C’est quoi le vishing ? Reconnaître le phishing par appel vocal avant qu’il ne vous coûte cher

Votre téléphone sonne. Au bout du fil, un conseiller de votre banque, calme et précis, qui connaît votre nom et votre agence. Il a repéré une opération suspecte sur votre compte et veut la bloquer avec vous, tout de suite. Il vous demande juste de lui lire le code que vous allez recevoir par SMS. Ce conseiller n’existe pas.

Ce scénario porte un nom : le vishing. Et il explose. Selon le rapport d’activité 2025 de Cybermalveillance.gouv.fr, publié en mars 2026, la seule arnaque au faux conseiller bancaire a bondi de 159 % en un an. J’ai déjà décortiqué plusieurs variantes sur ce site : la voix clonée, le faux livreur, le faux support Apple. Ici, je relie tout ça. La définition, les quatre formes que prend l’arnaque, les signaux communs à tous ces appels et les réflexes qui marchent quel que soit le scénario.

C’est quoi le vishing ?

Le vishing est la contraction de voice (voix) et de phishing (hameçonnage). C’est de l’hameçonnage par téléphone : au lieu d’un faux email ou d’un faux SMS, l’escroc passe par un appel ou un message vocal pour vous soutirer une information, un code ou un virement. Le mot désigne une technique, pas un scénario. Faux conseiller bancaire, faux technicien, faux policier, faux proche en détresse : ce sont des costumes différents pour le même numéro.

Ce qui distingue le vishing des autres formes d’hameçonnage, c’est l’échange en direct. Un email piégé attend que vous cliquiez. Un escroc au téléphone s’adapte à vos réponses, rassure quand vous doutez, accélère quand vous hésitez. C’est de la manipulation en temps réel, et c’est pour ça que des gens prudents, qui ne cliquent jamais sur un lien douteux, se font avoir au téléphone.

Vishing, smishing, quishing : les cousins à ne pas confondre

Dans la vraie vie, les canaux se mélangent. Un SMS vous demande de rappeler un numéro, un email annonce qu’un conseiller va vous joindre, un appel se termine par l’envoi d’un lien. Le vishing est souvent la dernière étape d’une arnaque commencée ailleurs, parce que c’est au téléphone qu’on arrache le plus facilement un code. Mon guide sur les techniques de phishing détaille les autres familles, et celui sur le quishing couvre les QR codes piégés.

Les quatre visages du vishing

Premier visage : l’escroc en chair et en os. C’est la forme historique. Un faux conseiller, un faux service anti-fraude, un faux agent d’un organisme public vous appelle avec un script bien rodé. Il connaît souvent des détails sur vous, glanés dans une fuite de données, ce qui rend l’appel crédible dès la première minute. Le faux conseiller de la Caisse des Dépôts qui réclame des frais pour débloquer une épargne oubliée en est un exemple récent.

Deuxième visage : la voix clonée par une IA. Quelques secondes d’audio, une vidéo publiée sur un réseau social, et un logiciel reproduit la voix d’un proche. L’appel qui en sort joue sur la panique : un enfant en détresse, un accident, une caution à payer tout de suite. J’ai détaillé ce scénario dans l’article sur la voix clonée par IA au téléphone. Même logique, version industrielle, avec le faux support Apple dont l’agent vocal automatisé appelle les victimes de vol d’iPhone pour leur soutirer leur code.

Troisième visage : le message pré-enregistré. Personne ne vous parle en direct. Un robot vous laisse un message vocal, ou vous demande d’appuyer sur une touche pour « parler à un conseiller ». Le but est de vous faire rappeler un numéro surtaxé ou de vous amener à un complice. Le faux message vocal du livreur, généré par IA, fonctionne exactement comme ça.

Et le plus vicieux : c’est vous qui appelez l’escroc. Cybermalveillance.gouv.fr décrit l’essor de l’hameçonnage au faux numéro d’opposition bancaire. Le schéma de 2024, où l’escroc appelait la victime, s’inverse : c’est la victime qui compose un faux numéro, trouvé en ligne ou glissé dans un message, en croyant joindre sa banque. Vous êtes donc persuadé d’avoir fait les choses bien, puisque c’est vous qui avez pris l’initiative. Le rapport signale aussi l’usage devenu courant de WhatsApp, avec le logo de la banque en photo de profil et une demande de partage d’écran pour « vous guider ».

Pourquoi le téléphone marche mieux que l’email

Les chiffres français de 2025 parlent d’eux-mêmes. Dans le classement des menaces qui touchent les particuliers, Cybermalveillance.gouv.fr relève 15 000 demandes d’assistance pour l’arnaque au faux conseiller bancaire, en hausse de 159 %. L’usurpation de numéro de téléphone progresse de 517 % et entre pour la première fois dans le top 10. Et l’arnaque au faux support technique, souvent menée par appel, occupe la quatrième place.

Côté entreprises, la tendance est la même. Le rapport mondial 2025 de l’éditeur de sécurité CrowdStrike mesurait une hausse de 442 % des attaques de vishing entre le premier et le second semestre 2024. Le scénario typique décrit par le rapport : un faux technicien du service informatique appelle un salarié, prétexte un problème de sécurité, puis le guide pour installer un outil de prise en main à distance.

Pourquoi ça marche aussi bien ? Parce que les défenses techniques ont progressé sur l’email, et pas sur la voix. Votre messagerie filtre les liens douteux, votre navigateur signale les faux sites. Au téléphone, aucun filtre ne s’interpose entre l’escroc et vous. Pire, le numéro affiché peut être falsifié : voir s’afficher le vrai numéro de votre banque ne prouve rien. Ajoutez des fuites de données à répétition, comme le piratage de Bloctel, et l’escroc démarre l’appel en connaissant déjà votre nom, votre numéro et parfois votre banque.

Sachez que l’usurpation de numéro, le spoofing en anglais, est combattue, mais pas éradiquée. Depuis octobre 2024, l’Arcep généralise le mécanisme d’authentification des numéros (MAN), qui impose aux opérateurs d’authentifier les appels et de couper ceux qui échouent au contrôle. Depuis le 1er janvier 2026, un appel venu de l’étranger qui affiche un numéro mobile français non authentifié doit même passer en appel masqué. Ça freine les escrocs, ça ne les arrête pas : les signalements d’usurpation reçus par l’Arcep sont passés de 8 500 en 2024 à plus de 19 000 en 2025. Soyons clairs, le numéro affiché reste un indice, jamais une preuve.

Les signaux communs à tous les appels piégés

Faux conseiller, voix clonée, robot ou faux numéro d’opposition : les habillages changent, les ficelles restent les mêmes. Si vous repérez un seul de ces signaux, vous avez affaire à un escroc jusqu’à preuve du contraire.

• On vous presse : il faut agir dans les minutes qui viennent, sinon votre argent disparaît, votre compte est bloqué ou un proche reste en danger.
• On vous demande un code reçu par SMS, un mot de passe ou un identifiant à lire à voix haute.
• On vous demande de valider une opération dans votre application bancaire « pour l’annuler » ou « pour la bloquer ».
• On refuse que vous raccrochiez pour rappeler vous-même, ou on vous propose de « rester en ligne pendant le transfert ».
• On vous demande d’installer une application ou de partager votre écran pour vous aider.
• On vous parle de virer votre argent sur un « compte sécurisé ». Ce compte n’existe pas, et aucune banque ne fait ça.

Au passage, deux choses qui ne sont jamais une preuve d’authenticité : le numéro qui s’affiche, et le fait que votre interlocuteur connaisse vos informations personnelles. Ce sont précisément les deux leviers que les escrocs travaillent le plus.

Les réflexes qui marchent quel que soit le scénario

Premier réflexe : raccrocher et rappeler vous-même. Utilisez le numéro inscrit au dos de votre carte bancaire ou dans votre application, jamais celui donné pendant l’appel, reçu par SMS ou trouvé au hasard d’une recherche en ligne. Un vrai conseiller ne s’offusquera pas. Un escroc, si. Petit conseil : attendez une minute avant de rappeler, ou passez par un autre téléphone, pour être sûr que la ligne est bien libérée.

Deuxième réflexe : aucun code ne se lit à voix haute. Un code de validation reçu par SMS sert à confirmer une opération que vous avez lancée, point. Votre banque, votre opérateur ou un service public n’ont aucune raison de vous le demander. Le jour où quelqu’un le réclame au téléphone, vous tenez la preuve de l’arnaque.

Et contre la voix clonée : le mot de code familial. Convenez avec vos proches d’un mot ou d’une question que personne d’autre ne connaît. En cas d’appel de détresse, demandez-le. Une IA peut imiter une voix, elle ne devine pas un secret de famille.

Pour réduire le volume d’appels, pensez aussi à bloquer les numéros indésirables et à activer le filtrage des appels inconnus de votre smartphone. Sachez que la liste Bloctel a disparu : je vous explique ce qui la remplace et vos recours contre le démarchage abusif.

Vous avez été piégé : qui appeler, et dans quel ordre

1. Votre banque, immédiatement, via son numéro officiel. Faites opposition sur la carte, signalez les opérations frauduleuses et demandez leur contestation. Si vous avez toujours votre carte en main, signalez aussi les paiements frauduleux sur Perceval, accessible depuis service-public.fr. Vous avez treize mois à compter du débit pour contester une opération non autorisée (article L133-24 du code monétaire et financier), mais chaque heure compte pour bloquer un virement.
2. Vos comptes : si vous avez donné un mot de passe, changez-le partout où il sert. Si vous avez installé une application à la demande de l’appelant, désinstallez-la et déconnectez l’appareil d’internet le temps de faire le point.
3. Cybermalveillance.gouv.fr pour l’assistance et l’orientation, ou le 17Cyber, le guichet d’aide aux victimes du gouvernement.
4. Une plainte au commissariat ou à la gendarmerie. Gardez le récépissé : votre banque vous le demandera souvent.
5. Le 33700, pour signaler le numéro de l’appel ou du SMS frauduleux. Pour un SMS, transférez-le tel quel. Pour un appel, envoyez un SMS avec « spam vocal » suivi du numéro qui vous a appelé.

Ce que je ferais à votre place

Trois choses, avant même le prochain appel. Notez le numéro de votre banque, celui du dos de votre carte, dans vos contacts, pour ne jamais avoir à le chercher dans l’urgence. Fixez un mot de code avec vos proches ce soir, ça prend deux minutes. Et prenez l’habitude de raccrocher dès qu’un appel vous met la pression, quitte à passer pour quelqu’un de méfiant.

Si je ne devais garder qu’une règle, ce serait celle-ci : personne de légitime ne vous demandera jamais de lire un code, de valider une opération ou de déplacer votre argent pendant un appel qu’il a lui-même passé. Tous les scénarios de vishing finissent par l’une de ces trois demandes. Pour compléter, mes signaux d’alerte d’une arnaque par SMS couvrent le canal qui précède souvent l’appel, et la définition du phishing reprend les bases.