Il y a quelque chose de particulièrement glaçant dans ce que révèle la montée en puissance des arnaques en ligne ces dernières années : les escrocs ne frappent plus au hasard. Ils travaillent avec des listes. Des bases de données très précises, qu’on appelle dans le milieu les « listes de pigeons », qui circulent entre fraudeurs pour cibler en priorité les personnes les plus susceptibles de tomber dans le panneau. Et avec l’intelligence artificielle, cette mécanique inquiétante est passée à la vitesse supérieure.
Qu’est-ce qu’une « liste de pigeons » exactement ?
L’expression est crue, mais elle dit la réalité sans détour. Une « liste de pigeons » est un fichier compilant des informations personnelles sur des individus identifiés comme des cibles potentielles pour les escrocs. On y trouve des noms, des numéros de téléphone, des adresses e-mail, parfois l’âge, la situation financière approximative, les centres d’intérêt… et surtout un historique : la personne a-t-elle déjà répondu à une tentative d’arnaque ? A-t-elle déjà payé ? A-t-elle déposé plainte ?
Ces listes ne tombent pas du ciel. Elles sont construites à partir de plusieurs sources : des fuites de données massives issues de cyberattaques (comme celle de l’impôt ou d’enseignes commerciales), des bases achetées auprès de data brokers, des formulaires frauduleux remplis par des victimes elles-mêmes, ou encore des croisements de fichiers piratés sur le dark web. Plus la fiche est complète, plus la victime est considérée comme « rentable ».
Ce qui aggrave la situation, c’est que ces listes se vendent, se louent et s’échangent entre réseaux criminels. Une personne escroquée une première fois se retrouve souvent dans une spirale : son profil, enrichi par sa première mésaventure, est revendu à d’autres groupes qui vont l’arnaquer à nouveau sous un autre prétexte. Les spécialistes de la fraude appellent ça le « recyclage de victimes ».
L’IA, carburant des arnaques nouvelle génération
Si la pratique des listes de cibles n’est pas nouvelle, ce qui a changé radicalement ces deux dernières années, c’est la capacité des escrocs à les exploiter à grande échelle grâce à l’intelligence artificielle. Des outils d’IA générative permettent désormais de personnaliser automatiquement des milliers de messages d’arnaque en quelques minutes : le prénom, la ville, le contexte familial ou professionnel de la cible sont injectés dans des modèles de texte convaincants, sans faute d’orthographe, dans un français parfait.
Exit les e-mails bancals bourrés de fautes qui permettaient autrefois de repérer le phishing à dix mètres. Aujourd’hui, un message frauduleux peut mentionner le nom de votre banque, votre prénom, la rue où vous habitez, et un motif suffisamment crédible pour déclencher une réaction émotionnelle : une prétendue fraude sur votre compte, une amende à régler d’urgence, une livraison bloquée. Le tout généré en masse, en quelques secondes, par une IA entraînée à maximiser le taux de « conversion ».
Les arnaques vocales, appelées « vishing », profitent elles aussi de cette révolution. Des systèmes de clonage vocal par IA peuvent imiter la voix d’un proche ou d’un conseiller bancaire de manière bluffante. Des cas ont été documentés en France où des seniors ont cru reconnaître la voix de leur fils ou de leur fille dans un appel demandant un virement urgent. La barrière technique qui protégeait les victimes s’effondre une à une.
Qui est vraiment dans le viseur des escrocs ?
Contrairement aux idées reçues, les personnes âgées ne sont pas les seules ciblées. Elles restent surreprésentées dans les statistiques (les retraités représentent une part importante des victimes de fraudes aux faux conseillers bancaires), mais les jeunes adultes sont de plus en plus visés via les arnaques sur les réseaux sociaux, les faux bons plans ou les investissements miraculeux en cryptomonnaies.
Ce qui prime dans les listes de pigeons, c’est moins l’âge que le profil comportemental. Quelqu’un qui a déjà répondu à un e-mail de phishing, même sans perdre d’argent, est considéré comme une cible de valeur. De même, une personne qui a récemment vécu un événement stressant (divorce, perte d’emploi, décès d’un proche) est plus susceptible de baisser sa garde. Les escrocs cherchent la faille émotionnelle autant que financière.
Les victimes de précédentes arnaques sont particulièrement exposées à une pratique odieuse : le « recovery scam », ou arnaque au remboursement. Un faux organisme se présente comme capable de récupérer l’argent perdu lors d’une première escroquerie… contre paiement d’avance, bien entendu. C’est un deuxième coup porté à des personnes déjà fragilisées.
Comment se retrouve-t-on dans une de ces listes ?
Plusieurs chemins y mènent, souvent sans qu’on s’en rende compte. Remplir un formulaire sur un site peu sérieux, répondre à un SMS frauduleux (même pour dire « stop »), cliquer sur un lien de phishing sans aller plus loin, publier ses coordonnées sur un forum ou un site de petites annonces : chacune de ces actions peut suffire à faire atterrir votre profil dans une base de données malveillante.
Les fuites de données à grande échelle alimentent également ces fichiers de façon massive. Lorsqu’une entreprise ou une administration subit une cyberattaque et que des millions d’identités sont exfiltrées, une partie de ces données se retrouve inévitablement en vente sur des marchés clandestins. Les informations issues de ces brèches sont croisées avec d’autres bases pour créer des profils toujours plus complets. C’est un phénomène que Maison & Travaux documente dans une enquête alarmante sur la sophistication croissante de ces réseaux.
Les bons réflexes pour ne pas devenir une cible facile
Il est impossible de garantir une protection totale, mais certaines habitudes réduisent significativement le risque de se retrouver dans ces fichiers ou d’y rester durablement :
- Ne jamais répondre à un message suspect, même pour se désabonner. Une réponse, même négative, confirme que le numéro ou l’adresse est actif, ce qui augmente sa valeur dans les listes.
- Limiter la diffusion de ses coordonnées personnelles en ligne. Petites annonces, forums, réseaux sociaux : chaque publication est une donnée potentielle pour les scrapers automatisés.
- Vérifier régulièrement si vos données ont fuité via des services comme Have I Been Pwned, qui recense les grandes brèches de données.
- Signaler toute tentative d’arnaque sur la plateforme officielle Pharos (Signal-spam pour les e-mails, 33700 pour les SMS frauduleux). Ces signalements aident les autorités à démanteler les réseaux.
- Activer la double authentification sur tous vos comptes sensibles : messagerie, banque, réseaux sociaux. Même si vos identifiants fuient, un second facteur bloque l’accès.
- Ne jamais effectuer un virement ou un paiement sous pression téléphonique, même si votre interlocuteur semble connaître votre nom, votre banque ou vos habitudes. Raccrochez, rappelez votre conseiller sur le numéro officiel.
Si vous pensez avoir déjà été victime d’une arnaque, signalez-le à votre banque immédiatement et déposez plainte. Cela limite non seulement les dommages pour vous, mais réduit aussi votre attractivité pour les « recovery scams » qui ciblent spécifiquement les victimes silencieuses.
Questions fréquentes
Comment savoir si je suis dans une « liste de pigeons » ?
Il n’existe pas de moyen direct de le savoir. En revanche, certains signes doivent alerter : vous recevez soudainement de nombreux appels ou messages non sollicités, des tentatives d’hameçonnage personnalisées (avec votre prénom, votre banque), ou des propositions trop ciblées pour sembler aléatoires. Vérifier si vos données ont fuité via Have I Been Pwned est un premier pas utile.
L’IA peut-elle aussi aider à détecter ces arnaques ?
Oui, et c’est l’un des rares aspects positifs de cette technologie dans ce contexte. Certaines banques et opérateurs téléphoniques utilisent désormais des systèmes d’IA pour détecter des patterns suspects (appels inhabituels, virements atypiques) et alerter les clients en temps réel. Des extensions de navigateur intègrent également des détecteurs de phishing basés sur l’apprentissage automatique.
Peut-on faire retirer ses données de ces listes ?
C’est très difficile pour les listes circulant sur le dark web ou entre réseaux criminels, qui opèrent hors de toute légalité. En revanche, on peut limiter l’alimentation de ces bases en exerçant son droit à l’effacement auprès des data brokers légaux, en demandant la suppression de ses données sur les sites de petites annonces ou annuaires, et en configurant ses comptes de réseaux sociaux en mode privé.
Que faire si j’ai déjà été victime d’une arnaque ?
Première étape : contactez immédiatement votre banque pour bloquer les transactions suspectes et faire opposition. Ensuite, déposez plainte auprès de la police ou de la gendarmerie, et signalez les faits sur la plateforme gouvernementale cybermalveillance.gouv.fr, qui propose aussi une aide pour les victimes. Méfiez-vous ensuite de tout contact promettant de récupérer votre argent contre paiement : c’est presque toujours une nouvelle arnaque.
Les arnaques basées sur l’IA sont-elles déjà présentes en France ?
Absolument. Des cas de clonage vocal par IA, de faux conseillers bancaires générés par chatbot, et de campagnes de phishing hyper-personnalisées ont déjà été documentés sur le territoire français. Les autorités comme la CNIL et Cybermalveillance.gouv.fr ont publié des alertes spécifiques sur ces nouvelles formes de fraude au cours des derniers mois.
