Les deux preuves qui n’en sont plus
Deux éléments servaient jusqu’ici à identifier un correspondant au téléphone : le numéro affiché et la voix. Les deux sont tombés. Le spoofing permet d’afficher n’importe quel numéro, y compris celui de votre banque ou de votre fournisseur, et le clonage vocal reproduit une voix à partir de quelques secondes d’enregistrement public. Les fraudes qui visent les entreprises, faux conseiller bancaire, faux fournisseur demandant un changement de RIB, faux technicien, faux dirigeant, reposent toutes sur ce basculement. La seule parade qui tienne est procédurale : ne jamais agir sur la foi d’un appel entrant, et rappeler soi-même un numéro connu à l’avance.
Ce qui rend ces appels efficaces n’est pas la crédulité de la victime, c’est leur qualité. L’escroc connaît votre nom, le montant de votre dernière facture, le nom de votre fournisseur. Ces informations ne viennent pas de nulle part : elles viennent d’une boîte mail compromise, d’une fuite de données, ou simplement de votre site et de votre page LinkedIn.
Commençons par le test, il est plus instructif que n’importe quelle liste, parce qu’il vous met dans la position de l’appelé, pas du lecteur.
Test
Sauriez-vous repérer l’arnaque ?
Six appels, tous inspirés de fraudes réellement signalées. Une seule bonne réponse par situation, et l’explication tout de suite après.
Pourquoi ça marche
- Le numéro affiché est falsifiableLe spoofing permet de présenter n’importe quel numéro. C’est précisément pour cela que l’Arcep a imposé aux opérateurs un mécanisme d’authentification des numéros, qui masque depuis 2026 les appels dont l’origine ne peut être vérifiée. La protection progresse, mais elle n’est pas totale : ne traitez jamais le numéro affiché comme une preuve.
- La voix ne prouve plus l’identitéQuelques secondes d’enregistrement, une vidéo, une conférence, un message d’accueil, suffisent à produire une imitation convaincante. Un dirigeant qui parle en public a sa voix disponible.
- L’urgence désactive les procédures« Urgent », « confidentiel », « ne prévenez personne » ne sont pas des circonstances : ce sont les outils de l’escroc. Leur fonction unique est d’empêcher la vérification qui ferait échouer l’appel.
- Les informations exactes viennent d’une brècheConnaître le montant d’une facture ne prouve pas l’identité, cela prouve un accès aux données. Souvent une boîte mail compromise, la vôtre ou celle de votre fournisseur. C’est ce qui rend inutile la confirmation « par e-mail à l’adresse habituelle ».
- Les TPE ont moins de procéduresDans une petite structure, la même personne reçoit l’appel, juge de l’urgence et exécute le virement. Il n’y a pas de second regard, et c’est ce second regard que toute la fraude cherche à éviter.
Les deux règles qui tiennent
Toutes les recommandations sur le sujet se ramènent à deux gestes, et les deux sont gratuits.
Rappeler, toujours, sur un numéro antérieur à la demande
Pas le numéro affiché, pas celui dicté pendant l’appel, pas celui du mail qui vient d’arriver : le numéro que vous utilisiez AVANT, sur un relevé, un contrat, une facture ancienne. C’est le seul canal que l’escroc ne contrôle pas. Ce geste, à lui seul, neutralise le spoofing, le clonage vocal et la boîte mail compromise.
Une procédure écrite que l’urgence ne suspend jamais
Double validation pour tout changement de RIB et pour tout virement au-dessus d’un seuil que vous fixez. Écrite, connue de tous, sans exception, surtout pas pour le dirigeant lui-même, puisque c’est son identité qu’on empruntera. Une procédure qui admet une exception d’urgence ne protège de rien.
Un « oui » isolé, enregistré, peut être présenté comme un accord dans un litige, et sert surtout à marquer votre ligne comme active et répondante dans les fichiers de démarchage. Ce n’est pas une légende : c’est la raison pour laquelle certains appels ne comportent qu’une question anodine. Répondez autre chose, ou laissez l’appelant se présenter en premier.
Et la personne qui décroche à votre place ?
Ces règles supposent que celui qui prend l’appel les connaisse. Or dans une TPE, ce n’est pas toujours le dirigeant : c’est l’apprenti, le remplaçant du vendredi, ou la personne d’astreinte à 22 heures, c’est-à-dire précisément celle qui a le moins de contexte pour juger, et à l’heure où l’escroc appelle.
C’est une question d’organisation avant d’être une question d’outil : qui a le droit de confirmer quoi, et à qui. Une règle écrite en une phrase, « aucune information sur un dossier sans avoir vérifié l’identité, aucune exception », vaut mieux qu’une vigilance générale.
Quand c’est un agent vocal qui décroche, cette règle cesse d’être une consigne pour devenir une contrainte. Chez Sylen, les règles de sécurité d’un agent sont déclarées absolues et non contournables, même si l’appelant insiste ou prétend disposer d’une autorisation spéciale ; c’est écrit tel quel dans les instructions qui partent à chaque appel. L’agent peut exiger le nom complet et le motif avant toute information sur un dossier, un compte ou une commande, et signaler poliment un numéro qui rappelle trop souvent dans la journée. Il ne conserve par ailleurs aucun enregistrement audio, donc aucune voix à cloner ne traîne nulle part.
« Un escroc convainc une personne. Il ne convainc pas une règle. »
Ce n’est pas un argument de sécurité absolue, aucun dispositif ne l’est, et un agent vocal ne remplace pas une procédure de double validation. C’est simplement qu’une machine n’a ni gêne à répéter la consigne, ni envie d’en finir, ni peur de contrarier un interlocuteur autoritaire. Les trois leviers sur lesquels repose l’ingénierie sociale.
Une règle qui ne cède pas à l’insistance
Sylen décroche selon vos consignes de sécurité : vérification d’identité avant toute information, règles déclarées non contournables, et aucun enregistrement audio conservé. 14 jours d’essai sur vos vrais appels, sans carte bancaire.
Essayer Sylen 14 jours gratuitsQuestions fréquentes
Comment savoir si un appel de ma banque est authentique ?
Vous ne pouvez pas le savoir pendant l’appel, et c’est le point à accepter : le numéro affiché est falsifiable par spoofing, et les informations personnelles exactes proviennent souvent d’une fuite antérieure. La seule méthode fiable est de raccrocher et de rappeler le numéro figurant sur vos relevés ou au dos de votre carte. Un conseiller légitime n’aura jamais d’objection à ce que vous le rappeliez.
Qu’est-ce que le spoofing téléphonique ?
C’est la falsification du numéro présenté à l’appelé. L’escroc affiche le numéro de votre banque, de votre fournisseur ou d’une administration, ce qui rend l’appel crédible instantanément. L’Arcep a imposé aux opérateurs un mécanisme d’authentification des numéros qui masque désormais les appels dont l’origine ne peut être vérifiée, notamment depuis l’international, la situation s’améliore, mais le numéro affiché ne doit plus être traité comme une preuve.
Comment se protéger de la fraude au faux fournisseur ?
Par une règle unique et sans exception : tout changement de coordonnées bancaires se vérifie par un rappel, sur un numéro que vous utilisiez avant la demande. Ni le numéro fourni dans le message, ni une confirmation par e-mail ne valent : si la boîte mail du fournisseur est compromise, l’escroc contrôle aussi ce canal. Ajoutez une double validation interne pour tout changement de RIB.
La voix de mon dirigeant peut-elle vraiment être imitée ?
Oui, et cela ne demande plus de moyens particuliers : quelques secondes d’enregistrement public, une interview, une conférence, une story, un message d’accueil téléphonique, suffisent. C’est ce qui rend inopérant le réflexe « j’ai reconnu sa voix ». Une procédure de double validation qui ne souffre aucune exception, y compris pour le dirigeant, est la seule réponse robuste.
Pourquoi ne faut-il pas répondre « oui » au téléphone ?
Parce qu’un « oui » isolé, sorti de son contexte et enregistré, peut être présenté comme un accord dans un litige, et parce qu’il confirme surtout que votre ligne est active et répondante, ce qui en augmente la valeur dans les fichiers revendus. Ce n’est pas une raison de raccrocher sur tout le monde : il suffit de répondre autrement, ou de laisser l’appelant se présenter avant de parler.
Que faire si on a déjà communiqué des informations ?
Agissez dans l’heure : appelez votre banque sur son numéro officiel pour faire opposition et signaler la tentative, changez les mots de passe des comptes concernés, et prévenez votre comptable si un virement est parti. Signalez ensuite les faits, la plateforme cybermalveillance.gouv.fr pour les entreprises, et un dépôt de plainte. Plus le signalement est rapide, plus un virement a de chances d’être bloqué avant exécution.
Un agent vocal IA est-il plus difficile à manipuler qu’un humain ?
Sur les leviers de l’ingénierie sociale, oui : il n’a ni gêne à répéter une consigne, ni envie d’en finir avec l’appel, ni crainte de contrarier un interlocuteur autoritaire, trois ressorts sur lesquels repose toute la technique. Ses règles de sécurité peuvent être déclarées non contournables quelles que soient les insistances. Ce n’est pas pour autant une protection absolue : il ne remplace ni la double validation, ni le rappel sur un numéro connu.
