Vishing : déjouer la fraude téléphonique qui explose en fin d'année

Le vishing (contraction de voice et phishing) est en hausse constante. Quelques chiffres récents :

• +47 % de signalements de fraudes téléphoniques aux entreprises sur cybermalveillance.gouv.fr en 2024.
• Pic de novembre à février : clôtures comptables, factures de fin d'année, mises en conformité annuelles… le terrain idéal.
• L'IA permet désormais de cloner une voix en quelques secondes : le faux DG qui appelle la compta n'a jamais été aussi convaincant.
• 1 PME sur 3 reconnaît avoir reçu au moins un appel frauduleux en 2024.

Les escrocs maîtrisent les ressorts psychologiques :

• L'autorité : « Service juridique de la CNIL », « Trésor Public », « URSSAF », « Microsoft sécurité »…
• L'urgence : « Vous avez 24h sinon amende de 15 000 € ».
• Le jargon : RGPD, article L.123-X, NIS2, ANSSI, ISO 27001… des termes vrais utilisés à mauvais escient.
• L'information piochée : nom du dirigeant trouvé sur Societe.com, n° SIRET, banque connue. Tout est vrai — sauf l'intention.
• Le rappel sortant : « Je vous laisse vérifier, rappelez-moi au 09… » → numéro contrôlé par les escrocs.

Ce n'est pas un défaut d'intelligence qui fait tomber — c'est la conjonction pression + crédibilité + manque de procédure.

1. « Mise en conformité RGPD obligatoire » facturée 600 à 3 000 €. La CNIL ne facture jamais rien par téléphone.
2. « Faux support Microsoft / Orange Pro » qui demande à installer un logiciel de prise en main à distance (AnyDesk, TeamViewer).
3. « Faux conseiller bancaire » qui prétend bloquer une fraude et demande de valider une opération sur l'app bancaire (en réalité un virement vers le fraudeur).
4. Fraude au président par téléphone : « C'est ton DG, il faut faire un virement urgent et confidentiel pour boucler une acquisition. »
5. « Faux fournisseur changeant son RIB » par téléphone, juste avant l'échéance d'une grosse facture.
6. « Renouvellement annuaire / registre obligatoire » (annuaire pro, registre des sociétés…) : aucun n'existe officiellement comme payant.

• Garder le contrôle du temps : « Je vous rappelle dans 10 minutes ». Un vrai service officiel l'accepte toujours. Un escroc panique.
• Ne jamais rappeler le numéro donné par l'interlocuteur — rappeler le numéro officiel (site CNIL, site banque, fiche fournisseur connue).
• Ne jamais valider d'opération bancaire sur demande téléphonique — aucune banque ne demande ça.
• Ne jamais installer un logiciel de prise en main à distance à la demande d'un appel entrant.
• Stopper si on sent monter la pression — l'urgence est un signal d'arnaque, presque toujours.

La règle « stop & call » :

1. STOP : couper poliment, raccrocher, sortir de la pression.
2. CALL : rappeler la personne (ou l'organisme) au numéro connu — celui dans le contrat fournisseur, sur la facture précédente, sur le site officiel.
3. Vérifier la demande : changement de RIB, virement urgent, donnée RGPD ? Confirmation orale par un canal officiel.
4. Tracer l'appel : date, heure, n° appelant, identité prétendue. Utile en cas de plainte.

Cette procédure neutralise plus de 95 % des fraudes téléphoniques, y compris celles boostées par l'IA et le clonage vocal.

• En interne : prévenir la direction, l'équipe IT et le service comptable (souvent visés en parallèle).
• Sa banque : si un virement a été lancé, contacter le service fraude immédiatement (les premières heures sont décisives).
• cybermalveillance.gouv.fr : signaler la tentative (même sans victime).
• thesee.interieur.gouv.fr : déposer plainte en ligne pour les escroqueries numériques.
• 33700 : signaler les SMS et appels frauduleux.
• CNIL : signaler une usurpation d'identité d'un service officiel.

AnThéa forme vos équipes les plus exposées au vishing (standard, accueil, comptabilité, direction), met en place une procédure « stop & call » écrite et affichée, et accompagne vos équipes en cas d'incident avéré. Notre approche : pédagogique, sans culpabilisation, avec des cas concrets vécus en PME des Hautes-Pyrénées.

Pour aller plus loin : notre offre Cybersécurité, notre article sur l' humain comme 1ʳᵉ ligne de défense et celui sur les attaques IA & deepfakes.

Et toi, as-tu déjà reçu un appel suspect ? En parler, c'est déjà se protéger — et protéger les autres.