Cyberpediapar Brain
FRDEEN

Le vishing, l'arnaque par téléphone

Un faux support informatique ou un faux banquier vous appelle, l'écran affiche un numéro familier : comment reconnaître le vishing et réagir.

En 30 secondes

Où ça arrive
Au téléphone, parfois avec un SMS en même temps, chez les salariés comme au support informatique4.
Ce que veut l'attaquant
Un mot de passe, un code d'authentification, ou l'installation d'un outil qui lui donne la main sur l'ordinateur34.
Le réflexe
Vérifier l'identité de l'appelant auprès de l'organisation qu'il prétend représenter1.
Si c'est déjà fait
Prévenir tout de suite les responsables de l'organisation, dont les administrateurs réseau, et changer les mots de passe révélés1.

De quoi parle-t-on

Le vishing (voice phishing) est de l'hameçonnage par la voix. L'attaquant téléphone en se présentant comme une personne de confiance pour obtenir une information ou un geste de la victime. La CISA le décrit comme l'approche d'ingénierie sociale qui s'appuie sur la communication vocale1.

Pour un salarié, le scénario type est un appel de quelqu'un qui se fait passer pour le personnel informatique légitime3.

Questions directes

Le numéro affiché à l'écran prouve-t-il qui appelle ?

Non. Les fraudeurs peuvent falsifier leur numéro tout en se faisant passer pour une entité de confiance, comme un partenaire commercial ou le support technique2. La CISA précise que la téléphonie par Internet (VoIP) permet de falsifier facilement l'identité de l'appelant, et que cela exploite une confiance mal placée dans la sécurité des services téléphoniques1.

Qui l'attaquant imite-t-il ?

Les sources citées ici mentionnent un partenaire commercial, un membre du support technique2, du personnel informatique légitime3 et, dans certains cas, un salarié qui appelle le support à la place du vrai titulaire du compte4. Microsoft décrit aussi des attaquants qui se font passer pour des employés nouvellement embauchés6.

Que cherche-t-il à obtenir ?

Selon MITRE, il peut pousser la victime à ouvrir une adresse malveillante, à télécharger un logiciel malveillant ou à installer des outils de gestion à distance que l'attaquant pourra utiliser3. Il peut aussi chercher à récupérer des identifiants d'authentification multifacteur, ou à faire accepter des demandes d'authentification3. Un des groupes décrits par la CISA a convaincu des employés de lui donner leur mot de passe à usage unique (OTP), un code d'authentification4.

Faut-il se méfier des appels que l'on reçoit après un message ?

Oui. Un message de hameçonnage peut demander de rappeler un numéro : MITRE parle de « callback phishing » et indique que l'attaquant tente alors de recueillir des informations confidentielles2.

Que faire face à un appel suspect ?

La CISA conseille de se méfier des appels non sollicités de personnes qui posent des questions sur les employés ou sur des informations internes, et de vérifier l'identité de l'appelant directement auprès de l'organisation qu'il prétend représenter1. Elle ajoute de ne pas donner d'information personnelle ou sur l'organisation, sauf certitude que la personne a le droit de l'obtenir1.

1Dans la peau de l'attaquant1 min

Il commence par se renseigner. Dans l'avis de la CISA sur le groupe Scattered Spider, l'attaquant cherche d'abord sur des sites professionnels le rôle de la personne visée dans l'entreprise4. Il collecte ensuite noms d'utilisateur, mots de passe et données personnelles4. Ses appels, souvent plusieurs d'affilée, servent d'abord à apprendre la procédure de réinitialisation de mot de passe, puis à réunir les informations propres à l'employé visé4. Ces appels s'appuient sur des données personnelles venues des réseaux sociaux, de sources ouvertes, d'outils de renseignement commerciaux et de fuites de bases de données4.

Microsoft décrit la même méthode : l'acteur étudie l'organisation, imite le ton et le vocabulaire de la personne usurpée, et connaît assez d'informations personnelles pour convaincre un administrateur de réinitialiser un mot de passe ou une méthode d'authentification6. Cet acteur vise couramment les administrateurs techniques, comme le personnel du support et du help desk6.

L'attaquant n'a pas besoin de faire l'appel lui-même. Selon MITRE, les appels peuvent être menés par l'attaquant, par des centres d'appels engagés pour l'occasion, ou automatisés par des appels préenregistrés2. Dans de rares cas, Microsoft a vu des attaquants recourir à l'intimidation, avec adresse personnelle, noms de proches et menaces physiques6.

2Ce que vous voyez à l'écran1 min

Vous voyez un numéro qui semble connu, ou un nom que vous croyez reconnaître. L'urgence ou l'alarme fait partie du scénario : MITRE note que l'attaquant se présente comme une source de confiance et crée un sentiment d'urgence3.

Ce qui suit varie. Un interlocuteur peut vous demander un code d'authentification à usage unique (OTP)4. Il peut aussi vous demander de valider une notification d'authentification sur votre téléphone : la CISA décrit des notifications répétées jusqu'à ce que l'employé appuie sur « Accepter » (fatigue MFA)4. D'autres fois, il vous guide vers un faux portail de connexion ou vous demande de lancer un outil de prise en main à distance54. Le SMS peut contenir un lien vers un faux portail qui imite l'authentification de l'entreprise6.

3Sous le capotÉquipes IT1 min

Les outils de prise en main à distance sont des logiciels légitimes. Microsoft note que des outils d'administration à distance, détournés par l'acteur qu'elle décrit, ont des usages normaux et que leur emploi doit être surveillé dans l'environnement6. MITRE cite des exemples tels qu'AnyDesk8. MITRE précise que ces outils peuvent être installés puis utilisés après une compromission pour établir une session de bureau à distance interactive8.

Autre mécanisme : le détournement du numéro lui-même. La CISA rapporte que Scattered Spider a convaincu des opérateurs de téléphonie de transférer le numéro d'un utilisateur vers une carte SIM en sa possession (SIM swap), ce qui donne le contrôle du téléphone et des demandes d'authentification4. Microsoft décrit aussi la mise en place d'un renvoi d'appels sur le numéro d'un employé, suivie d'une réinitialisation du mot de passe en libre-service6.

Côté défense, MITRE propose de surveiller les journaux d'appels des appareils professionnels et de les rapprocher d'événements qui suivent l'appel, comme l'installation d'un outil de gestion à distance3. La CISA demande une authentification multifacteur résistante à l'hameçonnage pour tous les services dans la mesure du possible, et de poursuivre la formation contre le vishing4.

4AutopsiesCas réels2 min

Scattered Spider, de juin à décembre 2022

MITRE rattache à la campagne C0027, de juin à décembre 2022, des appels et des SMS où l'attaquant se faisait passer pour le personnel informatique5. Les victimes étaient dirigées vers un site de collecte d'identifiants ou poussées à lancer des outils commerciaux de gestion à distance5. Une fois dedans, le groupe a cherché dans les espaces documentaires des victimes les consignes du support et les guides d'inscription au VPN et à l'authentification multifacteur5.

Octo Tempest, 2022 et 2023

Microsoft décrit dans son billet du 25 octobre 2023 un groupe vu au début de 2022, qui visait d'abord des opérateurs de téléphonie mobile et des sociétés d'externalisation pour déclencher des transferts de numéro6. En 2022, il revendait des SIM swaps à d'autres criminels et prenait le contrôle de comptes de personnes fortunées pour voler leurs cryptomonnaies6. Microsoft note qu'il appelait aussi le support d'une organisation pour faire réinitialiser un mot de passe ou ajouter un facteur d'authentification6.

Mise à jour de l'avis de la CISA, juillet 2025

L'avis AA23-320A, publié le 16 novembre 2023, a été mis à jour le 29 juillet 2025 avec des techniques d'ingénierie sociale plus élaborées4. L'une d'elles consiste à se faire passer pour un employé afin d'obtenir du support des informations sensibles, une réinitialisation de mot de passe et le transfert de l'authentification multifacteur vers un appareil contrôlé par l'attaquant4.

5Ce que vous faites1 min

Vérifiez l'identité de l'appelant directement auprès de l'organisation qu'il prétend représenter1. Pour une demande reçue par courriel, la CISA recommande de ne pas utiliser les coordonnées d'un site lié à la demande, mais de chercher celles de communications antérieures1. Le NCSC conseille de vérifier une demande importante reçue par courriel par un second moyen de communication, comme un appel ou une confirmation en personne7.

La CISA décrit un groupe qui a obtenu des mots de passe à usage unique auprès d'employés4. Si vous avez déjà cédé, signalez-le sans attendre aux responsables de l'organisation : ils pourront surveiller les activités inhabituelles1.

Fiche

Identifiant
CP-008
Aile
1. Attaques et techniques
Compétence Brain
Détecter le phishing (detect_phishing)
Réflexe Brain
cr-019
Schéma
G1 · Chaîne d'attaque (Kill Chain)
Langues
de, en, fr
Sources
8 sources vérifiées le 3 novembre 2026
Sources8 sources
  1. CISA, « Avoiding Social Engineering and Phishing Attacks | CISA », 1 février 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consulté le 3 novembre 2026)
  2. MITRE ATT&CK, « Phishing for Information: Spearphishing Voice, Sub-technique T1598.004 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1598/004/ (consulté le 3 novembre 2026)
  3. MITRE ATT&CK, « Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1566/004/ (consulté le 3 novembre 2026)
  4. CISA, « Scattered Spider | CISA », 16 novembre 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (consulté le 3 novembre 2026)
  5. MITRE ATT&CK, « Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK® ». https://attack.mitre.org/groups/G1015/ (consulté le 3 novembre 2026)
  6. Microsoft, « Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction | Microsoft Security Blog », 25 octobre 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (consulté le 3 novembre 2026)
  7. NCSC (Royaume-Uni), « Phishing attacks: defending your organisation », 5 février 2018. https://www.ncsc.gov.uk/guidance/phishing (consulté le 3 novembre 2026)
  8. MITRE ATT&CK, « Remote Access Tools, Technique T1219 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1219/ (consulté le 3 novembre 2026)

Citer cet article

Brain, « Le vishing, l'arnaque par téléphone », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/vishing-arnaque-telephonique-usurpation/

BibTeX 
@misc{brain_cp008_fr_2026,
  author = {Brain},
  title = {Le vishing, l'arnaque par téléphone},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/vishing-arnaque-telephonique-usurpation/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0