Procédure de rappel (contre-appel) : la règle qui bloque le vishing

La procédure de rappel, ou contre-appel, consiste à raccrocher puis à rappeler l'interlocuteur sur un numéro trouvé par vous-même. Jamais sur celui qu'il donne ou qui s'affiche. C'est la règle qui casse la plupart des vishings, parce que l'attaquant ne contrôle plus le canal. Pour qu'elle fonctionne, elle doit devenir un réflexe, formulé sans vexer.

Voici la méthode pas à pas, les phrases à dire, les erreurs à éviter et la façon de la rendre automatique. L'article fait partie de notre dossier sur la sensibilisation cybersécurité et le vishing.

Pourquoi le contre-appel est la règle la plus efficace

Un attaquant qui téléphone maîtrise la conversation : le rythme, le script, le numéro affiché. Il compte sur le fait que vous resterez dans son cadre. Le contre-appel déplace l'échange vers un canal qu'il ne contrôle pas.

La raison technique est simple. Le numéro qui s'affiche peut être usurpé. Selon le rapport d'activité 2025 de Cybermalveillance.gouv.fr, l'usurpation de numéro de téléphone a augmenté de 517 %, malgré les dispositifs réglementaires et techniques en place. Le numéro affiché n'est donc pas une preuve.

La raison psychologique compte autant. Raccrocher interrompt la pression. L'urgence perd sa force, le calme revient, et la décision se prend dans de meilleures conditions. C'est un contrepoison aux leviers décrits dans notre article sur l'ingénierie sociale.

La méthode en cinq étapes

1. Ne rien promettre pendant l'appel. Ne pas confirmer, ne pas donner de code, ne pas valider d'opération.
2. Annoncer le rappel. « Je vous rappelle dans quelques minutes. »
3. Raccrocher. Sans attendre que l'appelant ait fini son argumentaire.
4. Retrouver le numéro soi-même. Annuaire interne, site officiel saisi à la main, carte bancaire, courrier ou application officielle.
5. Rappeler et rendre compte. Demander à la personne ou au service si l'appel est de lui, puis signaler.

Le détail de l'étape 5 figure dans notre grille pour signaler un incident de sécurité.

Quel numéro utiliser pour rappeler

Tout se joue ici : la règle ne vaut que si le numéro de rappel est indépendant de l'appel.

• Bon choix : le numéro de l'annuaire interne, celui du contrat, de la carte bancaire, du dernier relevé ou de l'application officielle.
• Bon choix : une messagerie interne ou un message à la personne via un canal déjà utilisé.
• Mauvais choix : le numéro donné par l'appelant « pour le joindre directement ».
• Mauvais choix : la touche « rappeler » du téléphone, qui renvoie peut-être vers un numéro usurpé.
• Mauvais choix : un numéro trouvé dans un e-mail ou un SMS reçu pendant l'appel.

Cybermalveillance.gouv.fr rappelle par ailleurs de ne pas rappeler un numéro surtaxé ou étranger laissé en appel manqué sans message. Le contre-appel s'applique à des numéros que vous avez vérifiés, pas à n'importe quel numéro.

Comment le dire sans vexer

La difficulté n'est pas technique. Elle est sociale : on craint de froisser un client, un supérieur ou un collègue. La solution tient dans une formule qui présente le rappel comme une règle générale.

« Je rappelle systématiquement par le numéro officiel avant toute opération, c'est notre règle pour tout le monde. »

« Si c'est bien vous, nous nous reparlons dans deux minutes. »

« Je ne vous demande pas de me prouver quoi que ce soit, je suis simplement la procédure. »

Face à un appelant qui insiste, on répète la même phrase sans la rallonger. Notre article sur dire non au téléphone sous pression développe ce point.

Un interlocuteur honnête comprend et accepte le rappel. Un fraudeur, lui, réagit autrement. Il s'agace, menace, culpabilise ou prétend que le rappel est impossible. Cette réaction est une information utile.

Deux scénarios types

Imaginons un appel au service comptabilité. Un interlocuteur se présente comme le dirigeant et réclame un virement urgent vers un nouveau fournisseur. Le comptable répond : « Je vous rappelle par votre ligne interne dans cinq minutes. » Il appelle le vrai dirigeant, qui ignore tout de la demande.

Imaginons un autre appel, chez un client particulier. Un faux conseiller bancaire annonce une opération suspecte et demande de valider dans l'application. Le client raccroche, ouvre l'application officielle ou compose le numéro figurant sur sa carte, et vérifie. Notre article sur le mode opératoire du faux conseiller bancaire détaille cette mécanique.

Les erreurs fréquentes

• Rappeler sur le numéro affiché. Il peut être usurpé.
• Rester en ligne « pour vérifier ensemble ». C'est le cadre de l'attaquant.
• Annoncer le rappel mais céder avant. « Juste un code, et je vous rappelle » ruine la règle.
• Ne pas prévoir d'exception pour les dirigeants. La règle vaut aussi pour eux.
• Ne pas signaler après un contre-appel concluant. L'appel frauduleux a peut-être visé d'autres collègues.

Les cas où le contre-appel demande un peu d'adaptation

La règle se heurte parfois à des situations concrètes. Les prévoir évite que les salariés ne la contournent.

• Un interlocuteur injoignable. Prévoir un second contact : un adjoint, un standard, une messagerie interne. Tant que personne n'a confirmé, la demande reste suspendue.
• Un appel hors horaires. Une demande urgente la nuit se confirme le matin, ou par un canal d'astreinte déjà identifié. Un vrai dossier supporte quelques heures de délai.
• Un client qui appelle de bonne foi. Le contre-appel est présenté comme une garantie pour lui. « Je vous rappelle sur le numéro qui figure à votre dossier, pour votre sécurité. »
• Un appel en visioconférence. Le principe est le même : on quitte la réunion et on contacte la personne par un autre canal, comme une messagerie interne.

Dans tous ces cas, l'important est que la règle soit connue à l'avance, sans qu'il soit nécessaire de la réinventer pendant l'appel.

Rendre le contre-appel automatique

Une règle connue n'est pas une règle appliquée. Trois leviers organisationnels aident à en faire un réflexe.

• Un numéro de confiance à portée de main. Annuaire à jour, numéros des circuits sensibles affichés, liste des contacts bancaires validée.
• L'appui de la direction. Le dirigeant annonce lui-même que ses demandes seront rappelées, ce qui retire toute gêne.
• Des phrases prêtes. Une carte avec trois formulations évite d'improviser sous pression.

Ces mesures posent le cadre. Il reste la dernière marche : dire la phrase, à voix haute, le jour J.

Vérifier que la règle est vraiment appliquée

Une procédure de rappel ne s'évalue pas au nombre de personnes qui l'ont lue. Elle s'évalue à ce qui se passe quand un appel inhabituel arrive. Quelques repères permettent de le savoir.

• Le nombre de signalements. Un salarié qui a raccroché et prévenu applique la règle, même si l'appel était légitime.
• La qualité du signalement. Le nom donné, l'heure, la demande et le levier employé sont-ils notés ?
• Le délai de rappel. Il reste court, ce qui montre que la règle ne freine pas le travail.
• Les retours des équipes. Où la règle gêne-t-elle ? Quelle phrase leur manque ?

Ces constats nourrissent la révision régulière de la procédure. Elles permettent aussi de montrer, en cas de contrôle, que la pratique est suivie et pas seulement déclarée. Le rappel se travaille comme n'importe quel geste professionnel : par cycles courts, avec un retour après chaque essai.

S'entraîner pour que le geste vienne seul

Lire une règle ne suffit pas à la tenir devant quelqu'un qui hausse le ton. Le geste se construit par la répétition, dans des conditions proches du réel.

Avec Face Up, le formateur écrit un scénario à partir de situations vécues dans son organisation. Un persona joué par une IA tient le rôle de l'appelant pressant, et l'apprenant doit refuser et annoncer le rappel à voix haute. Le débriefing cite ce qu'il a dit, indique s'il a donné une information avant de raccrocher et propose un plan d'action. L'apprenant peut ensuite rejouer.

Questions fréquentes

Le contre-appel est-il utile si l'appelant est bien celui qu'il prétend ?

Oui, il ne coûte que quelques minutes. Un interlocuteur légitime comprend la règle. Elle protège aussi la personne rappelée, dont l'identité a pu être usurpée.

Faut-il rappeler immédiatement ?

Pas forcément, mais assez vite pour traiter la demande si elle est vraie. Laisser quelques minutes permet de retrouver le bon numéro et de consulter un collègue.

Que faire si le vrai service ne répond pas ?

Ne cédez pas à la demande faute de réponse. Essayez une autre voie, comme la messagerie interne ou un responsable, et ne donnez rien tant que la vérification n'a pas abouti. Les questions utiles pendant l'appel sont dans notre article sur la vérification de l'identité d'un appelant.

Pour entraîner vos équipes à annoncer le rappel sans hésiter, découvrez les jeux de rôle Face Up ou réservez une démonstration.