Appel frauduleux et voix imitée : comment vérifier ?

Le téléphone inspire confiance : on entend une voix, on reconnaît un numéro, on suppose que l'on sait à qui l'on parle. Ces deux repères ne tiennent plus. Le numéro affiché peut être choisi par l'appelant, et une voix peut être reproduite à partir d'extraits accessibles publiquement. Voici comment vérifier avant d'agir.

Pourquoi le numéro affiché ne prouve rien

L'affichage du numéro est une information transmise par l'appelant, pas une vérification. Elle peut être falsifiée pour faire apparaître celui d'une banque, d'un service public ou d'un collègue. On parle d'usurpation du numéro appelant. Un appel qui semble venir du standard de votre banque peut donc provenir de n'importe où.

La conséquence est simple : ce qui arrive vers vous ne peut jamais servir de preuve. Seul un appel que vous passez vous-même, vers un numéro que vous connaissiez déjà, permet de vérifier une identité.

Ce que change l'imitation de la voix

Des outils reproduisent aujourd'hui le timbre d'une personne à partir d'extraits sonores courts, faciles à trouver dans une vidéo de présentation, une conférence ou un message d'accueil. Le résultat suffit pour une phrase brève, dans un contexte de mauvaise qualité d'appel.

Les scénarios observés restent classiques : un responsable qui demande un virement exceptionnel, un collègue en déplacement qui a besoin d'un accès, une prétendue urgence familiale. Le montage ajoute souvent du bruit, une ligne qui coupe, une raison de ne pas rappeler. Ces éléments ne sont pas des hasards : ils servent à empêcher la vérification.

Les demandes qui doivent alerter

• un virement, un changement de coordonnées bancaires ou l'achat de cartes prépayées ;
• la communication d'un code reçu par message, d'un mot de passe ou d'un identifiant ;
• l'installation d'un logiciel ou l'ouverture d'un accès à distance ;
• la consigne de ne pas en parler, ou l'interdiction de rappeler ;
• la lecture à voix haute d'informations confidentielles sur des clients ou des salariés ;
• toute demande qui sort de la procédure habituelle, quelle que soit l'autorité invoquée.

La règle du rappel

1. Raccrochez avant toute action. Rien ne justifie de rester en ligne.
2. Rappelez au numéro connu : annuaire interne, contrat, dos de la carte bancaire. Jamais celui donné pendant l'appel ni celui affiché à l'écran.
3. Changez de canal si possible : un message écrit sur l'outil interne de l'organisation confirme mieux qu'un second appel.
4. Attendez la confirmation avant d'exécuter, même si le délai annoncé paraît intenable.
5. Signalez la tentative au support et aux personnes susceptibles d'être appelées ensuite.

Un détail compte : sur certains téléphones, raccrocher ne libère pas immédiatement la ligne si l'appelant reste connecté. Passez votre appel de vérification depuis un autre appareil lorsque l'enjeu est important.

Mettre en place une phrase convenue

Pour les demandes sensibles traitées par téléphone, fixez à l'avance un mot ou une question de contrôle, connu des seules personnes concernées et jamais échangé par écrit. Une imitation de voix ne le connaîtra pas. Complétez par quelques règles écrites :

Enfin, réduisez la matière disponible : limitez les enregistrements vocaux publics des personnes qui peuvent ordonner un paiement, et évitez de détailler l'organigramme et les congés sur les réseaux publics. Ces précautions ne suppriment pas le risque, elles rendent le scénario moins facile à construire. Pour ancrer ces réflexes, voyez notre article sur la sensibilisation des salariés.

NexSecure met en scène ces appels lors de ses actions de sensibilisation à la cybersécurité.