Spoofing : pourquoi le numéro affiché peut être faux

Vous recevez un appel et l'écran affiche le nom de votre banque — ou un numéro qui ressemble à ceux de votre région. Cela semble fiable, mais cela peut ne rien signifier. L'usurpation d'identifiant d'appel (spoofing) permet à l'escroc d'afficher sur votre téléphone n'importe quel numéro, y compris un que vous reconnaissez. Ce guide explique comment cela fonctionne, pourquoi c'est techniquement possible et que faire pour ne jamais tomber dans le piège.

Qu'est-ce que le spoofing d'identifiant

L'identifiant d'appel est ce que votre téléphone affiche quand quelqu'un vous appelle : le numéro et parfois un nom associé. Le spoofing consiste à falsifier cette information pour faire apparaître un numéro différent du numéro réel.

En clair : l'escroc fait afficher à votre écran le numéro de son choix — pas celui depuis lequel il appelle vraiment. Ce peut être celui de votre banque, d'un service public ou un numéro très proche du vôtre.

La conséquence pratique est importante : le numéro affiché ne prouve pas qui appelle. C'est un indice, pas une preuve.

Pourquoi c'est techniquement possible

La clé est dans la conception même de la téléphonie :

• Quand un appel est émis, le numéro d'origine voyage comme une donnée de plus dans la signalisation.
• Dans les réseaux traditionnels, cette donnée était acceptée sans vérification de bout en bout. Le réseau destinataire l'affichait telle qu'il la recevait.
• Avec la téléphonie par internet (VoIP) et certains autocommutateurs, choisir le numéro affiché est aussi simple que remplir un champ. Il existe des usages légitimes (une entreprise affichant toujours son numéro de support) que les escrocs détournent pour frauder.

Autrement dit : le réseau téléphonique est né sur la confiance, pas sur la vérification. Falsifier le numéro ne demande aucun "piratage". C'est pourquoi le spoofing est si répandu — y compris en France, où il porte le faux conseiller bancaire et les faux recouvrements.

Les cas les plus fréquents en France

Le faux conseiller bancaire

L'escroc fait apparaître le numéro de votre banque. Il vous alerte d'un "paiement non reconnu" ou d'un "accès suspect" et, dans l'urgence, tente de vous soutirer mots de passe, codes reçus par SMS ou un virement vers un "compte sécurisé". C'est du vishing servi par un numéro qui inspire confiance.

Les faux services publics et entreprises

Le numéro des impôts, de l'Assurance maladie, de la police ou de votre fournisseur d'énergie s'affiche. Le message contient généralement des menaces (amende, coupure, poursuites) pour vous faire agir sans réfléchir. Aucun service sérieux ne réclame de données sensibles ni de paiement urgent sur un appel entrant.

Les numéros qui ressemblent aux vôtres

Une variante très efficace affiche un numéro avec un indicatif proche du vôtre, ou presque identique au vôtre. Comme il évoque un voisin, un commerce proche ou une connaissance, vous avez bien plus de chances de décrocher. Elle alimente les campagnes massives de spam et les tentatives d'arnaque — ainsi que le démarchage abusif, à signaler lui aussi au 33700 quand il vient par SMS.

Le faux contact connu

Dans des cas plus ciblés, le numéro falsifié peut être celui d'une entreprise avec laquelle vous travaillez, pour baisser votre garde dès la première seconde.

Pourquoi il ne faut jamais se fier au seul numéro

Un numéro connu à l'écran ne garantit pas que l'appelant est qui il prétend être. Reconnaître le numéro de votre banque ne signifie pas que c'est votre banque. L'identifiant a pu être falsifié, et le traiter comme une preuve d'identité est exactement l'erreur que recherchent les escrocs.

Rappeler impulsivement le numéro affiché ne sert à rien non plus : s'il a été manipulé, vous risquez de composer tout autre chose que la ligne officielle.

La règle d'or : vérifiez vous-même l'appel

Si un appel demande des données, de l'argent ou une action urgente, raccrochez et vérifiez par vous-même — jamais avec les éléments fournis par l'appelant.

1. Mettez fin à l'appel calmement. Un organisme légitime ne s'offusquera pas de votre vérification.
2. Retrouvez le numéro officiel par vous-même : au dos de votre carte, dans l'appli officielle, sur une facture ou sur le site vérifié de l'organisme.
3. Appelez vous-même ce numéro officiel et demandez si l'on cherchait vraiment à vous joindre.

Ce simple renversement — c'est vous qui initiez l'appel vers le canal officiel — brise la chaîne de la fraude.

Les réflexes qui ferment la porte

• Ne donnez jamais mots de passe ni codes à usage unique par téléphone. Aucun organisme sérieux ne les demande ainsi.
• Méfiez-vous de l'urgence. "Faites-le maintenant ou il arrivera quelque chose de grave" est la tactique la plus courante pour court-circuiter votre jugement.
• Ne déplacez pas d'argent et n'installez pas d'appli parce qu'on vous le demande au téléphone, même si cela ressemble à votre banque.
• Ne "confirmez" pas de données personnelles ("pour vérifier votre identité, donnez-moi votre adresse"). La fraude se nourrit de ces détails.
• En cas de doute, raccrochez et rappelez le numéro officiel.
• Notez ce qui s'est passé (date, heure, demandes), déposez plainte si besoin, transférez les SMS suspects au 33700 et signalez le numéro à votre opérateur.

En résumé

Le spoofing n'est ni de la magie ni une anomalie isolée : c'est la conséquence directe d'une téléphonie conçue sur la confiance plutôt que sur la vérification. Le numéro affiché ne doit donc jamais être votre seul signal de sécurité. Restez calme, ne donnez aucune donnée sensible et, au moindre doute, vérifiez vous-même en appelant le canal officiel.