--- id: CP-008 slug: vishing-arnaque-telephonique-usurpation lang: fr title: Le vishing, l'arnaque par téléphone description: "Un faux support informatique ou un faux banquier vous appelle, l'écran affiche un numéro familier : comment reconnaître le vishing et réagir." canonical_url: https://startbrain.io/cyberpedia/fr/articles/vishing-arnaque-telephonique-usurpation/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/vishing-arnaque-telephonique-usurpation.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Le vishing, l'arnaque par téléphone », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/vishing-arnaque-telephonique-usurpation/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-019 schema: G1 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/vishing-arnaque-telephonique-usurpation/ en: https://startbrain.io/cyberpedia/en/articles/vishing-voice-phishing-call-spoofing/ de: https://startbrain.io/cyberpedia/de/articles/vishing-telefonbetrug-anrufer-taeuschung/ es: https://startbrain.io/cyberpedia/es/articles/vishing-estafa-telefonica-suplantacion/ sources: - "n": 1 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: "Phishing for Information: Spearphishing Voice, Sub-technique T1598.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/004/ accessed: "2026-11-03" - "n": 3 title: "Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/004/ accessed: "2026-11-03" - "n": 4 title: Scattered Spider | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a published: "2023-11-16" accessed: "2026-11-03" - "n": 5 title: Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G1015/ accessed: "2026-11-03" - "n": 6 title: Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction | Microsoft Security Blog publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ published: "2023-10-25" accessed: "2026-11-03" - "n": 7 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" - "n": 8 title: Remote Access Tools, Technique T1219 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1219/ accessed: "2026-11-03" --- # Le vishing, l'arnaque par téléphone Le vishing (voice phishing) est de l'hameçonnage par la voix. L'attaquant téléphone en se présentant comme une personne de confiance pour obtenir une information ou un geste de la victime. La CISA le décrit comme l'approche d'ingénierie sociale qui s'appuie sur la communication vocale [1]. Pour un salarié, le scénario type est un appel de quelqu'un qui se fait passer pour le personnel informatique légitime [3]. ## En 30 secondes - Où ça arrive : au téléphone, parfois avec un SMS en même temps, chez les salariés comme au support informatique [4]. - Ce que veut l'attaquant : un mot de passe, un code d'authentification, ou l'installation d'un outil qui lui donne la main sur l'ordinateur [3][4]. - Le réflexe : vérifier l'identité de l'appelant auprès de l'organisation qu'il prétend représenter [1]. - Si c'est déjà fait : prévenir tout de suite les responsables de l'organisation, dont les administrateurs réseau, et changer les mots de passe révélés [1]. ## Questions directes ### Le numéro affiché à l'écran prouve-t-il qui appelle ? Non. Les fraudeurs peuvent falsifier leur numéro tout en se faisant passer pour une entité de confiance, comme un partenaire commercial ou le support technique [2]. La CISA précise que la téléphonie par Internet (VoIP) permet de falsifier facilement l'identité de l'appelant, et que cela exploite une confiance mal placée dans la sécurité des services téléphoniques [1]. ### Qui l'attaquant imite-t-il ? Les sources citées ici mentionnent un partenaire commercial, un membre du support technique [2], du personnel informatique légitime [3] et, dans certains cas, un salarié qui appelle le support à la place du vrai titulaire du compte [4]. Microsoft décrit aussi des attaquants qui se font passer pour des employés nouvellement embauchés [6]. ### Que cherche-t-il à obtenir ? Selon MITRE, il peut pousser la victime à ouvrir une adresse malveillante, à télécharger un logiciel malveillant ou à installer des outils de gestion à distance que l'attaquant pourra utiliser [3]. Il peut aussi chercher à récupérer des identifiants d'authentification multifacteur, ou à faire accepter des demandes d'authentification [3]. Un des groupes décrits par la CISA a convaincu des employés de lui donner leur mot de passe à usage unique (OTP), un code d'authentification [4]. ### Faut-il se méfier des appels que l'on reçoit après un message ? Oui. Un message de hameçonnage peut demander de rappeler un numéro : MITRE parle de « callback phishing » et indique que l'attaquant tente alors de recueillir des informations confidentielles [2]. ### Que faire face à un appel suspect ? La CISA conseille de se méfier des appels non sollicités de personnes qui posent des questions sur les employés ou sur des informations internes, et de vérifier l'identité de l'appelant directement auprès de l'organisation qu'il prétend représenter [1]. Elle ajoute de ne pas donner d'information personnelle ou sur l'organisation, sauf certitude que la personne a le droit de l'obtenir [1]. ## Dans la peau de l'attaquant Il commence par se renseigner. Dans l'avis de la CISA sur le groupe Scattered Spider, l'attaquant cherche d'abord sur des sites professionnels le rôle de la personne visée dans l'entreprise [4]. Il collecte ensuite noms d'utilisateur, mots de passe et données personnelles [4]. Ses appels, souvent plusieurs d'affilée, servent d'abord à apprendre la procédure de réinitialisation de mot de passe, puis à réunir les informations propres à l'employé visé [4]. Ces appels s'appuient sur des données personnelles venues des réseaux sociaux, de sources ouvertes, d'outils de renseignement commerciaux et de fuites de bases de données [4]. Microsoft décrit la même méthode : l'acteur étudie l'organisation, imite le ton et le vocabulaire de la personne usurpée, et connaît assez d'informations personnelles pour convaincre un administrateur de réinitialiser un mot de passe ou une méthode d'authentification [6]. Cet acteur vise couramment les administrateurs techniques, comme le personnel du support et du help desk [6]. L'attaquant n'a pas besoin de faire l'appel lui-même. Selon MITRE, les appels peuvent être menés par l'attaquant, par des centres d'appels engagés pour l'occasion, ou automatisés par des appels préenregistrés [2]. Dans de rares cas, Microsoft a vu des attaquants recourir à l'intimidation, avec adresse personnelle, noms de proches et menaces physiques [6]. ## Ce que vous voyez à l'écran Vous voyez un numéro qui semble connu, ou un nom que vous croyez reconnaître. L'urgence ou l'alarme fait partie du scénario : MITRE note que l'attaquant se présente comme une source de confiance et crée un sentiment d'urgence [3]. Ce qui suit varie. Un interlocuteur peut vous demander un code d'authentification à usage unique (OTP) [4]. Il peut aussi vous demander de valider une notification d'authentification sur votre téléphone : la CISA décrit des notifications répétées jusqu'à ce que l'employé appuie sur « Accepter » (fatigue MFA) [4]. D'autres fois, il vous guide vers un faux portail de connexion ou vous demande de lancer un outil de prise en main à distance [5][4]. Le SMS peut contenir un lien vers un faux portail qui imite l'authentification de l'entreprise [6]. ## Sous le capot Les outils de prise en main à distance sont des logiciels légitimes. Microsoft note que des outils d'administration à distance, détournés par l'acteur qu'elle décrit, ont des usages normaux et que leur emploi doit être surveillé dans l'environnement [6]. MITRE cite des exemples tels qu'AnyDesk [8]. MITRE précise que ces outils peuvent être installés puis utilisés après une compromission pour établir une session de bureau à distance interactive [8]. Autre mécanisme : le détournement du numéro lui-même. La CISA rapporte que Scattered Spider a convaincu des opérateurs de téléphonie de transférer le numéro d'un utilisateur vers une carte SIM en sa possession (SIM swap), ce qui donne le contrôle du téléphone et des demandes d'authentification [4]. Microsoft décrit aussi la mise en place d'un renvoi d'appels sur le numéro d'un employé, suivie d'une réinitialisation du mot de passe en libre-service [6]. Côté défense, MITRE propose de surveiller les journaux d'appels des appareils professionnels et de les rapprocher d'événements qui suivent l'appel, comme l'installation d'un outil de gestion à distance [3]. La CISA demande une authentification multifacteur résistante à l'hameçonnage pour tous les services dans la mesure du possible, et de poursuivre la formation contre le vishing [4]. ## Autopsies ### Scattered Spider, de juin à décembre 2022 MITRE rattache à la campagne C0027, de juin à décembre 2022, des appels et des SMS où l'attaquant se faisait passer pour le personnel informatique [5]. Les victimes étaient dirigées vers un site de collecte d'identifiants ou poussées à lancer des outils commerciaux de gestion à distance [5]. Une fois dedans, le groupe a cherché dans les espaces documentaires des victimes les consignes du support et les guides d'inscription au VPN et à l'authentification multifacteur [5]. ### Octo Tempest, 2022 et 2023 Microsoft décrit dans son billet du 25 octobre 2023 un groupe vu au début de 2022, qui visait d'abord des opérateurs de téléphonie mobile et des sociétés d'externalisation pour déclencher des transferts de numéro [6]. En 2022, il revendait des SIM swaps à d'autres criminels et prenait le contrôle de comptes de personnes fortunées pour voler leurs cryptomonnaies [6]. Microsoft note qu'il appelait aussi le support d'une organisation pour faire réinitialiser un mot de passe ou ajouter un facteur d'authentification [6]. ### Mise à jour de l'avis de la CISA, juillet 2025 L'avis AA23-320A, publié le 16 novembre 2023, a été mis à jour le 29 juillet 2025 avec des techniques d'ingénierie sociale plus élaborées [4]. L'une d'elles consiste à se faire passer pour un employé afin d'obtenir du support des informations sensibles, une réinitialisation de mot de passe et le transfert de l'authentification multifacteur vers un appareil contrôlé par l'attaquant [4]. ## Ce que vous faites Vérifiez l'identité de l'appelant directement auprès de l'organisation qu'il prétend représenter [1]. Pour une demande reçue par courriel, la CISA recommande de ne pas utiliser les coordonnées d'un site lié à la demande, mais de chercher celles de communications antérieures [1]. Le NCSC conseille de vérifier une demande importante reçue par courriel par un second moyen de communication, comme un appel ou une confirmation en personne [7]. La CISA décrit un groupe qui a obtenu des mots de passe à usage unique auprès d'employés [4]. Si vous avez déjà cédé, signalez-le sans attendre aux responsables de l'organisation : ils pourront surveiller les activités inhabituelles [1]. ## Sources 1. CISA, « Avoiding Social Engineering and Phishing Attacks | CISA », 1 février 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consulté le 3 novembre 2026) 2. MITRE ATT&CK, « Phishing for Information: Spearphishing Voice, Sub-technique T1598.004 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1598/004/ (consulté le 3 novembre 2026) 3. MITRE ATT&CK, « Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1566/004/ (consulté le 3 novembre 2026) 4. CISA, « Scattered Spider | CISA », 16 novembre 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (consulté le 3 novembre 2026) 5. MITRE ATT&CK, « Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK® ». https://attack.mitre.org/groups/G1015/ (consulté le 3 novembre 2026) 6. Microsoft, « Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction | Microsoft Security Blog », 25 octobre 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (consulté le 3 novembre 2026) 7. NCSC (Royaume-Uni), « Phishing attacks: defending your organisation », 5 février 2018. https://www.ncsc.gov.uk/guidance/phishing (consulté le 3 novembre 2026) 8. MITRE ATT&CK, « Remote Access Tools, Technique T1219 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1219/ (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/vishing-arnaque-telephonique-usurpation/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.