Savez-vous reconnaître le Vishing ?

Le phishing par e-mail est désormais bien identifié dans les entreprises. Les fraudeurs ont donc élargi leur terrain de jeu au téléphone, un canal où l'on se sent souvent plus en confiance et où l'on dispose de moins de temps pour réfléchir.

Dans le cadre du Cybermois, nous faisons le point sur cette menace : ce qu'elle est, comment la repérer, quels réflexes adopter et que faire si vous en avez été victime.

1. Qu'est-ce que le vishing ?

Le vishing, contraction de voice et phishing, ou hameçonnage vocal, consiste à manipuler une victime par téléphone afin de lui soutirer des informations confidentielles ou de l'inciter à réaliser une action frauduleuse.

Le fraudeur se fait passer pour un interlocuteur légitime :

Ce que cherchent les fraudeurs

• vos identifiants et mots de passe ;
• vos codes bancaires ou codes de validation reçus par SMS ;
• des données professionnelles : informations clients, organisation interne, accès aux systèmes ;
• une action : valider un virement, installer un logiciel de prise en main à distance, communiquer un code d'authentification.

Pourquoi ça fonctionne

Le vishing repose sur l'ingénierie sociale : l'attaquant ne pirate pas un système, il exploite la confiance et les réflexes humains. Plusieurs techniques rendent ces appels particulièrement crédibles :

• l'usurpation de numéro (spoofing) : le numéro affiché peut être celui de votre banque ou de votre entreprise ;
• la préparation : l'attaquant connaît souvent votre nom, votre fonction, parfois votre conseiller ou vos dernières opérations, grâce aux réseaux sociaux ou à des fuites de données ;
• le volume : un même fraudeur peut appeler des dizaines de victimes à la suite, avec un script rodé ;
• la voix : avec l'essor de l'IA, le clonage vocal permet désormais d'imiter la voix d'une personne connue.

2. Les signes d'alerte

Méfiez-vous des appels qui créent un sentiment d'urgence, vous demandent des mots de passe, des codes de validation ou des informations personnelles. Les fraudeurs utilisent la pression pour vous faire agir rapidement. Trois signaux doivent vous alerter :

3. Les bons réflexes

Ne communiquez jamais vos identifiants ou codes de sécurité par téléphone. En cas de doute, raccrochez et contactez l'organisme concerné via ses coordonnées officielles. Concrètement :

1. Raccrochez. Mettre fin à l'appel n'a rien d'impoli. Un interlocuteur légitime comprendra votre prudence.
2. Ne rappelez pas le numéro qui vous a contacté. Il peut être usurpé ou renvoyer vers le fraudeur.
3. Vérifiez via un canal officiel : le numéro au dos de votre carte bancaire, votre application ou votre site officiel, l'annuaire interne de votre entreprise.
4. Ne validez rien sous pression : aucun virement, aucune opération dans votre application bancaire, aucune installation de logiciel à la demande d'un appelant.
5. Prévenez votre entourage professionnel : signalez la tentative à votre service informatique ou à votre RSSI. Une même campagne cible souvent plusieurs collaborateurs.

En entreprise

Le vishing vise de plus en plus les organisations, notamment à travers la fraude au président ou au faux fournisseur. Quelques mesures simples réduisent fortement le risque :

• instaurer une procédure de double validation pour tout virement ou changement de coordonnées bancaires ;
• définir un canal de contre-appel systématique pour les demandes inhabituelles ;
• rappeler que le support informatique ne demande jamais de mot de passe ;
• sensibiliser régulièrement les équipes, en particulier les fonctions finance, comptabilité, RH et accueil.

4. Les recours possibles

Si vous pensez avoir été l'objet d'une fraude, sans attendre, faites opposition sur vos moyens de paiement, contestez les opérations concernées et conservez toutes les preuves pour démontrer votre bonne foi.

Faire opposition immédiatement

Contactez votre banque par ses canaux officiels ou faites opposition directement depuis votre application. Plus vous agissez vite, plus vous limitez les pertes.

Contester officiellement les opérations

Signalez par écrit à votre banque les opérations que vous n'avez pas autorisées. La réglementation vous laisse jusqu'à 13 mois après la date de débit pour contester une opération non autorisée, mais il est vivement recommandé de le faire dès que vous constatez la fraude.

Conserver toutes les preuves

Captures d'écran, historique d'appels, SMS, e-mails, relevés de compte : ces éléments seront utiles pour votre banque et, le cas échéant, pour un dépôt de plainte.

Vous pouvez également trouver de l'aide et des conseils sur cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes.

En résumé

Conclusion

Un simple appel peut cacher une attaque sophistiquée. Restez vigilant, prenez le temps de vérifier et adoptez les bons réflexes.

Ensemble, faisons du Cybermois un mois plus sûr pour tous. #CyberEngagés

La vidéo WLF : le vishing en situation

Pour finir, voici une courte vidéo WLF qui met en scène un appel de vishing : le ton employé, les arguments avancés, la pression exercée. Reconnaître le scénario, c'est déjà s'en protéger.

N'hésitez pas à la partager autour de vous, auprès de vos collègues comme de vos proches.

Pour aller plus loin

• cybermalveillance.gouv.fr - assistance aux victimes de cybermalveillance