Vishing : les arnaques par téléphone et comment se protéger

Le vishing : quand le phishing passe par la voix

Le "vishing" (voice + phishing) désigne les arnaques par téléphone dans lesquelles un escroc se fait passer pour un organisme de confiance : banque, administration, service technique, opérateur téléphonique. Contrairement au phishing par email ou SMS, le vishing exploite l'interaction humaine directe, ce qui le rend particulièrement efficace et difficile à contrer.

En France, le vishing est devenu l'une des formes de fraude les plus coûteuses. La voix humaine crée un sentiment de confiance et d'urgence que les messages écrits ne peuvent pas reproduire. Les victimes se retrouvent manipulées en temps réel par des interlocuteurs entraînés aux techniques de persuasion.

Les différents types de vishing

Le faux conseiller bancaire

C'est la forme la plus répandue et la plus coûteuse. L'escroc appelle en se faisant passer pour le service fraude de votre banque. Il vous informe qu'une opération suspecte a été détectée sur votre compte et qu'il faut agir immédiatement pour la bloquer.

Le scénario type :

1. Votre téléphone affiche le numéro de votre banque (spoofing)
2. L'interlocuteur se présente comme "agent du service fraude"
3. Il cite votre nom, votre banque, parfois les derniers chiffres de votre carte
4. Il décrit une opération suspecte fictive
5. Il vous demande de "valider le blocage" en communiquant un code reçu par SMS
6. Ce code sert en réalité à valider un virement ou un paiement frauduleux

Le faux support technique

L'escroc prétend appeler de Microsoft, Apple ou votre fournisseur d'accès internet. Il affirme que votre ordinateur est infecté par un virus ou que votre connexion est compromise. Il vous demande d'installer un logiciel de prise en main à distance (TeamViewer, AnyDesk) pour "résoudre le problème".

Ce qui se passe réellement :

• L'escroc prend le contrôle de votre ordinateur
• Il peut accéder à vos fichiers, mots de passe enregistrés et sessions bancaires
• Il peut installer des logiciels malveillants persistants
• Il vous facture une "intervention" de 200 à 500 euros

Le faux agent administratif

L'escroc se fait passer pour un agent des impôts, de la CAF, de l'Assurance Maladie ou de la Préfecture. Il vous informe d'un problème avec votre dossier, d'un remboursement en attente ou d'une amende à payer.

Exemples de prétextes :

• "Vous avez un remboursement d'impôts en attente"
• "Votre allocation CAF va être suspendue"
• "Votre carte Vitale doit être réactualisée"
• "Votre permis de conduire nécessite une vérification"

L'arnaque au faux commissariat

Plus rare mais redoutable, l'escroc se fait passer pour un policier ou un gendarme. Il prétend qu'une procédure est en cours vous concernant et exige un paiement ou des informations personnelles pour "régulariser votre situation".

Les techniques de manipulation utilisées

L'urgence fabriquée

L'escroc crée un sentiment d'urgence extrême : "Nous devons agir maintenant", "Chaque minute compte", "Si nous ne bloquons pas dans les 5 minutes, le virement sera validé". Cette pression empêche la victime de prendre du recul et de réfléchir.

L'autorité affichée

L'escroc adopte un ton professionnel et emploie un jargon technique : "Je suis M. Durand, matricule 45219, du service fraude de votre banque". Les détails précis (matricule, service, nom complet) renforcent l'impression d'authenticité.

La peur exploitée

La peur de perdre de l'argent ou d'avoir des problèmes avec l'administration paralyse le jugement critique. "Quelqu'un est en train de vider votre compte" ou "Vous risquez des poursuites" sont des phrases conçues pour déclencher une réaction de panique.

La confiance construite

Certains escrocs prennent le temps de construire la confiance. Ils vous fournissent des informations vraies sur vous (nom, adresse, banque) obtenues lors de fuites de données précédentes. Si votre interlocuteur connaît votre nom et votre banque, il paraît immédiatement crédible.

L'isolation de la victime

L'escroc vous demande de ne parler de cet appel à personne, "pour des raisons de sécurité" ou "pour ne pas compromettre l'enquête". Cette technique vise à vous isoler des personnes qui pourraient vous alerter.

| Technique | Exemple de phrase | Objectif | |-----------|------------------|---------| | Urgence | "Il faut agir dans les 5 minutes" | Empêcher la réflexion | | Autorité | "Service fraude, matricule 45219" | Inspirer la confiance | | Peur | "Votre compte est en train d'être vidé" | Déclencher la panique | | Isolation | "Ne parlez à personne de cet appel" | Empêcher la vérification | | Réciprocité | "Nous vous appelons pour vous protéger" | Créer un sentiment de dette |

Comment reconnaître un appel de vishing

Les signaux d'alerte pendant l'appel

• L'interlocuteur crée une urgence extrême
• Il vous demande un code reçu par SMS
• Il vous demande votre mot de passe ou code PIN
• Il vous demande d'installer un logiciel
• Il vous demande de ne pas raccrocher
• Il vous empêche de vérifier ses dires
• Il vous demande de faire un virement vers un "compte sécurisé"
• Il vous propose de vous "aider" en prenant le contrôle de votre ordinateur

Ce qu'un vrai professionnel ne fait jamais

| Action | Vrai professionnel | Escroc | |--------|-------------------|--------| | Demander un mot de passe | Jamais | Souvent | | Demander un code SMS | Jamais | Systématiquement | | Installer un logiciel à distance | Jamais par téléphone spontané | Technique courante | | Créer une urgence extrême | Rarement | Toujours | | Demander un virement | Jamais par téléphone | Prétexte "compte sécurisé" | | Vous empêcher de raccrocher | Jamais | "Ne raccrochez surtout pas" |

Comment se protéger du vishing

Pendant un appel suspect

1. Gardez votre calme : l'urgence est toujours fabriquée
2. Ne communiquez rien : aucun code, mot de passe, ou information personnelle
3. Proposez de rappeler : "Je vais raccrocher et rappeler le service moi-même"
4. Raccrochez : même si l'interlocuteur insiste ou menace
5. Attendez 5 minutes : certains escrocs restent en ligne pour intercepter votre rappel

Après un appel suspect

1. Rappelez l'organisme au numéro officiel (pas celui donné par l'appelant)
2. Vérifiez vos comptes via l'application ou le site officiel
3. Signalez l'appel au 33700 ou sur le site de l'organisme usurpé
4. Parlez-en à votre entourage pour les alerter

Les mesures préventives

• Inscrivez-vous sur Bloctel (bloctel.gouv.fr) pour réduire les appels non sollicités
• Utilisez le filtrage d'appels proposé par votre opérateur
• Enregistrez les numéros officiels de vos banques et administrations dans vos contacts
• Ne rappelez jamais un numéro inconnu qui vous a appelé
• Méfiez-vous des numéros affichés : le spoofing permet d'afficher n'importe quel numéro

Protéger les personnes vulnérables

Les personnes âgées sont particulièrement ciblées par le vishing. Si vous avez des proches vulnérables :

• Sensibilisez-les aux techniques de vishing
• Créez une phrase code familiale pour vérifier l'identité d'un appelant
• Collez près du téléphone un aide-mémoire avec les règles de base
• Encouragez-les à raccrocher et à vous appeler en cas de doute

Le cadre légal

Ce que dit la loi

Le vishing constitue une escroquerie au sens de l'article 313-1 du Code pénal, passible de 5 ans d'emprisonnement et 375 000 euros d'amende. L'usurpation d'identité (se faire passer pour un conseiller bancaire) est également sanctionnée par l'article 226-4-1 du Code pénal.

Les évolutions réglementaires

Le mécanisme d'authentification des numéros (MAN), déployé progressivement en France, vise à limiter le spoofing téléphonique. Ce dispositif permet aux opérateurs de vérifier que le numéro affiché correspond bien à l'appelant réel. Cependant, sa mise en place complète prend du temps et les escrocs s'adaptent.

Que faire si vous êtes victime

Vous avez communiqué un code de validation bancaire

1. Appelez votre banque immédiatement au numéro officiel
2. Faites bloquer les opérations en cours
3. Faites opposition sur votre carte si nécessaire
4. Vérifiez les virements et bénéficiaires ajoutés récemment
5. Contestez par écrit les opérations frauduleuses
6. Déposez plainte au commissariat

Vous avez donné un accès à distance à votre ordinateur

1. Déconnectez immédiatement votre ordinateur d'internet
2. Désinstallez le logiciel de prise en main à distance
3. Changez tous vos mots de passe depuis un autre appareil
4. Faites scanner votre ordinateur par un antivirus à jour
5. Contactez votre banque si vous étiez connecté à votre espace bancaire
6. Envisagez une réinitialisation complète du système

Vous avez effectué un virement

1. Contactez votre banque en urgence pour tenter un rappel du virement
2. Le délai est critique : plus vous agissez vite, plus les chances de récupérer les fonds sont élevées
3. Déposez plainte immédiatement au commissariat
4. Signalez sur cybermalveillance.gouv.fr
5. Conservez toutes les preuves : historique d'appels, SMS reçus, relevés bancaires

En résumé

Le vishing est l'arnaque téléphonique la plus redoutable car elle exploite l'interaction humaine directe et les émotions. Le réflexe salvateur est toujours le même : raccrochez et rappelez vous-même le numéro officiel de l'organisme concerné. Aucun professionnel légitime ne vous reprochera de vouloir vérifier son identité. Si quelqu'un insiste pour que vous restiez en ligne ou que vous agissiez immédiatement, c'est la preuve qu'il s'agit d'une arnaque.