Qu'est-ce que le phishing vocal ? Définition et conseils pour le repérer et l'éviter

Le phishing vocal (vishing), ou hameçonnage vocal, est de plus en plus répandu et convaincant. Selon un récent rapport de CrowdStrike, les attaques par phishing vocal ont connu une hausse de 442 % en 2024, sous l'effet des escrocs recourant à des scripts soignés, à une pression en temps réel, et même à des voix générées par IA pour paraître légitimes. Ces tactiques sophistiquées sont de plus en plus déployées contre les consommateurs ordinaires.

Les appelants cherchent à paraître suffisamment crédibles pour vous inciter à partager des informations personnelles, envoyer de l'argent, ou agir sans vérifier au préalable. Informez-vous sur le phishing vocal afin de reconnaître ces appels rapidement et d'éviter de vous laisser piéger.

Qu'est-ce que le phishing vocal, et comment fonctionne-t-il ?

Le phishing vocal, ou « vishing », est une cyberattaque par téléphone dans laquelle les cybercriminels utilisent le téléphone pour mener leurs stratagèmes. Lors d'un appel de phishing vocal, un escroc peut essayer de vous inciter à partager des informations personnelles et des détails financiers, comme des numéros de compte bancaire et des mots de passe.

Les escrocs se font généralement passer pour une source fiable ou faisant autorité lors d'un appel téléphonique. Ils peuvent usurper l'identifiant d'un appelant pour paraître légitimes, ou même utiliser la technologie de la voix sur IP (VoIP) pour passer des centaines d'appels à la fois afin de mener des attaques plus étendues.

Quelle est la différence entre phishing, phishing vocal et smishing ?

Le phishing vocal et le smishing sont des types de phishing, mais ils utilisent des canaux de communication différents. Les escroqueries par smishing sont diffusées par SMS, tandis que les escroqueries par phishing vocal se font par appels téléphoniques ou messages vocaux.

Voici les différences en détail :

• Phishing : une cyberattaque qui utilise des e-mails, SMS, appels ou messages en ligne frauduleux pour voler vos données, accéder à des informations de compte (y compris les identifiants de connexion) et surveiller les activités en ligne. Les attaquants incitent généralement les victimes à cliquer sur des liens malveillants ou à visiter des sites web frauduleux.
• Phishing vocal (vishing) : un type de phishing mené par le biais d'appels téléphoniques. Ces appels peuvent provenir d'une personne réelle ou d'un message préenregistré automatisé, mais l'objectif est le même : vous pousser ou vous tromper pour que vous partagiez des informations sensibles ou preniez des mesures compromettant vos données.
• Smishing (phishing par SMS) : une attaque de phishing diffusée par SMS. Bien que le smishing et le phishing vocal ciblent tous deux les téléphones, le smishing s'appuie sur des SMS ou des messages de spam plutôt que sur des appels vocaux pour voler des informations confidentielles.
• Quishing : un type de phishing utilisant des codes QR malveillants. Les escrocs créent de faux codes QR menant à des sites web malveillants conçus pour voler vos informations.

Comment repérer une escroquerie par phishing vocal

Les signes courants d'une escroquerie par phishing vocal sont notamment la pression basée sur l'urgence ou la peur, les demandes non sollicitées d'informations sensibles et la mauvaise qualité audio. Comprendre le fonctionnement des escroqueries par phishing vocal vous aide à repérer rapidement ces signaux d'alarme et à garder le contrôle lors d'appels inattendus, facilitant ainsi la protection de votre argent et de vos informations personnelles.

Voici un aperçu détaillé des signes d'alerte à surveiller :

Appels non sollicités

Les appels non sollicités auxquels vous ne vous attendiez pas constituent une tactique classique de phishing vocal. Si quelque chose vous semble suspect, raccrochez, recherchez le numéro officiel, et rappelez directement ce numéro. La plupart des appels « urgents » prétendant provenir d'agences gouvernementales (comme les autorités fiscales) ou de grandes entreprises, s'avèrent être des escroqueries une fois vérifiés.

Tactiques d'urgence et de peur

Pour vous pousser à agir immédiatement, les escrocs utilisent des menaces afin de créer un sentiment d'urgence. Si vous recevez l'un de ces appels téléphoniques, restez calme et ne communiquez jamais d'informations de paiement ni d'informations personnelles.

Demandes d'informations personnelles

Toute personne qui appelle à l'improviste et vous demande de confirmer vos mots de passe, informations de compte bancaire, ou autres détails d'identification par téléphone est probablement un escroc. Ne partagez jamais d'informations confidentielles par téléphone à moins de pouvoir confirmer l'identité de votre interlocuteur.

Bruit de fond ou audio de mauvaise qualité

Soyez attentif aux bruits de fond étranges et méfiez-vous des appels téléphoniques de qualité audio généralement médiocre. Les légers dysfonctionnements, les pauses maladroites ou les sons ne correspondant pas au récit de l'appelant peuvent tous être des signes précoces que quelque chose ne va pas. Soyez également attentif aux voix non naturelles ou robotiques, car il pourrait s'agir d'un appel automatisé.

Comment les escroqueries par phishing vocal contournent la détection

Plutôt que de s'appuyer sur une seule ruse, les escrocs combinent des tactiques techniques avec une pression psychologique pour déjouer vos défenses.

De nombreux appels de phishing vocal commencent par une usurpation de l'identifiant de l'appelant, faisant paraître l'appel entrant comme provenant de votre banque, de la police locale, ou d'une agence gouvernementale. Les systèmes de composition automatisés permettent aux escrocs de passer des milliers d'appels à la fois, et comme ces interactions se produisent en temps réel, elles contournent souvent les filtres qui détectent les e-mails ou SMS suspects.

Une fois l'appel établi, les auteurs de phishing vocal utilisent des scripts au ton naturel, des échanges anodins ou des avertissements urgents pour vous déstabiliser. Ces stratagèmes d'ingénierie sociale imitent étroitement le ton et le rythme des équipes de service client légitimes, paraissant crédibles juste assez longtemps pour établir la confiance.

En mêlant le jargon d'une véritable entreprise à des scénarios plausibles, les escrocs créent des appels qui semblent familiers et sûrs. Leur objectif est d'extraire suffisamment d'informations personnelles pour commettre une usurpation d'identité ou vider des comptes avant que vous ne réalisiez ce qui se passe.

11 exemples courants d'escroqueries par phishing vocal

De l'usurpation d'identité bancaire à la fraude au support technique, les escroqueries par phishing vocal prennent généralement quelques formes courantes. Voici quelques exemples de phishing vocal que vous êtes le plus susceptible de rencontrer.

1. Usurpation du nom d'une banque

Une escroquerie courante par phishing vocal consiste, pour les attaquants, à se faire passer pour des représentants de banques ou d'institutions financières. Qu'il s'agisse d'une vraie personne au téléphone se faisant passer pour la banque ou d'un message préenregistré, un escroc vous dira souvent qu'il y a un problème avec votre compte ou un paiement récent que vous avez effectué.

En utilisant des scripts convaincants, il vous incitera à partager les détails de votre compte ou vos codes PIN. Il peut même vous demander de transférer des fonds vers un autre compte pour résoudre le « problème ».

Dans un cas d'escroquerie bancaire, un client a reçu un appel d'une personne se faisant passer pour un conseiller bancaire effectuant des vérifications. L'utilisateur a été convaincu de lui donner son code PIN, ce qui a entraîné plusieurs virements frauduleux de 54 500 €.

2. Escroqueries au support technique

Ce type d'escroquerie par phishing vocal cible fréquemment les personnes âgées (60 ans et plus), car elles sont plus susceptibles d'être victimes d'escroqueries au support technique.

Les escrocs peuvent se faire passer pour du personnel de support technique de grandes entreprises comme Amazon ou Microsoft. Dans cet exemple d'escroquerie par phishing vocal, l'escroc pourrait vous appeler en prétendant avoir détecté un virus nuisible sur votre téléphone ou ordinateur, ou pour vous alerter d'une mise à jour logicielle importante.

Ensuite, il vous convaincra de partager vos informations personnelles ou identifiants de connexion, et demandera même un accès à distance à vos appareils pour résoudre le problème ou installer la mise à jour.

3. Escroqueries à l'assurance maladie

Les escrocs par phishing vocal peuvent se faire passer pour l'Assurance Maladie officielle, incitant les victimes à effectuer un paiement pour commander une nouvelle carte Vitale.

À partir de là, l'escroc peut utiliser les informations fournies pour voler de l'argent ou compromettre des données personnelles. L'Assurance Maladie précise qu'elle ne facture pas de frais de livraison et que l'ensemble du processus de commande d'une carte Vitale est gratuit.

4. Usurpation d'identité de fonctionnaires

Les attaquants par phishing vocal peuvent se faire passer pour des fonctionnaires du gouvernement, comme les autorités fiscales françaises, émettant de faux avertissements concernant des problèmes administratifs ou des impôts impayés. L'objectif est de créer la panique, vous incitant à partager des informations sensibles ou à effectuer des paiements pour résoudre des problèmes supposés.

Il existe de nombreuses variantes de ce type d'escroquerie. Un exemple courant implique l'utilisation de numéros surtaxés. L'utilisateur est appelé par une personne se faisant passer pour l'administration fiscale française, l'informant d'une prétendue anomalie dans son dossier fiscal et l'incitant à rappeler un numéro surtaxé facturé 5 € la minute.

D'autres appels peuvent impliquer le vol de données personnelles, où des fraudeurs se font passer pour des agences gouvernementales afin d'obtenir des informations fiscales, des identifiants de connexion, ou d'autres données personnelles.

5. Escroqueries à la livraison ou à l'expédition

Dans les escroqueries à la livraison ou à l'expédition, les appelants se font passer pour des agents postaux ou des coursiers et prétendent qu'il y a un « problème » avec votre colis. Ils peuvent citer des frais de douane, un problème d'adresse, ou la nécessité de vérifier votre identité avant que la livraison ne puisse avoir lieu. Pour paraître crédibles, ils font souvent référence à un transporteur bien connu comme La Poste ou Mondial Relay.

Une fois le piège en place, ils tentent de recueillir des informations personnelles ou vous dirigent vers un faux lien de paiement. Ces appels peuvent sembler convaincants car les livraisons de colis sont très courantes. Mais en cas de doute, suivez la livraison via le site web ou l'application officielle du transporteur.

6. Escroqueries à l'investissement ou au crédit

Dans les escroqueries au prêt et à l'investissement, les appelants proposent des prêts à faible taux d'intérêt, des investissements à haut rendement, ou des opportunités financières « garanties ». Ils s'appuient sur des scripts soignés et des tactiques de vente sous pression pour vous inciter à vous engager rapidement, vous poussant souvent à partager vos coordonnées bancaires sur-le-champ.

La pression est un signe révélateur : les prêteurs et conseillers financiers légitimes ne précipitent pas les décisions ni n'exigent de dépôts immédiats. Si une offre semble être un raccourci vers l'argent facile, c'est généralement le signe que quelqu'un essaie de profiter de votre confiance.

7. Escroqueries aux faux gains

Dans les escroqueries aux faux gains, l'appelant prétend que vous avez gagné quelque chose : des vacances, une carte-cadeau ou même une récompense en argent. Cependant, pour recevoir le prix, on vous demande de vérifier votre identité ou de payer de petits frais de traitement ou de taxe.

Les escrocs comptent sur l'excitation pour brouiller votre jugement, espérant que vous agirez avant de réfléchir. Mais les concours légitimes n'exigent pas de paiement anticipé ni de détails sensibles. Si votre « gain » chanceux s'accompagne de conditions, il s'agit presque toujours d'un piège.

8. Escroqueries sentimentales par phishing vocal

Les escroqueries sentimentales sont basées sur la confiance. L'appelant prétend être quelqu'un rencontré sur une application de rencontre, un réseau social, ou même une connaissance perdue de vue. Une fois le contact établi, il passe à des demandes personnelles, comme de l'argent pour une urgence, l'accès à un compte, ou des informations privées qu'il pourra utiliser plus tard.

Comme ces appels s'appuient fortement sur l'émotion, ils peuvent sembler plus crédibles que les escroqueries typiques. Une demande soudaine d'aide financière ou d'informations sensibles est le signe le plus clair que la relation n'est pas ce qu'elle semble être.

9. Escroqueries aux grands-parents

Dans les escroqueries aux grands-parents, les appelants prétendent être un petit-enfant ou un autre membre de la famille affirmant être en difficulté et avoir besoin d'aide immédiatement. Ils s'appuient sur l'urgence et la peur pour contourner le scepticisme. Ce qui rend cette ruse encore plus difficile à repérer aujourd'hui, c'est l'utilisation de voix générées par IA capables d'imiter de vrais membres de la famille.

Avec un simple court échantillon audio, les attaquants peuvent créer un clone vocal suffisamment ressemblant pour semer la panique. Si un appel vous ébranle, respirez, raccrochez et contactez le membre de votre famille par un autre canal avant d'agir.

10. Usurpation d'identité de dirigeants

Les escroqueries par usurpation d'identité de dirigeants ciblent les employés en imitant le ton, l'autorité et l'urgence des responsables de l'entreprise. L'appelant peut prétendre qu'un paiement inattendu doit être traité, qu'un projet confidentiel est en cours, ou qu'il a besoin d'accéder immédiatement à un document sensible.

Comme la demande semble provenir de quelqu'un ayant autorité, vous pourriez agir sans vérification. Mais les vrais dirigeants ne contournent généralement pas les procédures normales ni ne pressent le personnel à prendre des décisions hâtives. Un appel rapide ou un message via un canal officiel suffit à confirmer si la demande est réelle.

11. Clonage vocal et deepfakes

Certaines des escroqueries par phishing vocal les plus avancées utilisent aujourd'hui des outils d'IA pour recréer des voix, voire des visages, afin de donner aux appels et aux vidéos une apparence authentique. Les attaquants combinent l'ingénierie sociale avec la technologie du deepfake, créant des messages qui semblent personnels et urgents.

Ces outils peuvent reproduire les schémas d'élocution, les accents, et le ton émotionnel, rendant les escroqueries plus difficiles à repérer. À mesure que la technologie s'améliore, la sensibilisation devient votre meilleure défense. Si un message semble scripté, anormalement urgent, ou « trop parfait », il vaut la peine de prendre du recul et de le vérifier de manière indépendante.

Dans un cas, des fraudeurs ont usurpé l'identité du PDG de WPP en utilisant un faux compte WhatsApp, une voix clonée, et une fausse réunion Teams pour tenter de tromper un responsable d'agence afin qu'il mette en place une nouvelle entreprise.

Tactiques et technologies émergentes en matière de phishing vocal

Le phishing vocal continue d'évoluer, et les attaquants mélangent aujourd'hui des astuces classiques avec de nouvelles technologies pour garder une longueur d'avance. Cependant, savoir en quoi consiste une attaque de phishing vocal vous permet de rester à la page et de voir comment ces outils fonctionnent en arrière-plan.

Les tactiques et technologies émergentes du phishing vocal incluent :

• Usurpation d'identifiant d'appelant : permet aux escrocs d'imiter des numéros de confiance pour rendre leurs appels légitimes en apparence.
• Services VoIP : permettent aux escrocs de lancer des appels à moindre coût et facilement depuis n'importe où dans le monde.
• Appels téléphoniques automatisés : permet aux attaquants de lancer des milliers d'appels scriptés en quelques minutes seulement.

Mais le plus grand changement provient des escroqueries par IA. Les outils de clonage vocal peuvent reproduire de véritables schémas d'élocution avec une précision troublante, donnant aux escrocs la capacité d'imiter la voix de personnes que vous connaissez et en qui vous avez confiance. Certaines opérations utilisent même l'IA pour générer des scripts d'appel dynamiques qui s'adaptent en temps réel à vos réponses, rendant les conversations naturelles et non scriptées en apparence.

Face à l'évolution constante de ces tactiques, il est essentiel de rester vigilant. Mieux vous reconnaissez les schémas, plus il est facile de désamorcer même l'escroquerie la plus convaincante.

Comment se protéger du phishing vocal

Une bonne préparation constitue votre meilleure défense contre les appels imprévisibles ou trompeurs. Utilisez ces conseils pour vous protéger, vous et vos données, d'une escroquerie par phishing vocal :

• Vérifiez l'identité de l'appelant : confirmez toujours l'identité d'un appelant, surtout s'il demande des informations sensibles. S'il fournit un numéro de rappel, cela peut faire partie de l'escroquerie. Ne l'utilisez donc pas. Recherchez plutôt le numéro de téléphone officiel de l'entreprise et appelez-la pour confirmer si l'appel était légitime.
• Ignorez les appels de numéros inconnus : bien qu'il puisse être tentant de répondre à chaque appel, laissez les appels provenant de numéros inconnus être redirigés vers votre messagerie vocale. Écoutez vos messages et décidez si vous devez rappeler la personne.
• Faites confiance à votre instinct et raccrochez : dès que vous soupçonnez un appel de phishing vocal, ne vous sentez pas obligé de rester poli au téléphone. Raccrochez simplement et bloquez le numéro.
• Utilisez les fonctions de blocage d'appels : activez les fonctions de blocage d'appels sur votre téléphone pour filtrer les éventuelles escroqueries par phishing vocal. La plupart des smartphones proposent cette fonction pour vous aider à éviter les appels frauduleux.
• Utilisez l'authentification à deux facteurs : ajoutez une couche de sécurité supplémentaire à votre appareil mobile et vos comptes en activant l'authentification à deux facteurs.

Les conseils ci-dessus peuvent vous aider à identifier et éviter les tentatives de phishing vocal tout en améliorant votre cybersécurité globale.

Cibles courantes du phishing vocal

Certaines personnes sont plus souvent ciblées car les escrocs y voient une opportunité : l'accès à de l'argent, des habitudes de vérification moins rigoureuses, ou des situations dans lesquelles la pression a de fortes chances de fonctionner. Savoir si vous appartenez à l'un de ces groupes facilite l'identification des tentatives de phishing vocal et leur neutralisation rapide.

Les cibles courantes du phishing vocal sont les suivantes :

• Personnes âgées : les escroqueries téléphoniques ciblant les seniors exploitent souvent une confiance plus grande ou une moindre familiarité avec les technologies en évolution rapide.
• Jeunes adultes et étudiants : ciblés avec de faux prêts, de fausses bourses ou de fausses offres d'emploi tout en jonglant avec des budgets serrés et des emplois du temps chargés.
• Télétravailleurs : approchés via de faux appels de service informatique ou des mises à jour d'entreprise « urgentes », exploitant la dépendance au téléphone et aux communications numériques.
• Nouveaux clients ou titulaires de comptes récents : les escrocs profitent de la confusion pouvant survenir lors de la mise en place de nouveaux services, espérant que les détails seront confirmés sans vérification approfondie.
• Personnel de finance et RH : ciblé pour l'accès à la paie, aux factures, et aux données sensibles des employés.
• Propriétaires de petites entreprises : les emplois du temps chargés et l'accès direct aux comptes de l'entreprise en font des cibles attrayantes pour de fausses demandes de fournisseurs ou de paiement.
• Personnel de santé : soumis à la pression de faux problèmes de patients ou de demandes d'accès urgentes dans des environnements de travail au rythme soutenu.
• Parents : manipulés par de fausses urgences impliquant leurs enfants, souvent amplifiées par le clonage vocal ou des récits urgents.
• Responsables du recrutement : les escrocs se font passer pour des candidats ou fournisseurs afin d'accéder aux systèmes internes ou de recueillir des informations sensibles.

Que faire si vous avez été victime de phishing vocal

Lorsqu'un appel de phishing vocal passe entre les mailles du filet, une action rapide fait toute la différence. Voici quoi faire lorsque vous réalisez que quelque chose ne va pas :

1. Mettez fin à l'appel : raccrochez immédiatement et notez ce qui vous a été demandé, le numéro affiché, et tout ce qui vous a semblé inhabituel. Cela vous aide à garder les idées claires et fournit aux autorités des détails utiles.
2. Sécurisez vos comptes : mettez à jour vos identifiants de connexion, créez un mot de passe sécurisé et vérifiez l'activité récente. Si vous avez partagé des informations bancaires ou de paiement, contactez votre institution financière afin qu'elle puisse protéger vos comptes rapidement.
3. Signalez l'incident : signalez-le à SignalConso et à votre service de police local (si vous avez perdu une somme d'argent importante), et signalez tout site web d'escroquerie impliqué. Le signalement aide les autorités à suivre les tendances et empêche des escroqueries similaires d'atteindre d'autres personnes.

Protégez-vous et votre téléphone contre les escrocs

Les attaques de phishing vocal sont conçues pour vous prendre au dépourvu, mais en connaissant les signaux d'alarme, vous êtes mieux armé pour arrêter les escroqueries avant toute fuite d'informations personnelles. Rester informé vous donne une longueur d'avance sur les cybercriminels qui comptent sur l'urgence et la tromperie au téléphone.

Pour une protection supplémentaire, Norton 360 Advanced va plus loin en aidant à bloquer les appels frauduleux et en proposant une suite complète d'outils avancés de protection contre les escroqueries par IA capables de détecter les SMS, sites, et vidéos deepfake frauduleux. Ne laissez plus place au doute pour repérer les escroqueries : laissez Norton s'en charger.

FAQ sur le phishing vocal

Comment reconnaître un appel de phishing vocal ?

Vous pouvez souvent repérer un appel de phishing vocal à des signes comme une urgence excessive, une pression pour agir rapidement, des demandes inattendues d'informations personnelles, ou un identifiant d'appelant ne correspondant pas au prétexte. Tout appel qui semble précipité, incohérent, ou étrange mérite d'être traité avec prudence.

Que faire si je reçois un appel suspect ?

Si vous recevez un appel suspect, raccrochez immédiatement. Mettre fin à l'appel empêche l'escroc de cloner votre voix, d'orienter la conversation, ou de vous pousser à prendre des décisions rapides. Contactez ensuite directement l'entreprise ou l'agence en utilisant le numéro de téléphone indiqué sur son site web officiel pour confirmer si l'appel était légitime.

Quelle est la meilleure réponse à un appel de phishing vocal ?

La réponse la plus sûre à un appel de phishing vocal est de raccrocher immédiatement, de bloquer le numéro, et d'éviter de dire quoi que ce soit qui pourrait être enregistré ou réutilisé plus tard.

Qu'est-ce que l'usurpation vocale ?

L'usurpation vocale se produit lorsque des escrocs déguisent leur numéro de téléphone ou imitent la voix de quelqu'un pour rendre un appel crédible. L'objectif est de baisser votre garde afin que vous partagiez des informations ou suiviez des instructions, ce qui en fait une tactique courante dans le phishing vocal et d'autres attaques de phishing.

Que sont le smishing et le phishing vocal ?

Le smishing (phishing par SMS) utilise des messages texte pour vous inciter à partager des informations, tandis que le phishing vocal repose sur des appels téléphoniques. Les deux sont des escroqueries par téléphone conçues pour voler des informations personnelles ou financières.