien ouvre une page identique à Amazon, avec le logo et les couleurs : comment en être sûr ?

L'apparence ne prouve rien : copier une page web prend quelques minutes. Seule l'adresse affichée dans la barre du navigateur compte, et elle doit se terminer exactement par amazon.fr, sans sous-domaine ni tiret ajouté avant.

Je n'ai jamais eu de compte Amazon : pourquoi est-ce que je reçois ce message ?

Votre adresse circule dans une liste revendue après une fuite chez un site tiers, sans rapport avec Amazon. Le message est envoyé au hasard sur des millions d'adresses ; un test gratuit dit où la vôtre a fuité.

On me propose un remboursement après un « trop-perçu » : dois-je le renvoyer ?

Non, et surtout pas avant d'avoir vérifié votre compte bancaire par vous-même. Ce virement affiché n'a généralement jamais eu lieu : la page a été modifiée pendant un appel ou une prise en main à distance, pas votre solde réel. Un virement reçu par erreur obéit à des règles précises, et elles ne commencent jamais par le renvoyer dans l'urgence.

J'ai déjà donné mon IBAN : combien de temps ai-je pour agir ?

Un prélèvement déjà passé se rembourse sur simple demande dans les huit semaines qui suivent le débit, et jusqu'à treize mois s'il n'a jamais été autorisé. Contactez votre banque avant même qu'un prélèvement n'apparaisse, pour faire opposition au mandat.

À lire aussi : la facture d'antivirus non commandée · le compte Amazon vraiment piraté · le faux mail EDF.