Fraude sur facture sfr via iTunes

[estellecr03]

Il m'arrive exactement la même chose que pour vous. Quasi 100 euros d'achats apple en quelques minutes sur la ligne de ma fille en quelques minutes.  Impossible de joindre le service client sfr après 20h et je n'ai pas non plus accès à la ligne car elle n'est plus rattachée à mon compte. Aucun achat n'apparaît sur son compte apple. 

Que dois- je faire ?

Merci pour votre aide 

[Ryry]

Bonjour @estellecr03 

Que dois- je faire ?

---

Déjà commencer par désactiver (dans le compte client de la ligne mobile) la possibilité de faire des achats multimédia divers imputés directement sur la facture du mobile.

Car on rappelle que cette facilité de paiement qui conduit à ces dépenses imputées sur la facture de l'opérateur (SFR, Orange, Bouygues, Free)

• elle se nomme "Internet+" et ne permet que des petits montants (jusqu'à 20€ à la fois, dans la limite de 300€ par mois si j'ai bien compris)
• mais on peu en faire plein qui se cumulent pour faire une grosse somme : https://assistance.sfr.fr/gestion-client/factu-conso/service-micropaiement-facture-sfr.html 
• voir aussi le site consacré à cette solution de paiement : https://www.surmafacture.fr/internet/

Aucun achat n'apparaît sur son compte apple. 

---

C'est normal car si tu as suivi la conversation, ton enfant dans l'histoire n'aura (jamais) fait aucun achat à Apple correspondant à cette somme.

Ce qui est arrivé c'est que

1. cette somme à servi à acheter une (ou plusieurs) "carte cadeau" dépensables sur l'Apple Store (comme on peut en acheter à la caisse des supermarchés, pour dépenser à la FNAC ou sur l'Apple Store, ou sur Amazon...)
2. et donc c'est "l'arnaqueur" qui a réussi à se faire payer cette carte-cadeau par la facture de la ligne de ton enfant qui va ensuite faire des achat sur l'Apple Store avec son compte Apple à lui (pas le compte de ton enfant).

Cependant, "normalement" ce système de paiement est protégé par le fait que le téléphone de celui qui paye (ton enfant ici) doit recevoir lien vers une page web où il doit confirmer cet acte d'achat multimédia (la carte cadeau). Et ensuite il doit recevoir 2 SMS de confirmation de son achat, l'un de son opérateur, et l'autre du service acheté.

Et en général les victimes se font baratiner par quelqu'un (notamment de l'ingénierie sociale sur les réseaux sociaux) leur faisant croire à autre chose (un cadeau de Apple, qu'ils doivent aller valider sur le site etc.) et finalement les amenant à aller valider cette page sans penser qu'ils valident en fait un achat déclenché par l'arnaqueur mais plutôt qu'ils mettent leurs renseignements pour obtenir un cadeau gratuit (justement une carte cadeau sur l'Apple Store).

Bref, les arnaqueurs profitent de la crédulité de leurs victimes, mais normalement il faut que la victime ait commis une erreur de valider sur un site web dédié à cet achat à un moment du processus : dont souvent ils n'ont pas été totalement conscients vu le baratin, ou bien qu'ils n'osent pas avouer a posteriori. 

• Pour info Apple (et les autres) sont bien conscients qu'il existe des problèmes d'arnaque à la carte-cadeau au point qu'ils en ont fait une page de description spécifique https://support.apple.com/fr-fr/120933 
• Cependant ils n'évoquent pas la combinaison d'arnaque sur ces cartes-cadeaux avec celle au paiement via internet+ qui est encore plus élaborée, en 2 temps.

Néanmoins d'autres clients, comme @laetitiare03 un peu plus haut (cf. son message du 5/11) affirment que strictement rien concernant la validation/confirmation n'est arrivé sur le téléphone... (dysfonctionnement ? bug ? autre raison ?) 

Et donc tu peux sans doute procéder comme elle l'explique pour obtenir remboursement.

À+

[Ryry]

Hello @laetitiare03 

---

 Après vérification avec Apple (iTunes) et SFR, il s’agissait d’un dysfonctionnement entre les deux.

Normalement, SFR envoie un message pour valider l’achat, mais aucun message n’a été reçu — sûrement détourné par un pirate.

---

Ravi que tu aies pu obtenir remboursement.

Mais si par "message" tu veux dire SMS comme on l'a évoqué dans cette discussion, alors ça ne s'est probablement pas passé comme ça.

• D'une part parce que "détourner un SMS par un pirate", ça n'existe pas vraiment
• Mais surtout parce que dans cette technique, qui s'adosse sur le paiement par ligne mobile, il n'y a jamais de SMS pour valider l'achat. Il y a au contraire des SMS pour confirmer que l'achat est passé (nuance).
• En fait il n'y a pas vraiment de message envoyé pour valider l'achat, mais l'apparition d'une page sur le téléphone de celui qui va payer la transaction pour qu'il valide cet achat en temps réel.

C'est ce qui est expliqué que la page descriptive de ce système de paiement : https://www.surmafacture.fr/internet/

Révélation

Sur un réseau 3G/4G/5G, votre opérateur mobile est automatiquement identifié. Vous êtes alors redirigé vers une page de paiement sécurisée, et le montant de votre achat est reporté directement sur votre facture mobile.

[...]

Vous êtes dirigé(e) vers une page de paiement hébergée par votre opérateur.

[...]

Vous recevez au moins deux SMS de confirmation (l’un de votre opérateur et l’autre de l’éditeur).

Et dans les cas connus que j'ai vus "analysés" sur le web, la victime avait été baratinée par l'arnaqueur, qui lui fait croire par exemple qu'elle va pouvoir valider sa candidature pour gagner une carte-cadeau Apple gratuite sur une page web... La victime croit jouer... Et en fait elle valide l'achat déclenché par l'arnaqueur... Parfois la victime réalise a posteriori son erreur mais n'ose pas l'avouer, parfois elle ne le réalise même pas.

Néanmoins, comme conclu au-dessus, il y a des personnes qui affirment qu'elles n'ont jamais jamais jamais rien validé par un clic sur le téléphone...

À+

[AlaeT]

Bonjour @estellecr03 et bienvenue sur la communauté SFR, 🙂

J’espère que les explications apportées par @Ryry (🙏), vous permettront de comprendre mieux le fonctionnement de ces achats, et prendre les précautions nécessaires en commençant par bloquer tout type d'achat multimédia depuis votre espace client.

N'hésitez pas à revenir partager avec nous la suite de votre contact avec le service client, cela sera utile à d'autres membres de la communauté.

Bonne journée à vous ! 🌟

[cloepr01]

Bonsoir,

même problème : facturation Itunes en rafales autour de 2O heures depuis Août sur le tel de ma fille. Le montant faible en Aout est allé crescendo en septembre avant qu'apparaisse la fraude en novembre. Au total 241,77 €. Comptes Itune désactivés et dialogue SFR en cours pour essayer de se faire rembourser.

[Ryry]

Bonjour @cloepr01 

---

même problème : facturation Itunes en rafales 

---

Attention, si c'était des facturations iTunes (càd des sommes facturées par Apple concernant iTunes) ça ne serait pas ce qui est décrit ici.

Ici on parlait de facturations SFR d'achat (en général des cartes-cadeaux à dépenser ensuite, quand le détenteur le souhaite (sur Apple iTunes... ou Apple Store... ou Sony PS-sotre... ou bien d'autres enseignes, avec le système de cartes de préachat, mais et surtout facturées à la victime par l'opérateur (SFR ici) et non pas par iTunes.)

---

Comptes Itune désactivés et dialogue SFR en cours pour essayer de se faire rembourser.

---

Donc c'est bien plutôt une facturation SFR.

Alors dans ce cas qui préoccupe ici, comme évoqué au-dessus, désactiver le compte iTunes de la victime ne change rien à l'affaire et ne protège pas l'avenir. (Il n'entre pas du tout en ligne de compte dans l'arnaque).

Ce qu'il faut désactiver concerne le compte client SFR (et pas iTunes), et c'est la possibilité de faire des achat multimédia (d'ailleurs valable pour toi, ça n'est pas particulier pour iTunes) facturés via l'opérateur sur la ligne mobile du client (ça s'appelle internet+).

Et comme expliqué plus haut, normalement il y a une page web intermédiaire (de l'opérateur) pour valider l'achat quel qu'il soit

Pour passer cette validation (à faire par la victime) les arnaqueurs la baratinent le plus souvent (par exemple via des réseaux sociaux) en lui disant qu'elle va valider un cadeau pour elle, ou un jeu où l'on peut gagner, ou tout autre plan que la victime pense positif et pas frauduleux...

Pour l'instant on n'a pas démontré d'autres scénarios fonctionnels (sans berner la victime qui est consentante malgré elle) que ce mode opératoire.

Cependant il serait intéressant de creuser comment ça pourrait se passer autrement et franchir les protections prévues.

Bon courage,

À+

[laetitiare03]

Bonjour, 

A aucun moment j’ai parlé de cartes cadeaux, personnellement il y a eu plusieurs achats de 1,99€, 2,99€, 9,99€….. 

Nous avons testé avec mon conjoint de faire un achat iTunes de son téléphone avec mon numéro de téléphone et nous avons bien eu un sms de la part d’Apple pour confirmer l’achat via un code. Hors aucun sms n’a été envoyé sur le numéro de téléphone de ma fille. 

Pour notre cas aucun sms de baratineur, arnaqueur n’a pris contact par n’importe quel moyen sur le numéro de téléphone arnaqué. 

[Ryry]

Bonjour @laetitiare03 

---

A aucun moment j’ai parlé de cartes cadeaux, personnellement il y a eu plusieurs achats de 1,99€, 2,99€, 9,99€….. 

Non, c'est moi qui ai fait l'analogie avec les cartes-cadeaux

Car c'est souvent sur ce principe que fonctionne "l'arnaque" (concernant les gros services comme Apple iTunes, Apple App Store ou Sony Playstation, qui ne s'amusent pas à des arnaques sournoises comme je te l'évoquerai plus loin)

• Dans ce scénario, en vérité l'arnaqueur ne fait pas acheter à sa victime directement des choses sur l'Apple Store ou iTunes (qui apparaîtraient donc dans les achats du compte client Apple de la victime)
• Il fait payer à sa victime l'équivalent de cartes-cadeaux (comme on trouve à la caisse des supermarchés pour plein de service en ligne)... En fait des codes d'achat utilisables sur ces plateformes. Et ensuite c'est l'arnaqueur qui s'est fait payer ces équivalents carte-cadeaux qui va aller les utiliser sur ces plateformes Apple ou autres (au bénéfice de son compte client à lui).

---

Nous avons testé avec mon conjoint de faire un achat iTunes de son téléphone avec mon numéro de téléphone et nous avons bien eu un sms de la part d’Apple pour confirmer l’achat via un code.

---

Oui mais là, sauf si je n'ai pas bien saisi votre expérimentation,

1. ce n'est pas le système de paiements de micro-achat "internet+" que vous avez utilisé,
2. mais il me semble que c'est "SMS+" (ou autre chose)

=> voir ces 2 différents moyens de paiement possibles via ligne mobile sur le site que j'ai déjà donné : https://www.surmafacture.fr/

SMS+ fonctionne via des SMS en effet, mais pas internet+

Mais je peux me tromper aussi sur la manip "légale" de moyen de paiement que vous avez tentée puisque, évidemment, on peut aussi faire des achats sur iTunes en faisant autrement...

Mais à ce qu'on lit sur internet, des 3 paiements que je connais (directement sur facturation par Apple, ou bien sur facture opérateur via SMS+ ou bien aussi sur facture opérateur mais via internet+) c'est le 3e qui conduit à ces arnaques qu'on lit de-ci de-là (et, cf. la description d'usage sur le site que je t'ai indiqué, la 3e méthode, je le répète, n'envoie PAS de code SMS pour confirmer l'achat, lire le lien du site officiel de ce système que j'ai donné dans une réponse précédente)

• => Je t'invite à lire par exemple l'article suivant pour voir que la tentative que tu as faite avec ton conjoint n'est pas représentative du système de paiement internet+ qui aboutit à l'achat sans SMS préalable : https://www.freenews.fr/concurrence/escroqueries-systeme-internet-continue-de-faire-victimes
• ou aussi cet article antérieur https://www.lesechos.fr/2016/08/micropaiements-les-fraudes-sur-mobile-peuvent-atteindre-plusieurs-ce...

---

Hors aucun sms n’a été envoyé sur le numéro de téléphone de ma fille. 

Je répète que aucun SMS de code de confirmation d'achat n'est demandé dans la méthode de paiement "internet+".

En revanche, comme déjà décrit, il y a des SMS de confirmation que l'achat est passé mais donc après l'acte d'achat. Donc oui, ton enfant devrait voir une trace en SMS (à moins qu'il n'ait effacé les SMS en question, par dépit, par peur, par inattention).

Pour ma part, comme déjà dit en conclusion de mes messages juste avant toi, j'ai rappelé qu'il y a pourtant des témoignages qui affirment qu'il n'y a jamais eu aucun SMS

• ni de code pour confirmer l'achat (ça c'est la méthode SMS+)
• ni de confirmation d'achat effectué, après le passage par une page internet de confirmation (ça c'est la méthode internet+, qui fonctionne d'ailleurs sur smartphone et sur ordinateur)

Cette totale absence est quelque chose qui ne devrait pas être possible ni dans un cas ni dans l'autre... Et pourtant il y a des témoignages...

---

Pour notre cas aucun sms de baratineur, arnaqueur n’a pris contact par n’importe quel moyen sur le numéro de téléphone arnaqué. 

---

Je n'ai pas parlé de SMS baratineur.

J'ai expliqué que, très souvent, lors d'arnaque via internet+ (donc sans confirmation par SMS je le répète) la victime peut se fait convaincre d'aller sur une page web (celle de la confirmation d'achat dédiée par l'opérateur, cf. le mode prévu de internet+ sur le lien que j'ai donné) croyant y faire autre chose (comme par exemple gagner un cadeau ou autres).

1. En effet j'ai dit cette motivation pouvait être via le baratin d'un arnaqueur sur les réseaux sociaux le plus souvent (c'est à mon sens le détournement qui marche pour motiver des achats de codes qui fonctionnent ensuite sur des plate-formes "sérieuses" comme Sony Playstation, Apple Store, Apple iTunes, etc.
2. Mais ça peut être encore plus gros : au lieu d'arnaqueurs motivés pour un travail individuel d'ingénierie sociale, des sociétés peuvent carrément afficher un bouton "cliquez ici pour avoir un cadeau" ou "pour visionner une vidéo" dans les pubs surgissantes d'une appli gratuite, et la victime, sans plus la forcer, y va de son plein gré sans qu'on l'incite... Alors que hélas, par le truchement de texte écrits tout petit le clic qu'elle fait est en réalité la fameuse confirmation d'achat...

=> je t'invite réellement à lire les 2 articles que je t'ai transmis pour voir que cela se passe comme ça.

• J'ai tendance à privilégier le scénario 1 car dans le 2 on aurait tendance à dire que la victime est un peu nulle et a cliqué sans faire vraiment attention et est tombée d'elle-même dans un gros piège... Alors que le scénario 1 l'excuse un peu plus, elle a été baratiné, incitée, trompée, bernée par les belles paroles sur des réseaux sociaux et quand elle est aller cliquer d'elle-même, elle avait été conditionnée à croire autre chose que l'achat qu'elle a en réalité confirmé.
• Mais hélas, dans un cas comme dans l'autre, la victime est malheureusement complice de son propre malheur : c'est elle qui fait effectivement l'action de paiement, plus ou moins instrumentalisée pour la tromper et la pousser à le faire comme l'explique bien l'article...

Une fois encore, ça c'est un scénario simple pour expliquer que l'achat a bel et bien eu lieu, sans SMS de code de confirmation, car la procédure internet+ est comme ça.

Mais des témoignages affirment qu'il s'est passé des choses qui ne sont pas celles du protocole prévu... Laissant donc à ce stade une part d'incompréhension.

À+

[carneluttibe01]

Bonjour j'ai également été piraté, on m'a prélevé en quelques minutes 150 euro et personne ne veut rembourser, ni apple ni SFR, je pense sérieusement à quitter sfr

[Ryry]

Bonsoir @carneluttibe01 

---

on m'a prélevé en quelques minutes 150 euro 

---

Ce sujet est décidément bigrement intéressant.

D'ailleurs, comment cette somme de 150 € apparait-elle sur ta facture SFR ? Peux-tu nous montrer comment la ou les lignes de débits sont libellées et "justifiées" au client SFR sur sa facture ?

et personne ne veut rembourser, ni apple ni SFR, je pense sérieusement à quitter sfr

---

On est vraiment désolé pour toi, mais on ne peut que répéter ce qui a été largement débattu avant.

Les seuls éléments qui sont bien connus et décrits dans des articles nécessitent une "erreur" du client qui confirme d'une façon ou d'une autre (et souvent sans s'en rendre compte) les achats en questions : soit il clique vraiment lui-même sur des choses qui ressemblent à des fermeture de notifications publicitaires ou autres, mais c'était une boite de confirmation déguisée / soit la boite de confirmation n'est pas déguisée mais un arnaqueur l'a convaincu qu'il validait un cadeau ou un autre prétexte... (ça c'est pour les arnaques au mode micro-paiements multimédia dit "internet+")

Il y a peut-être d'autres moyens plus méconnus sans le concours involontaire de l'innocente victime, mais pour l'instant le mode opératoire n'est pas divulgué dans les discussions de forum ou articles de presse

j'ai également été piraté

---

Ou peut-être sans l'action d'un pirate, mais l'histoire des pubs déguisées qu'on valide sans se rendre compte que ce sont des achats ? (cf. les 2 articles que j'ai donnés dans ma réponse précédente).

personne ne veut rembourser, ni apple ni SFR

---

Disons que l'un et l'autre campent sur la version "officielle" de ces déboires (un peu comme des banquiers ont pu camper sur leurs positions concernant les cartes bancaires quand telle opération dans un magasin n'était pas possible sans fournir le code secret) : là l'un et l'autre s'estiment que le responsable n'est pas eux (Néanmoins certains clients arrivent à les faire plier et obtiennent des remboursements, comme l'un l'a même rapporté @laetitiare03 dans cette discussion : donc ne pas hésitez à suivre son exemple).
Bon courage, 
À+