Le vishing, contraction de « voice » et de « phishing », désigne les fraudes commises par téléphone : un appelant se fait passer pour un tiers de confiance afin d’obtenir des informations confidentielles ou de faire valider des opérations à son profit. Sa forme la plus répandue en France est l’arnaque au faux conseiller bancaire, où l’escroc se présente comme le service anti-fraude de la banque de sa victime.
Le phénomène n’a rien de spécifiquement français : les rapports annuels de l’IC3, le centre de plaintes du FBI, classent le phishing et ses déclinaisons téléphoniques parmi les escroqueries les plus signalées. En France, cette fraude pèse d’un poids croissant dans le paysage de la cybercriminalité. Pour les établissements financiers, l’enjeu est direct : le fraudeur usurpe leur identité et détourne leurs propres parcours de sécurité, avant de leur laisser des litiges d’indemnisation qui fragilisent la relation client.
Le déroulé type d’une arnaque au faux conseiller
Tout commence avant l’appel. Le fraudeur détient déjà des informations sur sa cible : identité, coordonnées, parfois numéro de compte ou de carte. Elles proviennent d’une fuite de données, d’un achat sur une place de marché criminelle ou d’un hameçonnage antérieur, parfois mené par QR code. L’appel s’appuie ensuite sur le spoofing du numéro affiché : le téléphone de la victime indique le numéro authentique de sa banque, ce qui désamorce la méfiance initiale.
Le scénario est rodé. Des opérations suspectes seraient en cours sur le compte, il faudrait agir sans attendre. Sous couvert de « sécurisation », le prétendu conseiller fait valider à la victime, via l’application bancaire ou des codes reçus par SMS, des opérations qu’il a lui-même initiées : ajout d’un bénéficiaire, virement vers un « compte sécurisé », validation de paiements, parfois enrôlement d’un nouvel appareil qui lui assure un accès durable au compte. Le discours passe parce que l’appelant maîtrise le vocabulaire bancaire et connaît le dossier ; la pression temporelle entretenue tout au long de l’appel empêche la victime de prendre du recul.
Ces opérations, validées par le titulaire du compte lui-même, relèvent des fraudes aux paiements autorisés, dont le régime d’indemnisation et la vérification du bénéficiaire sont examinés dans l’article consacré à la fraude APP et la Verification of Payee.
Les collaborateurs, autre cible des appels frauduleux
Les clients ne sont pas les seuls visés. Les appels au faux support informatique suivent la même mécanique : « votre poste est compromis, communiquez-moi le code affiché à l’écran ». D’autres appels imitent la hiérarchie pour obtenir une action urgente, sur le modèle de la fraude au président, ou ciblent le service client afin de faire modifier les coordonnées ou les plafonds du compte d’un tiers. Les centres d’appels et les équipes support, qui peuvent réinitialiser des accès, concentrent l’attention des fraudeurs.
L’IA générative a élargi le champ des scénarios. Le clonage de voix rend plausible l’appel d’un dirigeant ou d’un proche : quelques extraits audio suffisent, comme le montre l’analyse du fonctionnement technique d’un deepfake vocal. Ces techniques rejoignent celles observées contre les parcours d’identification à distance, qu’il s’agisse de deepfakes utilisés pour l’usurpation bancaire ou d’usurpation faciale dans les processus KYC.
Comment les établissements se défendent
La règle mise en avant par les campagnes de prévention, notamment celles de cybermalveillance.gouv.fr, tient en une phrase : un conseiller ne demande jamais un code de sécurité, un mot de passe ni la validation d’une opération dans l’application au cours d’un appel entrant. Répétée sur tous les canaux, elle donne aux clients un critère de décision qui ne dépend ni du numéro affiché ni du talent de l’appelant.
Les parcours techniques comptent tout autant. Une authentification résistante au phishing réduit la valeur des codes que le fraudeur cherche à extorquer ; des écrans de validation affichant explicitement le montant et le bénéficiaire de l’opération signée compliquent la manipulation, la victime voyant ce qu’elle s’apprête réellement à autoriser.
La détection s’appuie sur des schémas caractéristiques : ajout d’un bénéficiaire suivi d’un virement rapide, enrôlement d’un nouvel appareil, opérations validées pendant un appel prolongé. Aucun de ces signaux ne prouve la fraude à lui seul, mais leur combinaison justifie de bloquer l’opération, ou de la retarder le temps d’une vérification. Les modèles utilisés pour la détection des fraudes financières par l’IA exploitent ce type de corrélation.
Côté collaborateurs, le rappel systématique reste une parade directe au spoofing : toute demande sensible reçue par téléphone, même présentée comme interne, est vérifiée en rappelant l’interlocuteur à un numéro connu. Les équipes les plus exposées reçoivent en outre une sensibilisation adaptée aux scénarios qui les visent.
L’écosystème téléphonique évolue aussi : les opérateurs déploient des mécanismes d’authentification des numéros qui compliquent le spoofing, et le signalement des appels frauduleux au 33700, dispositif national contre le spam vocal et SMS, alimente les mesures prises contre les lignes utilisées.
Ce que cybermalveillance.gouv.fr recommande aux particuliers
Les bonnes pratiques publiées par cybermalveillance.gouv.fr tiennent en quelques gestes : raccrocher puis rappeler soi-même sa banque au numéro officiel, celui figurant au dos de la carte, sans jamais communiquer un code reçu par SMS ni valider d’opération dans l’application à la demande d’un appelant. Le dispositif insiste aussi sur le temps de la vérification, la mécanique de l’arnaque reposant sur la précipitation, et sur le signalement de tout appel suspect à son établissement.
Questions fréquentes sur le vishing
Qu’est-ce que le vishing ?
Le terme contracte « voice » et « phishing » et désigne les escroqueries menées par téléphone : l’appelant se fait passer pour un tiers de confiance (banque, administration, support informatique) afin d’obtenir des informations confidentielles ou de faire valider des opérations frauduleuses. L’arnaque au faux conseiller bancaire en est la variante la plus courante en France.
Comment fonctionne l’arnaque au faux conseiller bancaire ?
Le fraudeur appelle en affichant le numéro authentique de la banque grâce au spoofing, se présente comme le service anti-fraude et invoque des opérations suspectes à bloquer d’urgence. Sous prétexte de sécurisation, il fait valider à la victime des virements ou des ajouts de bénéficiaires via les codes ou notifications de l’application bancaire. Les informations personnelles qu’il détient déjà rendent son discours crédible.
Comment reconnaître un appel frauduleux ?
Le numéro affiché ne prouve rien, puisqu’il peut être usurpé. Les indices les plus fiables tiennent au comportement de l’appelant : il crée l’urgence et demande un code, un mot de passe ou une validation dans l’application, ce qu’un conseiller ne fait pas lors d’un appel entrant. Les fiches de cybermalveillance.gouv.fr conseillent de raccrocher et de rappeler la banque à son numéro officiel.
Que faire en cas de vishing avéré ?
Contacter immédiatement sa banque pour faire opposition et tenter de bloquer les opérations, changer ses identifiants, signaler le numéro au 33700 et déposer plainte, conformément aux recommandations de cybermalveillance.gouv.fr. Pour l’établissement, un signalement rapide augmente les chances de rappel des fonds et alimente la détection des campagnes en cours.
