Vishing (hameçonnage par téléphone)
En clair
Le hameçonnage par la voix. Rien n'est écrit, rien ne peut être relu, et l'interlocuteur avance à son rythme pendant que vous devez répondre au vôtre. C'est ce déséquilibre qui fait tout.
Ce que cherche l'attaquant : voler des identifiants.
Définition
Le vishing désigne l'hameçonnage mené par appel téléphonique : un interlocuteur se présente comme un organisme de confiance et obtient, au cours de la conversation, des informations ou des actions qu'un message écrit n'aurait pas obtenues.
À ne pas confondre avec
| Vishing (hameçonnage par téléphone) | Faux conseiller bancaire |
|---|---|
| La technique : obtenir des informations ou des actions au cours d'un appel, quel que soit l'organisme imité. | Un scénario précis de vishing : un faux service anti-fraude bancaire vous fait valider vous-même une opération. |
Ce qui les distingue : Le vishing désigne la méthode ; le faux conseiller bancaire est l'une de ses mises en scène, avec sa propre marche à suivre auprès de la banque.
| Vishing (hameçonnage par téléphone) | Phishing (hameçonnage) |
|---|---|
| La même méthode à l'oral : rien n'est écrit, rien ne peut être relu, et l'interlocuteur impose son rythme. | Le principe, le plus souvent par écrit : un message, un lien, une page à inspecter. |
Ce qui les distingue : Un appel n'a pas de lien à inspecter : la seule vérification possible est de raccrocher et de rappeler l'organisme par un numéro que vous connaissez déjà.
Toutes les attaques qu'on confond, côte à côte : le comparateur « X ou Y ? »
Comment ça fonctionne
Le téléphone retire à la victime tout ce sur quoi elle s'appuie ailleurs. Il n'y a pas d'adresse d'expéditeur à examiner, pas de lien à survoler, pas de texte à relire à tête reposée : la décision doit être prise pendant que l'autre parle. L'appelant contrôle le rythme, et le silence qu'il laisse après une demande pèse plus qu'un argument. Le numéro affiché ne prouve rien, car il peut être falsifié, mais il est perçu comme une preuve. La conversation elle-même produit de la confiance : un interlocuteur poli qui connaît votre nom et deux détails exacts paraît légitime, alors que ces détails proviennent souvent d'une fuite de données antérieure. Les scénarios varient — banque, administration, support informatique, opérateur — mais le levier est constant : obtenir une action tant que la ligne est ouverte.
Pourquoi ça marche
Au téléphone, on ne peut ni relire, ni comparer, ni prendre son temps : la politesse pousse à répondre au rythme de l'autre. Le numéro affiché et quelques informations exactes suffisent à installer une confiance que rien, dans l'appel lui-même, ne permet de contrôler.
Sur quoi cette attaque s'appuie
Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.
Signaux d'alerte
- Appel non sollicité demandant de communiquer, saisir ou valider quelque chose immédiatement
- Insistance pour rester en ligne pendant l'action demandée
- Refus ou dissuasion lorsque vous proposez de rappeler vous-même
- Numéro affiché correspondant à un organisme connu, présenté comme une preuve d'identité
- Interlocuteur qui connaît quelques informations exactes vous concernant et s'en sert comme caution
- Motif construit pour justifier le secret : enquête en cours, procédure confidentielle
Exemple
Exemple fictif — aucune organisation ni adresse réelle
Appel reçu en semaine ; le numéro affiché est celui de votre opérateur.
« Bonjour, service sécurité de votre opérateur. Nous détectons une demande de transfert de votre ligne. Pour l'annuler, je vous envoie un code : pouvez-vous me le lire dès réception ? Surtout, ne raccrochez pas, la procédure serait perdue. »
Ce qui le trahit
- On vous demande de lire un code reçu : c'est précisément ce que l'appelant cherche à obtenir.
- L'interdiction de raccrocher empêche la seule vérification qui fonctionne.
- Le numéro affiché peut être falsifié.
Comment vérifier
Reprendre l'initiative de l'appel est la seule vérification qui fonctionne au téléphone, et elle fonctionne toujours. Raccrochez, puis composez vous-même un numéro que vous possédiez déjà — au dos d'une carte, dans une application officielle, sur un courrier reçu. Attendez quelques minutes ou utilisez une autre ligne : une ligne peut rester ouverte si vous ne raccrochez pas franchement.
Les questions à se poser, dans l'ordre
L'appel vous demande-t-il un code, un mot de passe, une validation ou une installation ?
Si oui : Refusez et raccrochez : aucun service ne le demande lors d'un appel qu'il a lui-même passé.
L'interlocuteur insiste-t-il pour que vous restiez en ligne ?
Si oui : C'est un signal en soi : raccrochez franchement.
Un doute subsiste-t-il après avoir raccroché ?
Si oui : Rappelez l'organisme vous-même, sur un numéro que vous possédiez déjà : seule sa réponse fait foi.
Que faire
Ne communiquez aucun code, aucun mot de passe, aucune information bancaire pendant un appel entrant. N'installez rien et ne validez aucune notification à la demande de quelqu'un qui vous appelle. Aucun interlocuteur légitime ne vous reprochera de rappeler.
Si c'est déjà arrivé
Selon ce qui a été communiqué : contactez votre banque pour faire opposition, changez immédiatement les mots de passe concernés depuis un autre appareil, révoquez les sessions actives. Notez l'heure de l'appel et le numéro affiché, puis déposez plainte. Signalez les faits sur cybermalveillance.gouv.fr.
Pour que ça ne se reproduise pas
- Fixez-vous une règle simple : on ne valide rien pendant un appel entrant.
- Enregistrez dans vos contacts les numéros de votre banque et de votre opérateur, recopiés depuis vos documents.
- Expliquez cette règle aux proches qui reçoivent beaucoup d'appels : elle tient en une phrase.
Ce qui arrive aussi par téléphone
Les autres fiches dont le scénario passe par téléphone. Quand la simulation d'une fiche se joue sur ce canal, c'est son message qui est résumé, et vous pouvez vous y entraîner.
- Clonage vocal
Un appel affole : la voix, reconnaissable, demande un virement immédiat pour une urgence.
Simulation : Clonage vocal - Contournement de la double authentification
Un code arrive sans que vous ayez rien demandé, et le téléphone sonne dans la foulée.
Simulation : Contournement de la double authentification - Échange de carte SIM
Votre numéro de téléphone est transféré vers une carte SIM que quelqu'un d'autre détient. Votre téléphone perd le réseau, et les codes de vérification par SMS arrivent chez lui.
- Faux agent administratif
Un appel ou un message se présentant comme les impôts, la sécurité sociale, la police ou un service public. L'autorité invoquée pousse à répondre vite, et à ne pas demander de vérification.
- Faux conseiller bancaire
Au téléphone, le service anti-fraude vous demande de valider une notification pour bloquer un virement.
Simulation : Faux conseiller bancaire - Faux support technique
Une alerte plein écran annonce que votre ordinateur est infecté et affiche un numéro à appeler. Au bout du fil, un faux technicien vous fait installer un logiciel qui lui donne la main sur votre machine.
- Prétexting (scénario fabriqué)
L'attaquant se construit d'abord un rôle crédible — nouveau prestataire, stagiaire, technicien, collègue d'un autre service — et ne demande rien avant que ce rôle soit accepté. La demande, quand elle vient, paraît alors normale.
- Swatting (faux signalement aux secours)
Quelqu'un appelle les secours en inventant une urgence grave à votre adresse. Une intervention réelle se déclenche chez vous, avec des forces de l'ordre qui n'ont aucune raison de douter de l'appel.
Les gestes qui déjouent cette attaque
- Analyseur de message suspect : ce SMS ou cet email est-il une arnaque ?Collez un SMS, un email ou un message : l'outil montre les procédés d'arnaque qu'il contient, lit chaque lien et nomme les attaques qui y ressemblent. Rien n'est envoyé.
- Vérifier à qui vous parlez vraimentComment être sûr que la personne qui me contacte est bien celle qu'elle prétend ?
- J'ai donné mes coordonnées bancaires ou un code : que faireJ'ai communiqué ma carte bancaire ou un code de validation à un escroc, que faire ?
- La checklist pour un parent âgé, à imprimerFaux conseiller bancaire, faux support technique, faux gain, SMS surtaxé : les réflexes qui protègent, sur une page à imprimer et à donner à un parent.
Testez-vous
Un conseiller du service fraude vous appelle. Il ne demande aucun mot de passe.
Lancer la simulation « Vishing (hameçonnage par téléphone) »Questions fréquentes
- Quelle différence avec la fiche « faux conseiller bancaire » ?
- Cette page décrit la technique — pourquoi le téléphone est un terrain favorable à l'attaquant, quel que soit le prétexte. La fiche « faux conseiller bancaire » décrit un scénario précis, celui de l'appel du prétendu service anti-fraude, avec ses signaux et sa marche à suivre propres.
- Comment savoir si un appel de ma banque est authentique ?
- Vous ne pouvez pas le savoir pendant l'appel, et c'est pour cela que la question ne se pose pas ainsi. Raccrochez et rappelez le numéro figurant au dos de votre carte : si la demande était réelle, elle sera confirmée ; si elle ne l'était pas, vous n'aurez rien perdu.
- L'appelant connaissait mon nom et mes dernières opérations.
- Des informations exactes peuvent provenir d'une fuite de données antérieure, d'un compte compromis ou d'un courrier intercepté. Elles rendent l'appel crédible sans rien prouver : la connaissance d'un détail n'est pas une preuve d'identité.
Attaques liées
Sources officielles
Aussi appelée : hameçonnage vocal, hameçonnage téléphonique, voice phishing, arnaque par appel téléphonique.
Cette fiche fait partie de la famille Ingénierie sociale. Mise à jour : 2026-09-02.