Le vishing : comment fonctionne un appel frauduleux et comment y mettre fin

D’où vient le mot vishing

Le mot mélange voice, la voix, et phishing, le terme utilisé pour les faux messages qui cherchent à pêcher les informations de celui qui les reçoit. Ce qui change au téléphone, c’est que la personne qui mène l’arnaque répond à vos questions en direct et ajuste son histoire à ce que vous dites. C’est pour cela qu’un appel bien tenu peut rester faux : l’assurance fait partie du produit.

L’appel commence souvent par un écrit. Cybermalveillance.gouv.fr décrit précisément ce montage dans sa page sur l’hameçonnage au faux numéro d’opposition bancaire : un message signale une opération que vous n’avez pas faite et vous invite à appeler vite un numéro pour la contester. Le faux conseiller se trouve au bout de ce numéro. Le même enchaînement part parfois d’un faux SMS. Une fois la ligne ouverte, la conversation emploie les outils habituels de l’ingénierie sociale : l’autorité, l’urgence, et un problème que seul votre interlocuteur dit pouvoir régler.

Ce n’est pas marginal. Dans son rapport d’activité 2025, publié le 26 mars 2026, Cybermalveillance.gouv.fr compte environ 15 000 assistances pour la seule fraude au faux conseiller bancaire, en hausse de 159 % par rapport à 2024, et relève une augmentation de 517 % des demandes liées à l’usurpation de numéro de téléphone.

Le scénario du faux conseiller bancaire

Les versions se répètent avec de petites variantes : un achat suspect d’un montant élevé, un nouvel appareil qui vient d’être associé à votre compte, une enquête qui obligerait à mettre votre argent à l’abri le temps de régler l’affaire. Votre interlocuteur peut vous transférer d’un service à l’autre, vous mettre en attente avec de la musique et vous relire des informations exactes, et tout cela sert à donner à l’appel l’allure d’un vrai établissement.

Cybermalveillance.gouv.fr détaille les demandes qui reviennent dans la fraude au faux conseiller bancaire : faire annuler de prétendues opérations depuis votre application bancaire, ce qui valide en réalité des paiements frauduleux, communiquer les codes de confirmation reçus par SMS, partager l’écran de votre téléphone, remettre votre carte à un coursier qui passe la récupérer, ou acheter des coupons de paiement prépayés et en transmettre les codes.

Cet exemple est inventé. Il reprend une situation qui existe vraiment, sans copier le discours, la charte ni le numéro d’un établissement réel.

Ce qu’une vraie banque ne demande jamais

C’est la partie qui vaut la peine d’être retenue, parce qu’elle tranche l’appel sans avoir à juger si la personne était convaincante. Cybermalveillance.gouv.fr l’écrit noir sur blanc : jamais un conseiller de votre banque ne vous demandera de lui communiquer votre mot de passe, des codes de confirmation, ni d’effectuer des actions de validation. La Fédération bancaire française et le service public d’information bancaire rappellent la même chose dans leur alerte sur les appels de faux conseillers bancaires : aucune banque ne demande d’informations bancaires, personnelles et confidentielles par téléphone ou par e-mail.

Si quelqu’un au téléphone demande une de ces choses, c’est une arnaque :

• votre mot de passe complet, votre code secret de carte, ou le code de confirmation que votre application ou un SMS vient de produire ;
• une validation dans votre application bancaire pour annuler ou bloquer une opération ;
• un virement ou un paiement pour régler un problème sur votre propre compte, y compris vers un prétendu compte sécurisé ou un compte à votre nom ;
• l’installation ou la mise à jour d’une application pendant l’appel, ou le partage de votre écran ;
• votre carte remise à un coursier, ou de l’argent liquide confié à quelqu’un qui passe le prendre ;
• l’achat de coupons de paiement prépayés dont vous devriez communiquer les codes ;
• un paiement d’essai ou un petit virement pour vérifier que quelque chose fonctionne.

Les administrations fonctionnent pareil. Aucune ne réclame un paiement immédiat par téléphone sous la menace, et aucune ne demande de régler une amende ou un impôt en achetant des coupons prépayés. Un dossier réel se retrouve en vous connectant vous-même à votre espace personnel sur le site en .gouv.fr concerné.

Raccrochez et rappelez vous-même

Pendant l’appel, celui qui a composé le numéro mène le rythme et a une réponse prête pour chaque objection. Vous n’allez pas gagner cet échange, et vous n’avez pas à le gagner. Raccrochez, et trouvez le numéro vous-même : celui inscrit au dos de votre carte, celui affiché dans l’application que vous avez installée, ou celui du site de l’établissement que vous tapez à la main.

Servez-vous d’un autre téléphone pour rappeler si vous en avez un sous la main, ou attendez une minute avant de composer. Cela ne coûte rien et cela retire tout doute sur le fait que l’appel précédent est bien terminé.

Un vrai service antifraude accepte qu’on le rappelle par un canal officiel. Si la personne insiste pour que l’appel ne s’arrête pas, pour que vous n’en parliez à personne, ou affirme que raccrocher vous coûtera l’argent, c’est le signal le plus fort de toute la conversation. Raccrocher vous rend aussi ce que le scénario cherche à vous enlever : une minute pour ouvrir l’application et voir si l’achat existe, et une minute pour raconter l’histoire à voix haute à quelqu’un d’autre.

Le numéro affiché sur votre écran ne prouve rien

Un appelant peut faire apparaître presque n’importe quel numéro sur votre écran, y compris celui imprimé au dos de votre propre carte. Cybermalveillance.gouv.fr le signale explicitement dans sa fiche sur la fraude au faux conseiller bancaire : le fraudeur usurpe parfois le numéro de téléphone officiel de la banque pour rendre son appel crédible. Ne rappelez donc pas depuis votre journal d’appels, puisque cela recompose le numéro de l’escroc.

Les mentions affichées par le téléphone, du type appel indésirable probable, sont un signal utile et rien de plus. L’absence d’étiquette ne veut pas dire que l’appel est vrai, et une étiquette rassurante n’est pas une raison de dicter un code, de valider une notification ou de déplacer de l’argent pendant que vous êtes encore en ligne. Aucun affichage ne change la règle sur ce qu’une banque ne demande jamais.

La voix n’est pas une preuve non plus. Un court extrait suffit à imiter la façon dont quelqu’un parle, ce qui compte surtout dans la version où l’appel vient d’un proche en difficulté. La réponse ne change pas : mettez fin à l’appel et joignez la personne sur un numéro que vous aviez déjà.

Si vous avez déjà payé

1. Appelez votre banque maintenant, par le numéro au dos de votre carte ou dans l’application, depuis un autre téléphone si vous le pouvez. Dites que le paiement est une fraude et demandez le blocage du compte, de l’application et de la carte.
2. Dites comment vous avez payé et demandez ce qui est possible pour ce moyen de paiement, parce que les situations sont vraiment différentes. Pour une opération que vous n’avez pas autorisée, service-public.gouv.fr rappelle que la banque doit rembourser immédiatement, au plus tard à la fin du premier jour ouvrable suivant votre contestation, et que le délai pour contester est de 13 mois. Pour un virement que vous avez validé vous-même, même sous la pression, l’argent ne peut pas être repris sans l’accord de celui qui l’a reçu : le virement instantané part en quelques secondes et un prélèvement suit d’autres règles encore. Posez la question au lieu de supposer la réponse, et n’attendez pas un remboursement automatique.
3. Faites opposition sur la carte si vos données de carte ont circulé, par l’application, par le numéro au dos de la carte, ou par le serveur interbancaire d’opposition au 0 892 705 705, joignable 24 heures sur 24. Gardez le numéro d’enregistrement et demandez une nouvelle carte.
4. Portez plainte. En commissariat ou en brigade de gendarmerie, et pour une partie des escroqueries en ligne directement sur THESEE, le service de plainte en ligne du ministère de l’Intérieur, réservé aux particuliers majeurs. Les banques et les assureurs demandent souvent une copie de la plainte.
5. Signalez. Si votre carte est restée en votre possession et que l’opposition est faite, les achats frauduleux se signalent sur Perceval, qui vous renvoie un récépissé utile pour vos démarches bancaires sans remplacer la plainte. Le numéro qui vous a appelé se signale au 33700 par un SMS contenant la mention spam vocal suivie du numéro. 17Cyber vous guide sur la suite, Info Escroqueries répond au 0 805 805 817 et France Victimes accompagne gratuitement au 116 006. En cas de danger immédiat, ce sont le 17 et le 112.
6. Écrivez tout ce dont vous vous souvenez de l’appel pendant que c’est frais : l’heure, le numéro affiché, le nom employé, le service annoncé, et exactement ce qui a été demandé. Conservez les justificatifs, les confirmations et tous les numéros de dossier.

Une précision utile pour la suite : personne ne récupère un argent volé contre une commission payée d’avance. Si quelqu’un vous contacte après coup en promettant de tout rattraper moyennant des frais, c’est une deuxième arnaque, montée sur la même liste de victimes.

Un dernier point, parce qu’il compte plus que les démarches. Ces appels sont écrits, répétés et corrigés par des gens qui en vivent. Avoir répondu à un bon scénario ne dit rien de votre jugement, et le responsable reste celui qui a passé l’appel.

Si vous avez installé une application qu’on vous a demandée

La plupart des applications réclamées pendant ces appels sont des outils de prise en main à distance, ce type de logiciel qui permet à quelqu’un de voir et de piloter votre écran. Une fois en route, votre interlocuteur n’a plus besoin de votre mot de passe : il vous regarde le taper. Le même problème se pose si on vous a fait partager l’écran de votre téléphone pendant la conversation.

Déconnectez cet appareil d’internet et arrêtez d’y ouvrir vos comptes importants. Servez-vous d’un autre appareil pour appeler votre banque et pour changer vos mots de passe, en commençant par votre messagerie, parce que celui qui contrôle votre boîte mail peut réinitialiser presque tout le reste.

Ensuite, sur la banque, la messagerie et les applications de discussion, cherchez dans les réglages la liste des appareils connectés ou des sessions actives et fermez ce que vous ne reconnaissez pas. Supprimez l’application installée pendant l’appel, ainsi que tout outil de prise en main à distance que vous ne connaissiez pas, et si vous n’êtes pas sûr de l’état de l’appareil, faites-le regarder par un réparateur en qui vous avez confiance. Cybermalveillance.gouv.fr donne la marche à suivre complète dans sa fiche sur l’arnaque au faux support technique, qui repose exactement sur le même accès à distance.

Questions fréquentes sur le vishing