Un simple appel téléphonique, un logo familièrement reconnaissable et un code à six chiffres reçu par SMS ont suffi à effacer des années de droits de formation professionnelle en France. La personne à l'autre bout de la ligne connaissait le nom de la victime, une partie de son numéro de sécurité sociale, et utilisait un langage officiel qui semblait authentique. En 48 heures, les droits de formation de la victime avaient été transférés à un programme bidon qu'elle n'avait jamais choisi, entraînant une perte de près de 4 000 euros. L'incident a commencé par un appel provenant d'un numéro inconnu. L'appelant, se faisant passer pour un conseiller de Mon Compte Formation, a affirmé que les droits de formation de la victime étaient en danger et a proposé son aide. En utilisant des termes techniques tels que CPF (un système français de crédits de formation professionnelle), France Compétences et catalogue de formations éligibles, l'appelant a demandé un code à six chiffres envoyé par SMS afin de vérifier l'identité de la victime. La victime a reçu un SMS d'un système légitime appelé FranceConnect et a partagé le code avec l'appelant, croyant qu'il faisait partie d'un processus de vérification standard. Cela a permis au fraudeur d'inscrire la victime à un programme de formation fictif et de vider ses crédits de formation. Le lendemain, le compte montrait un solde proche de zéro, avec un programme listé que la victime n'avait jamais choisi. Le script du fraudeur était bien répétitif, utilisant un langage proche de celui des organisations officielles. Les détails personnels utilisés lors de l'appel ont probablement été obtenus à partir de fuites de données ou de bases de données piratées, rendant la fraude plus convaincante. Le SMS lui-même provenait d'un système légitime, car FranceConnect envoie automatiquement ces messages pour sécuriser les connexions. Cependant, le problème résidait dans le fait de donner le code à une tierce personne. Ce code agit comme une clé de coffre-fort – tant qu'il est en possession de l'utilisateur, personne d'autre ne peut l'utiliser. Une fois partagé, même oralement, il perd sa fonction de protection. La Caisse des Dépôts, qui gère le système CPF, n'initie jamais d'appels. Aucune organisation légitime ne devrait jamais demander vos identifiants FranceConnect. Toute communication concernant les comptes de formation devrait avoir lieu exclusivement via la plateforme officielle, par écrit, ou via des procédures lancées par l'utilisateur. Aucun conseiller, agent ou partenaire de formation ne demandera jamais un code à usage unique par téléphone. Si un arnaque CPF est suspectée, la première étape consiste à changer immédiatement les mots de passe sur les plateformes Mon Compte Formation et FranceConnect. Cela peut empêcher toute accès non autorisé supplémentaire. Il est également important de signaler l'incident au service client de Mon Compte Formation, en conservant toutes les preuves écrites de l'interaction, et d'utiliser la plateforme en ligne officielle pour signaler les fraudes. Déposer une plainte auprès de la police ou de la gendarmerie est également essentiel, car cela fournit une preuve officielle pour toute remboursement ou contestation future. La victime souligne qu'aucune administration sérieuse ne demande jamais un code de sécurité par téléphone. Se souvenir de cette règle et la partager avec d'autres pourrait aider à prévenir des expériences similaires.