Vishing : définition, exemples d'appels et signaux d'alerte

Le vishing (de « voice phishing », hameçonnage vocal) est une arnaque menée par téléphone. L'appelant se fait passer pour une personne de confiance afin d'obtenir une information, un code ou un virement. La différence avec le phishing tient au canal. Ici, l'attaquant parle, et il peut réagir en direct à chaque hésitation.

Cet article donne la définition du vishing, des exemples d'appels types et les signaux d'alerte à repérer à l'oreille. Il indique aussi comment s'y préparer en équipe.

Que veut dire vishing ?

Le mot associe « voice » (voix) et « phishing » (hameçonnage). Le vishing est donc une forme d'hameçonnage où le leurre est une conversation orale. Cybermalveillance.gouv.fr décrit l'hameçonnage comme une technique frauduleuse destinée à leurrer la victime, notamment par « faux message, SMS ou appel téléphonique de banque ».

L'appelant n'a pas besoin de pirater un système. Il obtient de la victime elle-même ce qu'un outil technique lui refuserait. Par exemple un code reçu par SMS, un mot de passe ou une validation dans une application. On parle d'ingénierie sociale, car la cible de l'attaque est la relation de confiance, pas la machine.

Vishing, phishing, smishing : quelles différences ?

Les trois termes décrivent le même principe (tromper pour obtenir quelque chose) par des canaux différents.

• Phishing : le leurre passe par un courriel, avec un lien ou une pièce jointe piégés.
• Smishing : le leurre passe par un SMS ou une messagerie, souvent avec un lien vers un faux site.
• Vishing : le leurre passe par un appel téléphonique ou un message vocal.

Le vishing se distingue par la pression. Un courriel se relit, se transfère, se signale. Un appel exige une réponse immédiate, sans trace écrite et sans possibilité de réfléchir à deux.

Les canaux se combinent d'ailleurs souvent. Un faux SMS pousse la victime à rappeler un numéro, ou un appel annonce qu'un code va arriver par SMS. Les campagnes actuelles mélangent les trois. Le communiqué de Cybermalveillance.gouv.fr du 26 mars 2026 parle de vagues d'hameçonnage « par SMS, courriels ou même appels audio ».

Exemples d'appels de vishing

Voici trois scénarios types, construits pour illustrer le mécanisme. Ils ne décrivent aucun cas réel.

Le faux conseiller bancaire

Imaginons un appel affiché au nom de la banque. La voix, calme et professionnelle, annonce des opérations suspectes sur le compte. Elle demande de « sécuriser » le compte en validant une notification dans l'application. En réalité, la validation autorise un virement vers l'escroc. Le détail du mode opératoire est dans notre article sur l'arnaque au faux conseiller bancaire.

Le faux fournisseur ou le faux dirigeant

Imaginons qu'un comptable reçoive un appel d'un prétendu fournisseur : « Nous avons changé de banque, le prochain règlement doit aller sur ce nouveau compte. » Ou qu'une voix se présente comme la direction et réclame un virement urgent et confidentiel. Ce scénario est analysé dans la fraude au président par téléphone.

Le faux support informatique

Imaginons un appel au service desk : « Je suis en déplacement, j'ai perdu mon téléphone, pouvez-vous réinitialiser mon accès ? » L'appelant connaît le nom du responsable et le service, informations trouvées en ligne. Sans procédure de vérification, l'agent rend service. L'attaquant obtient alors un accès au système d'information.

Les signaux d'alerte à repérer à l'oreille

Aucun signal ne suffit seul. C'est leur combinaison qui doit faire hésiter. Un appel de vishing présente souvent plusieurs de ces traits.

• Une urgence : « Il faut agir dans les dix minutes. »
• Une autorité : la banque, la direction, la police, un service de sécurité.
• Une demande inhabituelle : un code, un changement de coordonnées bancaires, une validation.
• Un isolement : « Ne dites rien à vos collègues, c'est confidentiel. »
• Un refus du rappel : l'appelant évite que vous le contactiez par un autre canal.
• Un numéro affiché fiable : l'affichage ne prouve rien, car un numéro peut être usurpé.

Cybermalveillance.gouv.fr indique que l'usurpation de numéro de téléphone a progressé de 517 % en 2025, malgré les dispositifs réglementaires comme la loi « Naegelen ». Un numéro familier à l'écran n'est donc pas une preuve d'identité.

Pour aller plus loin sur ces ressorts, voir les leviers psychologiques de l'ingénierie sociale.

Pourquoi le vishing fonctionne, même sur des personnes averties

Savoir qu'une arnaque existe ne suffit pas à la reconnaître en direct. Pendant l'appel, la personne doit écouter, répondre, gérer l'émotion et se rappeler une règle, le tout en quelques secondes. La règle apprise dans un module en ligne cède souvent à la pression sociale.

Les attaquants le savent. Le communiqué de Cybermalveillance.gouv.fr évoque des centres d'appels de faux téléconseillers spécialisés dans la manipulation, alimentés par des données volées. Ces appelants répètent leur discours des centaines de fois. L'employé, lui, vit cette situation une seule fois.

Ce déséquilibre se corrige par la pratique. Un réflexe se construit en répétant la bonne réponse à voix haute, face à quelqu'un qui insiste. C'est la logique du jeu de rôle, développée dans notre analyse des limites de l'e-learning en cybersécurité.

Comment se préparer au vishing en équipe

La préparation repose sur trois éléments simples.

1. Une règle unique et connue de tous : pour toute demande sensible reçue par téléphone, on raccroche et on rappelle par un canal indépendant. Voir la procédure de contre-appel.
2. Une permission claire de refuser, y compris face à un appelant qui se dit dirigeant.
3. Un canal de signalement simple, utilisé sans crainte de reproche, y compris quand la personne a cédé.

Reste à rendre ces gestes automatiques. Les formateurs peuvent le faire par une mise en situation orale. L'apprenant reçoit l'appel d'un persona joué par une IA, doit vérifier et refuser. Il reçoit ensuite un débriefing avec les citations de ce qu'il a dit. Face Up permet aux formateurs d'écrire ces scénarios à partir de leurs cas réels. L'ensemble du sujet est traité dans notre guide de la sensibilisation cybersécurité au vishing.

Que dire pendant l'appel ?

Face à un doute, la meilleure réponse est courte, polie et sans justification. Voici des phrases à garder sous la main.

• « Je vais vous rappeler sur le numéro officiel de votre service. »
• « Je ne communique pas de code par téléphone, quelle que soit la raison. »
• « Pour une demande de ce type, la procédure impose une validation écrite. »
• « Si c'est urgent, vous comprendrez que je vérifie d'abord. »

Ces phrases ont un point commun : elles ne discutent pas la sincérité de l'appelant. Elles appliquent une règle. L'employé n'accuse personne et n'a pas à prouver que l'appel est frauduleux.

Un vrai interlocuteur accepte cette vérification. Un attaquant, lui, insiste, s'agace ou raccroche. Cette réaction est déjà une information utile, à noter pour le signalement.

Qui est visé par le vishing en entreprise ?

Tous les postes qui détiennent un pouvoir de décision, un accès ou une information sont des cibles. Cybermalveillance.gouv.fr rappelle que les fraudes de type faux ordre de virement concernent tous les types d'organisation. Elles sont généralement réalisées par téléphone, par message électronique, ou les deux.

• Les équipes comptables et de trésorerie, qui exécutent les virements.
• Les assistantes et assistants de direction, qui connaissent les agendas et les circuits de validation.
• Le service desk, qui peut réinitialiser un accès.
• Les conseillers clientèle, qui détiennent des informations sur les clients.
• Les accueils et standards, premiers interlocuteurs d'un appelant inconnu.

Chaque métier appelle donc un scénario d'entraînement propre. Un comptable ne rencontre pas les mêmes appels qu'un agent du support.

Questions fréquentes

Le vishing est-il la même chose que le faux conseiller bancaire ?

Le faux conseiller bancaire est une forme de vishing parmi d'autres. Le vishing couvre tous les appels frauduleux, qu'ils imitent une banque, un fournisseur, un dirigeant ou un support informatique.

Que faire si j'ai donné un code pendant l'appel ?

Prévenez immédiatement votre banque ou votre service sécurité par un canal officiel, et demandez le blocage des opérations. Notez ensuite le déroulé de l'appel pour le signalement. Notre article sur le signalement d'un incident propose une grille.

Un numéro qui s'affiche au nom de ma banque est-il fiable ?

Non. Le numéro affiché peut être usurpé, ce que confirme la hausse de 517 % des cas observés en 2025 par Cybermalveillance.gouv.fr. Raccrochez et rappelez le numéro officiel de la banque.

Le vishing est-il puni par la loi ?

Oui. Selon la fiche de Cybermalveillance.gouv.fr sur les faux ordres de virement, l'escroquerie (article 313-1 du Code pénal) est passible de cinq ans de prison. L'amende peut atteindre 375 000 euros. La tentative est punie des mêmes peines. L'usurpation d'identité est aussi une infraction distincte.

Les employés sont-ils responsables s'ils se font piéger ?

Le plus utile est d'éviter la logique du reproche. Une personne qui craint la sanction signale tard, ou ne signale pas. Les organisations qui encouragent le signalement rapide limitent les dégâts, car chaque minute compte pour bloquer un virement.

Pour entraîner vos équipes à repérer et refuser un appel de vishing, demandez une démonstration de Face Up.