Sensibilisation cybersécurité banque : former au vishing

La sensibilisation cybersécurité en banque doit entraîner les collaborateurs à tenir une conversation téléphonique sous pression, pas seulement à connaître les règles. Conseillers, back-office et trésorerie sont appelés tous les jours par des inconnus qui prétendent être un client, un collègue ou un fournisseur. Savoir qu'il faut vérifier ne suffit pas. Il faut avoir déjà dit « je vous rappelle » à voix haute, face à quelqu'un qui insiste.

Cet article décrit les trois situations où le vishing touche une banque. Il propose une méthode en quatre temps, des phrases à répéter et le cadre DORA. Il complète notre guide sur la sensibilisation cybersécurité et l'entraînement au vishing.

Pourquoi la banque est une cible téléphonique

Une banque réunit trois choses qu'un fraudeur cherche : des fonds, des données personnelles et des collaborateurs habitués à répondre aux demandes. Le téléphone reste un canal normal du métier. Un appel entrant n'a donc rien de suspect en soi.

Le contexte général est tendu. Selon le rapport d'activité 2025 de Cybermalveillance.gouv.fr, publié le 26 mars 2026, plus de 500 000 victimes ont été assistées, soit 20 % de plus qu'en 2024. Le rapport relève aussi une progression de 159 % de la fraude au faux conseiller bancaire et de 170 % des fraudes au virement.

Le même communiqué cite une hausse de 517 % de l'usurpation de numéro de téléphone. Cela veut dire qu'un numéro qui s'affiche comme interne ou connu ne prouve plus rien.

Les trois situations de vishing en banque

1. Le faux conseiller qui appelle le client

Dans ce cas, c'est l'identité de la banque qui est volée. Le fraudeur appelle un client en se faisant passer pour son conseiller ou pour le service fraude, puis lui demande de valider une opération. Nous détaillons le déroulé dans l'article sur le mode opératoire du faux conseiller bancaire.

Pour la banque, l'enjeu est double : informer les clients, et préparer les conseillers à recevoir des clients méfiants ou déjà victimes. Un client qui rappelle, paniqué, attend une réponse claire et rapide.

2. Le faux client qui appelle le conseiller

Ici, le fraudeur joue le client. Il connaît quelques informations publiques ou volées, et demande un changement de coordonnées, un nouveau moyen de paiement ou un virement urgent. Son but est de faire contourner la vérification d'identité.

Imaginons un appel où l'interlocuteur dit : « Je suis en déplacement, je n'ai plus mon téléphone, pouvez-vous m'envoyer le code sur un autre numéro ? » La demande est plausible, le ton est poli, et la pression est douce. C'est précisément ce qui la rend efficace.

3. Le faux collègue ou faux fournisseur qui appelle le back-office

Le fraudeur se présente comme un responsable, un prestataire ou le support informatique. Il vise les équipes de paiement et de trésorerie, ou cherche à obtenir un accès. La logique rejoint celle de la fraude au président par téléphone.

L'urgence est le levier habituel : « Le virement doit partir avant 16 heures, sinon nous perdons le contrat. » Contre cette phrase, la procédure de double validation est la meilleure défense, à condition que personne n'ose la contourner.

Une méthode en quatre temps pour tout appel sensible

Une méthode utile tient en peu d'étapes, sinon elle ne se retrouve pas sous stress. Voici une séquence que le formateur peut adapter à chaque métier.

1. Ralentir. Reconnaître la pression sans la suivre : « Je comprends l'urgence, je vais le faire dans les règles. »
2. Vérifier. Demander les éléments de la procédure interne, sans improviser des questions dont la réponse est publique.
3. Rappeler par un canal indépendant. Utiliser le numéro de l'annuaire interne ou celui du dossier client, jamais celui que l'appelant donne.
4. Noter et signaler. Écrire ce qui a été demandé et dit, puis prévenir la sécurité, même si rien n'a été donné.

Le contre-appel est détaillé dans la procédure de rappel par un canal indépendant. La vérification d'identité est traitée dans les questions à poser pour vérifier un appelant.

Les phrases exactes à connaître par cœur

Sous pression, personne ne compose une réponse élégante. On reprend une phrase déjà dite. Le formateur peut en faire une liste courte, à répéter à voix haute.

• « Pour votre sécurité comme pour la mienne, je vous rappelle sur le numéro qui figure au dossier. »
• « Je ne peux pas valider cette opération par téléphone, je vous invite à passer par l'application. »
• « La procédure ne me le permet pas, même pour vous. Je ne peux pas faire d'exception. »
• « Je note votre demande et je la transmets au service concerné. »
• « Je ne communique jamais de code reçu par SMS, quelle que soit la personne qui le demande. »

Ces phrases ont un point commun : elles ne mettent pas l'appelant en accusation. Un vrai client ne se vexe presque jamais d'une vérification présentée comme une règle de la maison. Un fraudeur, lui, insiste ou raccroche. Cette réaction est une information en soi.

Pourquoi un e-learning ne suffit pas pour ces situations

Un module en ligne explique ce qu'est le vishing et rappelle les consignes. C'est utile pour savoir. Mais la situation réelle comporte une voix, un rythme, une insistance, parfois de la colère ou de la gentillesse. Aucune de ces choses n'apparaît dans un quiz.

Le réflexe naît de la répétition d'un geste dans des conditions proches du réel. Un conseiller qui a déjà refusé dix fois à voix haute dit non plus facilement le jour où l'appel est vrai. Nous développons ce mécanisme dans l'article sur les limites de l'e-learning cybersécurité.

Pour les conseillers, la difficulté s'ajoute à celle de la relation client. Il faut refuser sans froisser. Le sujet rejoint la formation des conseillers bancaires à la relation client.

Le cadre DORA : une obligation de formation pour tout le personnel

Pour les entités financières, le règlement (UE) 2022/2554, dit DORA, est applicable depuis le 17 janvier 2025. Son article 13, paragraphe 6, prévoit des programmes de sensibilisation à la sécurité des TIC. Il prévoit aussi des formations à la résilience opérationnelle numérique, pour tout le personnel et la direction. L'ACPR cite cet article dans l'annexe TIC du rapport sur le contrôle interne.

Le texte demande des programmes de sensibilisation et de formation. Il ne dit pas sous quelle forme. Une banque peut donc compléter un module en ligne par des mises en situation orales. Elles laissent une trace de ce que chacun a su faire. Nous détaillons l'obligation dans l'article sur DORA et la formation à la sécurité des TIC, et le panorama des autres obligations dans la page sur les formations obligatoires de conformité.

S'entraîner par le jeu de rôle, scénario par scénario

Face Up permet aux formateurs de créer leurs propres jeux de rôle à partir de leurs cas réels. L'apprenant parle à la voix avec un persona joué par une IA. Ce peut être un faux client pressé, un faux responsable ou un client qui s'agace d'une question de vigilance. Après la session, il reçoit un débriefing avec ses points forts, ses points à améliorer et des citations de ce qu'il a dit.

Le formateur de la banque garde la main. Il écrit le scénario avec les vrais pièges de son établissement. Il choisit les leviers (urgence, autorité, culpabilité) et fixe l'attendu : vérifier, rappeler, refuser, signaler. L'apprenant peut rejouer jusqu'à ce que le geste devienne naturel. Plus d'exemples sur la page des jeux de rôle.

Erreurs fréquentes dans les formations bancaires au vishing

Quelques erreurs reviennent presque toujours quand une banque organise cette sensibilisation. Les repérer à l'avance évite de repartir de zéro à la deuxième campagne.

• Ne traiter que le client victime, et oublier le conseiller ciblé.
• Exiger de vérifier sans donner de phrase pour le faire poliment.
• Faire confiance à l'affichage du numéro appelant.
• Considérer qu'un appel raté n'a pas besoin d'être signalé.
• Mesurer seulement le taux de complétion du module.

Un dernier point concerne la périodicité. Un entraînement ponctuel s'efface vite, alors qu'une pratique courte et régulière installe le geste. Mieux vaut quinze minutes par trimestre qu'une demi-journée par an, surtout pour les équipes qui reçoivent des appels tous les jours.

Questions fréquentes

Quelles équipes bancaires former en priorité ?

Celles qui peuvent déclencher un mouvement d'argent ou donner un accès : conseillers, back-office, trésorerie, support informatique et accueil téléphonique. Commencez par les postes où une seule personne peut valider.

Faut-il former les clients aussi ?

Informer les clients est utile, mais ce n'est pas le même exercice. Les conseillers doivent surtout savoir répondre à un client alerté ou déjà piégé, avec des mots simples et un geste clair.

Comment savoir si la formation fonctionne ?

Regardez des comportements : appels rappelés, signalements, doubles validations respectées. Notre article sur la mesure de l'efficacité d'une sensibilisation propose des indicateurs concrets.

Un exercice oral remplace-t-il l'obligation DORA ?

Il peut en faire partie. DORA demande des programmes de sensibilisation et de formation, et c'est à l'entité de choisir ses formats et d'en garder la preuve.

Pour voir comment un formateur construit un scénario de vishing adapté à sa banque, réservez une démonstration.