Vishing : définition, exemples et mécanismes de l'arnaque par téléphone

Le mot vient de l'anglais voice (la voix) et phishing (l'hameçonnage). C'est la version téléphonique du phishing : au lieu d'un faux e-mail, c'est un faux appel. Son cousin par SMS s'appelle le smishing, et les deux sont souvent combinés : un SMS vous demande de rappeler un numéro, ou un appel suit un faux message.

En résumé : raccrochez, ne donnez aucun code, rappelez l'organisme sur un numéro que vous connaissez déjà, puis signalez le numéro au 33 700 (SMS « spam vocal » suivi du numéro, gratuit). Le 17 reste réservé aux urgences.

La procédure détaillée, pendant l'appel, juste après et si vous avez donné une information, est dans notre guide appel frauduleux : que faire ?. Si l'appelant se présentait comme votre banque et que vous avez validé une opération, l'opposition et la demande de remboursement sont expliquées dans faux conseiller bancaire. Pour choisir le bon service, voir où signaler une arnaque.

• Retenez une règle simple : personne de sérieux ne vous demande un code, un mot de passe ou un virement au téléphone.
• Ne faites pas confiance au numéro affiché, même s'il ressemble à celui de votre banque.
• Gardez les vrais numéros à portée de main : dos de la carte bancaire, application de la banque, 3646 pour l'Assurance Maladie.
• Filtrez les appels indésirables avec les réglages de votre téléphone, votre opérateur ou une application. Voir bloquer les appels indésirables sur iPhone et Android et les alternatives à Bloctel.
• Parlez-en à vos proches, surtout aux plus âgés : connaître le scénario suffit souvent à le reconnaître.

Un test de vishing (ou test de voice phishing) est un exercice de sensibilisation : une entreprise ou une administration simule un appel frauduleux auprès de ses équipes pour vérifier que les bons réflexes sont appliqués, par exemple refuser de donner un identifiant et rappeler sur un numéro interne connu.

Un tel exercice doit être décidé par la direction, préparé et encadré. Il ne doit ni recueillir de vraies données, ni servir à sanctionner : il est suivi d'un retour pédagogique pour toute l'équipe. La CNIL recommande d'organiser des séances de sensibilisation sur les principaux types d'attaques, y compris la vigilance « lorsqu'on répond au téléphone », ainsi que des exercices et simulations d'incidents.

DYLETH ne réalise pas ces exercices. Ce guide et nos pages faux conseiller bancaire et appel frauduleux peuvent servir de support pour une séance de sensibilisation.

• Avant de décrocher : sur Android, l'écran d'appel devient rouge, orange ou vert selon le risque. Sur iPhone, une étiquette s'affiche sur l'écran d'appel : rouge pour les arnaques, orange pour les numéros connus de DYLETH, nom de l'organisme pour les numéros officiels.
• Vérifier un numéro : collez ou tapez un numéro qui vous a appelé pour obtenir un verdict (Android et iPhone).
• Rappeler le vrai numéro : l'annuaire de 358 000 numéros publics d'organismes vous donne le numéro officiel de l'organisme cité par l'appelant.
• Alerte « Arnaque confirmée : ne rappelez pas » si un numéro qui vous a appelé ces 7 derniers jours est confirmé comme arnaque, et alertes famille quand un proche reçoit une arnaque.

Rien n'écoute ni n'enregistre vos appels. L'application est gratuite. Télécharger DYLETH.

Quelle est la définition du vishing ?

Le vishing, ou voice phishing, est une arnaque par appel téléphonique. L'escroc se fait passer pour une banque, un organisme public ou un service technique et crée une urgence pour obtenir un code, un virement ou un accès à distance.

Quelle différence entre vishing, phishing et smishing ?

Les trois sont des formes d'hameçonnage. Le phishing passe surtout par e-mail, le smishing par SMS et le vishing par appel téléphonique. Ils sont souvent combinés, par exemple un SMS qui demande de rappeler un faux conseiller.

Le numéro affiché peut-il être celui de ma banque alors que c'est une arnaque ?

Oui. Un fraudeur peut usurper le numéro d'une banque ou d'un organisme. Le numéro affiché ne prouve donc pas l'identité de l'appelant : raccrochez et rappelez vous-même le numéro officiel.

J'ai donné un code ou validé un paiement pendant l'appel, que faire ?

Faites opposition tout de suite auprès de votre banque ou du serveur interbancaire d'opposition au 0 892 705 705, changez vos mots de passe, gardez les preuves, demandez le remboursement des opérations et portez plainte.

Qu'est-ce qu'un test de vishing ?

C'est un exercice de sensibilisation : une organisation simule un appel frauduleux auprès de ses équipes pour vérifier les bons réflexes. Il doit être décidé par la direction, préparé, encadré, sans recueillir de vraies données, et suivi d'un retour pédagogique.