« Votre solde CPF est arrivé à échéance. Veuillez remplir le formulaire. » Depuis 2020, ce genre de SMS frauduleux inonde les smartphones. L'objectif du message, le plus souvent, est de pousser les victimes à dépenser l'argent de leur Compte Personnel de Formation (CPF) dans des formations fantômes. Afin de les précipiter dans le piège, les malfaiteurs prétendent que l'argent acquis va disparaître ou alors ils font miroiter un gain (une somme d'argent, une tablette...) en plus de la formation.
Non seulement ces arnaques mènent à des millions d'euros de fraude, mais en plus elles dégradent l'image du dispositif. Le spam incessant, qui se décline aussi en appel téléphonique, et dans une moindre mesure en email, mène, dans l'imaginaire collectif, à une association directe entre arnaque et CPF.
L'épidémie de Covid à l'origine de la vague d'arnaques
Pour la Caisse des dépôts et consignations (CDC), responsable du dispositif pour le compte du ministère du Travail, de l'Emploi et de l'Insertion, le spam pose donc un danger de réputation, en plus d'être un casse-tête financier. « Si l'ensemble de l'écosystème ne parvient pas à arrêter la fraude, cela risque à la longue d'entamer la crédibilité du dispositif », reconnaît auprès de La Tribune Laurent Durain, directeur de la Formation professionnelle et des Compétences, à la direction des Politiques sociales de la CDC.
Lancé en 2015 pour remplacer le droit individuel à la formation (DIF), le CPF est alimenté chaque année par la Caisse des dépôts, en fonction des heures travaillées par le bénéficiaire. Cette cagnotte, créée automatiquement, peut ensuite être mobilisée par son titulaire pour s'offrir une formation. A l'époque, le gouvernement Valls, à l'origine du dispositif, voulait redonner un pouvoir de décision aux salariés pour gommer les défauts du DIF, qui était géré par les entreprises, ce qui causait toutes sortes de difficultés.
Très peu mobilisé pendant ses cinq premières années, le CPF commence à trouver son public en 2020 avec 984.000 formations suivies, soit deux fois plus que l'année précédente. Ce record est de nouveau dépassé en 2021 avec plus de deux millions d'inscrits à des formations, avec en tête l'apprentissage du permis de conduire et les cours de langues. Cet élan soudain marque le succès du lancement du site et de l'application Mon Compte Formation, fin 2019, qui a grandement amélioré l'accessibilité au dispositif, à la fois pour les utilisateurs et pour les organismes de formation. Il suffit de se connecter au site, créer son compte, puis faire une demande.
Le problème ? A peine quatre mois après ce lancement, en mars 2020, le confinement entre en application. En conséquence, les organismes de formation qui mènent leurs cours en présentiel ferment, ou sous-traitent les cours pour les maintenir à distance. Alors que les arnaques en ligne fleurissent aux quatre coins d'Internet, la Caisse des Dépôts voit apparaître sa première vague de fraude, de formations fantômes ou bâclées. Depuis, elle œuvre pour se débarrasser du problème, grandement alimenté par le démarchage téléphonique.
Qui peut limiter le spam ?
Si les arnaques au CPF rencontrent un tel succès, c'est notamment parce que les démarcheurs profitent d'un vide étonnant : personne n'a clairement la responsabilité de limiter les spams par SMS, à commencer par la Caisse des dépôts, dont l'identité est usurpée. « Le spam ne relève pas de la responsabilité de la Caisse des dépôts, qui est seulement responsable de ce qu'il se passe à l'intérieur de la plateforme Mon Compte Formation. C'est important de clarifier ce point, car toutes les actions que nous menons contre le démarchage sont du bonus par rapport à nos obligations », insiste Laurent Durain.
Concrètement, l'organisme a un pouvoir d'autorité dans le cadre de ses conditions d'utilisation qui régissent la plateforme. Il peut déréférencer [bannir du site, ndlr] un organisme de formation frauduleux, bloquer les paiements en cours, ou encore requérir le remboursement des sommes versées. En revanche, la CDC n'a pas d'autorité en dehors de la plateforme, et ne peut donc pas intervenir sur Internet ou sur le réseau de téléphonie mobile, par lesquels passe le spam.
Faut-il se tourner vers les opérateurs de téléphonie alors ? « Pour limiter le spam SMS, nous n'avons pas de solution pour l'instant », concède à La Tribune Déborah Caderon, responsable de Orange Téléphone. Cette application, gratuite, sans publicité et accessible à n'importe qui, permet de détecter les appels de démarchage abusif. Pour y parvenir, elle mobilise à la fois un système de signalement collaboratif et un algorithme qui détecte les comportements anormaux (1.000 appels en un jour, appels qui durent une seule seconde...). Ses 900.000 utilisateurs reçoivent en moyenne 13 appels de spam par mois en 2022, soit 2 de plus qu'en 2021 et 5 de plus qu'en 2020, notamment avec la croissance de l'arnaque au CPF. Orange Téléphone permet à ses utilisateurs de bloquer ou d'ignorer plutôt efficacement une majorité des appels de démarchage, mais elle ne répond pas au problème du flot de SMS frauduleux.
Limiter le spam revient à prendre un risque
« Pour gérer les SMS, il faudrait déployer une autre application, qui aurait la capacité de lire les messages. Mais il faudrait que les utilisateurs donnent leur accord pour les lire », résume Déborah Caderon. Elle pointe ici le principal problème de la lutte contre le spam par SMS : la façon la plus simple de les détecter consiste à analyser le contenu des messages, ce qui induit une entrée dans la vie privée des utilisateurs, très encadrée par la loi. Face à ce casse-tête juridique et pratique, sans intérêt financier ni obligation légale, les opérateurs restent pour l'instant prudents, malgré la demande des utilisateurs. « Nous y pensons, mais une telle application vient avec un coût difficile à justifier à l'heure actuelle », ajoute Déborah Caderon.
S'ils ne peuvent pas intervenir en bout de chaîne à la réception du message, les opérateurs pourraient potentiellement intervenir à la source du problème, en bloquant les numéros qui envoient le spam. Mais là encore ce n'est pas simple. « Le client n'a pas à justifier pourquoi il achète un numéro, et nous ne pouvons donc pas empêcher les spammeurs de prendre des numéros », rappelle la responsable d'Orange Téléphone.
De son côté, Bouygues Telecom souligne que les numéros affichés par les spammeurs font souvent l'objet de spoofing, c'est-à-dire qu'ils camouflent leur vrai numéro par un autre, en l'imitant. « Nos moyens d'action restent excessivement limités : si nous blacklistons le numéro, c'est-à-dire, nous l'empêchons de transiter via nos réseaux, c'est l'utilisateur légal de ce numéro en cas d'usurpation, un abonné lambda, qui serait privé de ses services téléphoniques alors qu'il n'est pas à l'origine de cette pratique », précise l'opérateur. Pour ne rien arranger au problème, certains appels proviennent de numéros affiliés à des opérateurs étrangers, difficile à mobiliser sur des questions françaises.
Contactée par La Tribune, l'Arcep - le gendarme des télécoms - précise que la régulation du spam n'est pas dans ses prérogatives. Elle rappelle simplement l'existence du 33700, une plateforme de signalement des spams fondée par Bouygues Telecom, Orange et SFR en 2008, suite à une demande du pouvoir public. Mais si ce service permet d'identifier les numéros frauduleux, il ne permet de limiter qu'à la marge le volume de spams.
Des sanctions contre les démarcheurs, mais a posteriori
Si ni la CDC ni les opérateurs ne peuvent intervenir, il ne reste plus que les autorités. Mais là encore, elles n'ont que peu d'outils pour limiter le démarchage, car cela reviendrait à intervenir avant que le délit soit commis. « Recevoir un SMS ne peut être que le début du commencement d'une tentative d'escroquerie », pondère lourdement auprès de La Tribune Thierry Pezennec, ex-chef du Sirasco (service d'information, de renseignement et d'analyse stratégique sur la criminalité organisée), un service de la police judiciaire. « La police n'intervient que suite à une plainte auprès de Tracfin [le service de renseignement chargé de la lutte contre la fraude fiscale et le blanchiment d'argent, ndlr] ou dans un faible nombre de cas, suite à une forte suspicion », ajoute-t-il.
Même son de cloche du côté de la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF), contactée par La Tribune. Si elle mène quelques actions en amont, elle intervient avant tout après l'identification du fraudeur. Elle a tout de même intégré depuis un an la question des arnaques au CPF dans son plan national d'enquêtes, dont l'objectif est de protéger les consommateurs face aux pratiques commerciales trompeuses.
Mais la marge d'action des autorités est d'autant plus limitée que démanteler les réseaux d'arnaques n'est pas toujours chose facile. « Il faut trouver les auteurs des messages, ceux qui les envoient, ceux en charge du blanchiment... Comme la fraude est en distanciel, les escrocs sont souvent à l'étranger, et ils utilisent plusieurs techniques pour brouiller les pistes », résume Thierry Pezennec. Mais l'enjeu est tel qu'il justifie les moyens : « les montants de la fraude, pris individuellement, ne sont pas importants. Mais en cumulé, nous parlons de plusieurs dizaines millions d'euros de préjudices. »
Arrêter le démarchage à la source
Malgré le constat d'impuissance face au démarchage, il existe tout de même des façons de lutter indirectement. La première consiste à tarir le phénomène à sa source, en empêchant les arnaques d'aboutir et en sanctionnant ceux qui les pilotent. Autrement dit, faire baisser la tentation à frauder en augmentant les risques et en baissant les récompenses potentielles.
En ce sens, tous les mois, un comité de pilotage de lutte contre la fraude au CPF se réunit avec des représentants de la caisse des dépôts, du ministère du travail, de la justice, de la police ou encore de la DGCCRF. « Le sentiment d'impunité, c'est fini », tonne Laurent Durain de la CDC. L'objectif : partager expertises et informations pour coincer les arnaqueurs. Cette coalition préfère rester discrète pour éviter de laisser une chance aux fraudeurs de s'échapper, mais de premiers résultats apparaissent dans la sphère publique.
En juin, Le Monde racontait le procès d'une arnaqueuse devant le tribunal de Saint-Omer (Pas-de-Calais). L'accusée avait attiré l'attention des autorités après s'être versée 300.000 euros de dividendes en 2 ans, par le biais de son entreprise Happy Form. Elle vendait des formations aux logiciels de bureautique contre plusieurs milliers d'euros aux bénéficiaires du CPF. En échange, les apprenants recevaient une simple clé USB (à 6,90 euros) contenant un kit de formation, lui-même acheté 193 euros auprès d'une entreprise spécialisée... Le procureur a requis 300.000 euros d'amende (c'est-à-dire, la restitution des sommes récoltées) et trente mois de prison, dont six fermes contre l'arnaqueuse.
Parallèlement, la CDC a grandement durci les conditions d'entrées sur sa plateforme pour les organismes de formation, à la faveur d'un nouveau prérequis imposé par les pouvoirs publics depuis le 1er janvier : le certificat Qualiopi. Délivré suite à un audit, il garantit le sérieux du contenu d'apprentissage. Le 1er avril, la CDC a exclu de sa plateforme 2.278 organismes de formations qui ne l'avaient pas obtenus.
La prévention, le meilleur des remparts
L'autre moyen de lutte, sur lequel tout le monde s'accorde, c'est la prévention. Autrement dit, donner des armes aux victimes pour qu'elles se protègent elles-mêmes. Si elles ne tombent pas dans le panneau, les arnaqueurs ne gagneront pas d'argent et finiront par se déporter sur d'autres sujets. « Il faut que les usagers comprennent que si on les appelle à propos du CPF, il faut qu'ils raccrochent », rappelle Laurent Durain. Pour insister sur le sujet, la CDC a lancé début juillet une nouvelle campagne de prévention.
De son côté, la Task Force de lutte contre les arnaques - qui regroupe neuf directions issues de 5 ministères, dont la DGCCRF et la DCPJ, mais aussi l'AMF, l'Anssi et la Cnil - a publié le même mois la 3e édition de son guide de prévention, et dédié pour la première fois une fiche entière aux arnaques au CPF.
Mais si la CDC insiste sur le rôle des utilisateurs dans la lutte contre la fraude, elle ne veut pas accabler les victimes en cas d'erreur. « Nous avons un formulaire de signalement. S'il est rempli de façon honnête, nous recréditions les droits. L'objectif, c'est que les utilisateurs ne soient pas lésés par les démarchages qui les ont piégés », rassure Laurent Durain.
Sujets les + commentés