Usurpation de numéro de téléphone : le spoofing expliqué

Le spoofing téléphonique : l'arme invisible des escrocs

Votre téléphone sonne. L'écran affiche le numéro de votre banque -- celui que vous avez enregistré dans vos contacts. Vous décrochez en toute confiance. Pourtant, la personne à l'autre bout du fil n'est pas votre conseiller bancaire. C'est un escroc qui a usurpé le numéro. Cette technique s'appelle le "spoofing" téléphonique et elle rend les arnaques par téléphone redoutablement efficaces.

Le spoofing détruit le dernier rempart de confiance des utilisateurs : l'identification de l'appelant. Quand le numéro affiché sur votre écran peut être n'importe lequel, comment faire confiance à un appel ?

Comment fonctionne le spoofing

Le principe technique

Le spoofing exploite une faille dans le fonctionnement des réseaux téléphoniques. Quand un appel est émis, le numéro d'appelant affiché (le "Caller ID") est une information fournie par l'appelant lui-même. Les réseaux téléphoniques historiques n'ont pas été conçus pour vérifier l'authenticité de cette information.

Concrètement, les escrocs utilisent des services de téléphonie sur internet (VoIP) qui permettent de configurer librement le numéro affiché. Il suffit de quelques clics pour qu'un appel provenant d'un serveur situé n'importe où dans le monde affiche le numéro de votre banque, de votre préfecture ou de n'importe quel organisme.

Les outils utilisés par les escrocs

| Outil | Principe | Difficulté d'accès | |-------|----------|-------------------| | Services VoIP | Configuration du Caller ID | Très facile, légal | | SIP trunks | Protocole téléphonique modifiable | Facile, usage professionnel | | Passerelles GSM | Émission depuis des cartes SIM locales | Moyen, matériel nécessaire | | Logiciels spécialisés | Automatisation des appels et spoofing | Facile, disponible en ligne |

Ce que l'escroc peut faire

• Afficher le numéro exact de votre banque : votre téléphone affiche le nom enregistré dans vos contacts
• Afficher un numéro local : pour paraître géographiquement proche de vous
• Afficher un numéro court : comme ceux utilisés par les administrations
• Afficher un numéro masqué : en prétendant appeler d'un "service sécurisé"
• Intégrer le faux SMS dans la conversation : le spoofing fonctionne aussi pour les SMS, le faux message apparaît dans le fil de discussion des vrais messages

Les scénarios d'arnaque basés sur le spoofing

Scénario 1 : Le faux conseiller bancaire

L'escroc affiche le numéro du service client de votre banque. Votre téléphone indique "Crédit Agricole" ou "BNP Paribas" car vous avez enregistré ce numéro. L'escroc se présente comme un agent du service fraude et vous alerte d'une opération suspecte. La confiance est immmédiate car le numéro correspond.

Pourquoi c'est particulièrement dangereux :

• Le numéro s'affiche dans votre historique d'appels comme un vrai appel de votre banque
• Sur certains téléphones, le faux SMS peut apparaître dans le même fil que les vrais messages de votre banque
• La victime n'a aucun moyen technique simple de distinguer le vrai du faux

Scénario 2 : Le faux agent des impôts

L'escroc affiche le numéro des services fiscaux ou un numéro en 01 (Paris) pour paraître officiel. Il vous informe d'un remboursement ou d'une régularisation nécessaire et vous demande vos coordonnées bancaires pour "procéder au virement".

Scénario 3 : Le faux livreur

L'escroc affiche un numéro local ou celui d'un transporteur. Il vous informe d'un colis en attente et vous demande des frais de livraison ou vos coordonnées pour "reprogrammer". Ce scénario est souvent précédé d'un faux SMS de livraison.

Scénario 4 : L'arnaque sentimentale ou familiale

Variante plus rare mais percutante : l'escroc affiche le numéro d'un proche (récupéré sur les réseaux sociaux) et prétend appeler depuis le téléphone de cette personne. "C'est l'hôpital, votre fils a eu un accident, nous avons besoin de..."

Pourquoi le spoofing est difficile à combattre

Le réseau téléphonique mondial repose sur des protocoles conçus dans les années 1970-1980 qui n'ont pas été prévus pour vérifier l'identité de l'appelant. Le Caller ID est une simple information déclarative, pas un mécanisme d'authentification. De plus, les appels de spoofing proviennent souvent de serveurs à l'étranger, ce qui rend la coopération entre opérateurs et forces de l'ordre complexe. Enfin, modifier le numéro d'appelant n'est pas illégal en soi : des entreprises le font légitimement au quotidien. Seul l'usage frauduleux est sanctionné.

Les protections existantes et en cours de déploiement

Le mécanisme d'authentification des numéros (MAN)

La France déploie progressivement le MAN, un système basé sur les protocoles STIR/SHAKEN. Ce mécanisme permet de vérifier que le numéro affiché correspond bien à l'opérateur qui émet l'appel. L'opérateur d'origine signe numériquement l'appel et l'opérateur de destination vérifie la signature. Si la vérification échoue, l'appel est marqué comme potentiellement usurpé.

Les filtres et applications

Les opérateurs français (Orange, SFR, Bouygues, Free) déploient des solutions de filtrage des appels suspects. En complément, des applications comme Truecaller ou Orange Telephone utilisent des bases communautaires pour signaler les numéros frauduleux. Ces outils réduisent le risque mais ne l'éliminent pas.

Comment se protéger du spoofing

Les réflexes essentiels

1. Ne faites jamais confiance au numéro affiché : considérez que tout numéro peut être usurpé
2. Raccrochez et rappelez : si quelqu'un prétend appeler de votre banque, raccrochez et composez le numéro officiel vous-même
3. Attendez avant de rappeler : certains escrocs maintiennent la ligne ouverte pendant quelques minutes. Attendez au moins 5 minutes ou utilisez un autre téléphone
4. Ne donnez jamais d'informations sensibles : même si le numéro semble légitime, ne communiquez jamais de codes, mots de passe ou informations bancaires par téléphone
5. Utilisez un autre canal de vérification : en cas de doute, rendez-vous en agence ou connectez-vous à votre espace en ligne

Les mesures techniques

• Activez le filtrage d'appels de votre opérateur
• Installez une application de détection de numéros frauduleux
• Ne rappelez pas les numéros inconnus qui vous ont appelé
• Inscrivez-vous sur Bloctel pour limiter le démarchage téléphonique
• Mettez à jour votre téléphone : les versions récentes d'Android et iOS intègrent des protections anti-spoofing

Protéger les personnes vulnérables

| Action | Détail | |--------|--------| | Sensibiliser | Expliquer que le numéro affiché peut être faux | | Simplifier | Créer une règle simple : "Ne donne jamais rien par téléphone" | | Soutenir | Être disponible pour vérifier en cas de doute | | Équiper | Installer une application de filtrage sur leur téléphone | | Répertoire | Coller près du téléphone les vrais numéros à appeler |

Les SMS spoofés : un danger méconnu

Le spoofing ne se limite pas aux appels. Les SMS peuvent également être envoyés avec un faux expéditeur. C'est d'autant plus dangereux que le faux SMS s'intègre dans la conversation existante.

Exemple concret : Vous avez déjà reçu de vrais SMS de votre banque (codes de validation). Un escroc envoie un faux SMS avec le même identifiant d'expéditeur. Votre téléphone affiche le faux SMS dans le même fil de conversation que les vrais. Il devient presque impossible de distinguer le faux du vrai.

Comment détecter un SMS spoofé

• Le SMS contient un lien cliquable (les vrais SMS bancaires n'en contiennent pas)
• Le SMS demande une action urgente
• Le SMS demande des informations personnelles ou bancaires
• Le ton du message est différent des SMS habituels de cet expéditeur

Le cadre légal en France

Les sanctions prévues

L'usurpation d'identité par voie de communication électronique est punie par l'article 226-4-1 du Code pénal : jusqu'à 1 an d'emprisonnement et 15 000 euros d'amende. Quand cette usurpation est utilisée pour commettre une escroquerie, les peines sont alourdies.

Les obligations des opérateurs

La loi Naegelen de 2020 impose aux opérateurs téléphoniques de mettre en place des mécanismes de vérification des numéros et de bloquer les appels dont le numéro est manifestement usurpé. Le déploiement est progressif et la mise en conformité se poursuit.

Signaler le spoofing

• 33700 : pour signaler un SMS ou appel frauduleux
• signal-spam.fr : signalement en ligne
• cybermalveillance.gouv.fr : assistance et signalement
• Pré-plainte en ligne : si vous êtes victime d'une arnaque

Que faire si vous êtes victime

Vous avez fait confiance à un appel spoofé et communiqué des informations

1. Identifiez les informations communiquées : codes bancaires, mots de passe, données personnelles
2. Contactez votre banque immédiatement si des données bancaires sont concernées
3. Changez tous les mots de passe potentiellement compromis depuis un appareil sûr
4. Déposez plainte au commissariat en précisant que le numéro était usurpé
5. Signalez l'arnaque sur cybermalveillance.gouv.fr

Vous avez effectué un virement suite à un appel spoofé

1. Appelez votre banque en urgence pour demander un rappel de fonds
2. Le temps est critique : agissez dans l'heure si possible
3. Déposez plainte immédiatement
4. Contestez l'opération par écrit auprès de votre banque
5. Conservez l'historique d'appels et toute preuve de l'arnaque

Votre numéro est usurpé par des escrocs

Il arrive que les escrocs utilisent votre numéro comme faux expéditeur. Vous recevez alors des appels ou SMS de victimes qui pensent que vous les avez contactées.

1. Ne paniquez pas : vous n'êtes pas responsable de cette usurpation
2. Signalez la situation à votre opérateur
3. Déposez une main courante au commissariat
4. Prévenez votre entourage que votre numéro est usurpé
5. Patientez : les campagnes de spoofing changent régulièrement de numéro

En résumé

Le spoofing téléphonique est une réalité technique contre laquelle les protections se déploient progressivement. La seule protection fiable reste de ne jamais faire confiance au numéro affiché sur votre téléphone. Si quelqu'un prétend appeler de votre banque ou de tout autre organisme, raccrochez et rappelez le numéro officiel vous-même. Ce simple réflexe déjoue la quasi-totalité des tentatives de vishing basées sur le spoofing.