Spoofing téléphonique : comprendre l'usurpation de numéro

Vous décrochez, le numéro affiché est celui de votre banque, et pourtant la personne au bout du fil est un escroc. Ce tour de passe-passe porte un nom : le spoofing téléphonique. Il consiste à falsifier artificiellement le numéro qui s’affiche à l’écran, sans qu’aucune faille ne soit exploitée sur votre propre téléphone.

Le spoofing téléphonique désigne la falsification du numéro affiché lors d’un appel, réalisée par l’appelant pour se faire passer pour un tiers de confiance. Cette technique s’appuie sur des failles connues des réseaux téléphoniques, pas sur un piratage de votre ligne personnelle. Elle sert d’appui à de nombreuses arnaques, notamment le faux conseiller bancaire.

Le terme anglais « caller ID spoofing » désigne exactement le même procédé : la manipulation de l’identifiant d’appelant transmis à votre téléphone. Il s’agit d’une forme particulière d’usurpation d’identité, où seul le numéro est falsifié, sans que l’escroc n’ait besoin d’accéder à votre ligne ni à celle de la personne ou de l’organisme imité.

Comment les escrocs falsifient un numéro affiché

Falsifier un numéro affiché ne demande pas de compétences techniques avancées. Plusieurs canaux, aux vulnérabilités distinctes, rendent cette manipulation possible depuis des années. À ne pas confondre avec le ping call, qui ne cherche pas à usurper un numéro de confiance mais à vous faire rappeler un numéro surtaxé après une seule sonnerie.

La téléphonie VoIP et les failles du protocole SIP

La plupart des cas de spoofing téléphonique passent par la voix sur IP (VoIP). Le protocole SIP, qui gère l’établissement des communications en ligne, contient un champ « From » destiné à identifier l’appelant. Ce champ peut être modifié avant l’envoi de l’appel, y compris via des services en ligne accessibles au grand public, ce qui permet d’afficher n’importe quel numéro sur l’écran du destinataire.

Les limites historiques du réseau SS7

Le réseau de signalisation SS7, qui gère depuis des décennies le routage des appels entre opérateurs à travers le monde, n’a pas été conçu avec une authentification robuste. Des acteurs malveillants peuvent y injecter de fausses informations d’identification d’appelant sans déclencher d’alerte immédiate. Cette faiblesse historique explique pourquoi le problème persiste malgré les efforts récents de régulation.

Pourquoi le spoofing rend les arnaques plus crédibles

Un numéro affiché correspondant exactement à celui de sa banque désamorce instantanément la méfiance d’une victime. C’est précisément ce qui distingue une arnaque appuyée sur le spoofing téléphonique d’un simple appel suspect provenant d’un numéro inconnu.

Combiné à des informations personnelles obtenues lors d’une fuite de données antérieure, un numéro usurpé donne à l’escroc une crédibilité quasi totale dès les premières secondes de conversation. La victime croit parler à son conseiller habituel, alors qu’elle échange avec un inconnu qui construit son discours en temps réel pour la manipuler.

Ce scénario illustre un principe central de l’ingénierie sociale : la technique ne sert qu’à ouvrir la porte, la manipulation psychologique fait le reste. Un escroc combine généralement le numéro usurpé avec un prétexte urgent — une opération suspecte, un virement à valider, un remboursement en attente — pour empêcher toute vérification indépendante avant d’obtenir ce qu’il recherche.

Comment repérer un appel avec un numéro usurpé

Il n’existe malheureusement aucun signe visuel fiable permettant de détecter un numéro spoofé au moment de l’appel : l’affichage est identique à celui d’un appel légitime. Certains indices indirects doivent toutefois alerter.

• Une demande de code de sécurité, de mot de passe ou de validation d’opération bancaire, quel que soit le numéro affiché.
• Un sentiment d’urgence qui empêche toute vérification indépendante avant d’agir.
• Un appel qui survient à un moment inhabituel, alors qu’aucune démarche en cours ne le justifie.
• Une insistance à garder la ligne ouverte pendant que vous tentez de vérifier l’information par un autre moyen.

La seule parade réellement fiable reste comportementale : raccrocher et rappeler soi-même l’organisme concerné, via un numéro connu à l’avance et non celui qui vient de s’afficher.

Le cadre légal : la loi Naegelen et l’authentification des numéros

En France, la loi Naegelen du 24 juillet 2020 impose aux opérateurs télécoms d’authentifier les numéros appelants de leurs clients. Un opérateur qui ne parvient pas à vérifier l’origine d’un appel doit le bloquer avant qu’il n’atteigne le destinataire.

Le mécanisme d’authentification des numéros (MAN)

Les opérateurs français ont mis en œuvre cette obligation via un dispositif commun appelé mécanisme d’authentification des numéros, fondé sur les protocoles internationaux STIR/SHAKEN. Chaque opérateur télécoms dispose d’un certificat numérique délivré par l’APNF, l’organisme chargé de la gestion du plan de numérotation français, qui lui permet de signer les appels de ses clients. Cette signature est vérifiée à chaque étape de l’acheminement, jusqu’au destinataire final.

Le principe repose sur une chaîne de confiance entre opérateurs : chacun s’engage à ne transmettre que des appels dont il a authentifié la source, et à bloquer ceux qui ne peuvent pas l’être. Si un maillon de cette chaîne échoue à vérifier la signature numérique, l’appel n’atteint jamais son destinataire.

Le blocage des appels non authentifiés est effectif depuis le 1er octobre 2024 pour les numéros fixes, puis depuis janvier 2025 pour les numéros mobiles. Les obligations précises imposées aux opérateurs sont détaillées par l’Arcep, le régulateur français des télécommunications.

La nouvelle règle du numéro masqué depuis 2026

Depuis le 1er janvier 2026, une mesure supplémentaire cible spécifiquement les appels internationaux. Tout appel entrant émis depuis l’étranger et présentant un numéro mobile français non authentifié doit désormais s’afficher comme « numéro masqué ». Il ne peut plus apparaître sous ce faux numéro français.

Cette règle vise directement les campagnes de spoofing organisées depuis l’étranger, souvent plus difficiles à tracer que celles émises depuis le territoire national. Depuis le début de l’année 2025, la plateforme J’alerte l’Arcep a déjà reçu près de 18 000 à 19 000 signalements liés à l’usurpation de numéro, un chiffre qui illustre l’ampleur persistante du phénomène.

Le spoofing par SMS, une variante à connaître

Le smishing désigne l’application de la même logique de falsification aux SMS, par contraction de « SMS » et « phishing ». Un message frauduleux peut ainsi s’afficher dans le même fil de conversation qu’une banque ou qu’un opérateur légitime, à la place de leurs SMS habituels.

Cette variante s’appuie sur une particularité du SMS : de nombreux téléphones regroupent automatiquement les messages provenant d’un même identifiant dans une seule conversation, sans distinguer l’expéditeur réel de l’expéditeur usurpé. Le message frauduleux hérite ainsi de la confiance accordée aux échanges précédents. Trois signaux permettent généralement de le repérer :

• Un lien raccourci ou une adresse qui ne correspond pas au domaine officiel de l’organisme cité.
• Une demande de paiement urgent pour un colis, une amende ou une facture impayée.
• Un message inséré dans une conversation existante, mais dont le ton ou le contenu détonne avec les échanges habituels.

Comment se protéger et réagir face à un numéro usurpé

Aucune application ne peut garantir une détection fiable à 100 % d’un numéro spoofé, puisque l’affichage lui-même est trompé. Quelques réflexes limitent néanmoins fortement les risques.

• Ne communiquez jamais de code de sécurité, mot de passe ou coordonnées bancaires complètes par téléphone, quel que soit le numéro affiché.
• Raccrochez systématiquement en cas de doute, puis rappelez l’organisme via un numéro connu à l’avance.
• Ne changez pas de carte SIM ou de numéro par réflexe : cette mesure est rarement efficace, car votre ligne personnelle n’est jamais directement compromise.
• Signalez tout appel suspect à votre opérateur ainsi qu’au régulateur des télécommunications.

La plateforme J’alerte l’Arcep centralise justement ce type de signalement.

Notre page consacrée au hameçonnage vocal détaille les techniques de manipulation employées une fois l’appel décroché. Notre analyse des préfixes de démarchage téléphonique recense, elle, les indicatifs les plus souvent associés à des appels indésirables.

Vos droits en cas d’arnaque bancaire par spoofing

La jurisprudence récente protège fortement les victimes de ce type de fraude. Le 23 octobre 2024, la Cour de cassation a tranché un litige opposant un client à sa banque après une arnaque bancaire appuyée sur un numéro usurpé. Le numéro affiché correspondait exactement à celui de la conseillère habituelle de la victime, qui pensait légitimement effectuer une opération sécurisée.

La Cour a rejeté le pourvoi de la banque et confirmé que le client n’avait pas commis de négligence grave. C’est désormais à l’établissement bancaire de démontrer une telle négligence pour refuser un remboursement, et non à la victime de prouver sa bonne foi. Cette jurisprudence renforce nettement la protection des personnes ciblées par ce type de fraude.

Si vous avez communiqué des informations sensibles, contactez votre banque sans délai pour faire opposition, conservez toute trace de l’appel et déposez plainte auprès de la police ou de la gendarmerie. La fiche réflexe de Cybermalveillance.gouv.fr détaille la marche à suivre complète.

Le spoofing téléphonique continuera d’évoluer à mesure que les opérateurs renforcent leurs dispositifs d’authentification. Retenir un seul réflexe suffit pourtant à déjouer la grande majorité des tentatives : ne jamais faire confiance à un numéro affiché seul, et toujours vérifier par un canal indépendant avant toute action sensible.

---

Ce guide a une visée informative et ne remplace pas un conseil juridique personnalisé. En cas de préjudice financier avéré, contactez votre banque sans délai, puis Info Escroqueries au 0 805 805 817 (appel gratuit) ou une association de consommateurs agréée.