Le téléphone affiche le numéro habituel de votre banque, celui que vous avez déjà en mémoire ou enregistré dans vos contacts. Pourtant, la personne au bout du fil vous demande un code de validation ou un virement en urgence. C’est le principe du spoofing téléphonique, l’usurpation de numéro qui permet à un escroc de faire apparaître n’importe quel numéro à la place du sien. Voici comment ce tour est possible, les signaux qui doivent alerter, et ce que dit la loi sur le remboursement quand la manœuvre a fonctionné.

Sommaire

Qu’est-ce que le spoofing téléphonique (l’usurpation de numéro)

Le spoofing téléphonique, ou usurpation de numéro d’appelant, consiste à falsifier l’information transmise par le réseau pour faire croire qu’un appel provient d’un autre numéro que le vrai. L’escroc ne pirate ni votre ligne ni celle de votre banque : il modifie ce que son propre équipement d’appel annonce au réseau. Le numéro affiché sur votre écran n’a alors aucun rapport avec l’origine réelle de l’appel.

Comment un escroc affiche un faux numéro

Des services de téléphonie par internet (VoIP), initialement conçus pour permettre à une entreprise d’afficher un numéro professionnel unique quel que soit le poste utilisé, sont détournés pour saisir n’importe quelle suite de chiffres au champ « numéro appelant ». Le réseau relaie cette information sans toujours pouvoir la vérifier, et votre téléphone l’affiche telle quelle.

Pourquoi ce n’est pas du piratage de votre ligne

Aucune donnée de votre compte bancaire ni de votre ligne téléphonique n’est compromise par le seul fait de recevoir un appel usurpé : la manipulation a lieu du côté de l’appelant, pas du vôtre. C’est ce qui distingue le spoofing d’un piratage informatique classique, et pourquoi la vigilance pendant l’appel compte plus que n’importe quelle protection technique côté récepteur.

Pourquoi c’est encore possible en 2026

La loi n° 2020-901 du 24 juillet 2020, dite loi Naegelen, a posé le principe d’une obligation d’authentification des numéros appelants par les opérateurs. Sa mise en œuvre technique, longue, se déploie encore aujourd’hui.

Le mécanisme d’authentification des numéros (MAN)

Ce dispositif, fondé sur la technologie STIR/SHAKEN, repose sur une chaîne de confiance entre opérateurs : celui à l’origine de l’appel certifie le numéro, et transmet cette certification à l’opérateur suivant jusqu’à vous. Sa généralisation a commencé en octobre 2024. Tant qu’un opérateur de la chaîne ne l’a pas pleinement déployé, un numéro non authentifié peut encore transiter et s’afficher normalement.

Ce qui change au 1er janvier 2026

Depuis le 1er janvier 2026, l’Arcep impose aux opérateurs de masquer, en affichant la mention « numéro masqué », tout numéro mobile français appelant depuis l’étranger qui n’a pas pu être authentifié. Fin janvier 2026, l’Arcep a par ailleurs ouvert une enquête visant l’ensemble des opérateurs télécoms pour vérifier le respect de leurs obligations d’authentification, après avoir reçu environ 19 000 signalements d’usurpation de numéro en 2025.

Date Ce qui change
24 juillet 2020 Loi Naegelen : principe de l’authentification des numéros appelants
Octobre 2024 Généralisation progressive du mécanisme d’authentification (MAN)
1er janvier 2026 Masquage obligatoire des numéros mobiles français non authentifiés appelant depuis l’étranger
Fin janvier 2026 Enquête de l’Arcep visant les opérateurs sur le respect de ces obligations

Le scénario le plus fréquent : le faux conseiller bancaire

La fraude au faux conseiller bancaire, ou vishing, est aujourd’hui l’usage le plus répandu du spoofing. Selon Cybermalveillance.gouv.fr, les signalements de ce type de fraude ont bondi de 78 % depuis le début de l’année 2026. Plus largement, les fraudes par manipulation, qui incluent le faux conseiller, ont représenté environ 245 millions d’euros en 2025, en hausse de 37 % par rapport à 2024.

Le déroulé type de l’appel

Le numéro affiché est celui, réel, de votre établissement. La personne au bout du fil connaît déjà votre nom, votre agence, parfois vos dernières opérations. Elle explique qu’une opération suspecte vient d’être détectée sur votre compte et qu’il faut agir immédiatement pour la bloquer : communiquer un code reçu par SMS, valider une notification dans votre application, ou effectuer un virement vers un « compte de sécurité ».

Pourquoi les fuites de données rendent l’histoire crédible

Ces scénarios s’appuient souvent sur des données personnelles obtenues lors de fuites antérieures touchant opérateurs télécoms ou organismes publics. L’escroc dispose alors d’éléments exacts sur vous, ce qui renforce artificiellement la crédibilité de l’appel et abaisse la vigilance, même chez des personnes habituellement prudentes.

Les signaux qui doivent vous alerter pendant l’appel

Quelques réflexes simples permettent de repérer la manœuvre avant qu’elle n’aboutisse :

  • On vous demande un code reçu par SMS ou de valider une notification dans votre application bancaire, alors qu’un conseiller n’en a jamais besoin pour agir de son côté.
  • On vous pousse à agir « immédiatement », sous prétexte qu’une opération frauduleuse est en cours et que chaque minute compte.
  • On vous demande d’effectuer vous-même un virement vers un compte présenté comme un « compte de sécurité » ou un « compte tampon ».
  • On vous décourage de raccrocher pour vérifier, en expliquant que la ligne doit rester ouverte « pour la traçabilité ».
  • Le numéro affiché est correct, mais rien dans le discours ne correspond à ce que votre banque fait habituellement.

Ce qu’un vrai conseiller ne demande jamais

Un conseiller bancaire authentique n’a besoin ni de votre code de carte, ni du code de validation d’une opération, ni de votre mot de passe complet. Il ne vous demandera jamais de réaliser vous-même un virement pour « protéger » vos fonds : bloquer une opération suspecte relève de la banque, pas du client.

Les prétextes classiques de l’urgence

L’urgence est l’outil principal de l’escroc : elle empêche de réfléchir et de vérifier. Un vrai incident bancaire laisse toujours le temps de raccrocher et de rappeler soi-même.

Que faire pendant et juste après l’appel

Les réflexes immédiats

Raccrochez, même si votre interlocuteur insiste ou se montre agressif. Rappelez ensuite votre banque en composant vous-même le numéro officiel indiqué au dos de votre carte ou sur son site, jamais celui affiché lors de l’appel suspect ni un numéro communiqué pendant la conversation. Ne validez aucune notification et ne communiquez aucun code tant que vous n’avez pas vérifié par ce canal.

Faire opposition et rassembler les preuves

Si vous avez déjà communiqué un code ou validé une opération, faites immédiatement opposition sur vos moyens de paiement et demandez le blocage des accès compromis. Conservez toute trace utile : heure de l’appel, numéro affiché, éléments du discours, SMS reçus. Ces informations serviront à contester l’opération par écrit auprès de votre banque, puis, si besoin, à déposer plainte.

Serez-vous remboursé si vous avez été trompé ?

Ce que dit la loi (articles L.133-18 et L.133-23)

Le code monétaire et financier pose un principe protecteur : en cas d’opération de paiement non autorisée, la banque doit rembourser le client (article L.133-18), sauf si elle prouve une négligence grave de sa part (article L.133-23). C’est donc à la banque de démontrer la négligence grave, pas au client de prouver son innocence.

Ce que change la jurisprudence récente

La Cour de cassation a précisé cette règle dans le contexte du spoofing : un arrêt d’octobre 2024 a reconnu qu’un client trompé par un numéro usurpé n’est pas nécessairement négligent. Un arrêt du 4 mars 2026 est allé plus loin en demandant aux juges d’examiner si le contenu exact des messages de validation aurait dû, ou non, éveiller les soupçons du client avant qu’il ne valide l’opération — ce qui écarte les refus de remboursement fondés sur le seul fait d’avoir validé une notification.

Pour évaluer ce que représente une fraude par virement, l’Observatoire de la sécurité des moyens de paiement de la Banque de France a mesuré une baisse du montant moyen extorqué par ce biais, de 3 023 € au premier semestre 2024 à 2 104 € au premier semestre 2025 — un recul, mais une somme qui reste significative pour un particulier.

Graphique du montant moyen extorqué par virement frauduleux en France, en baisse entre 2024 et 2025
Source : Observatoire de la sécurité des moyens de paiement, Banque de France

Vérifier un numéro avant de lui faire confiance

Un numéro qui s’affiche correctement ne garantit rien à lui seul. Avant de faire confiance à un appel inhabituel, quelques vérifications limitent le risque :

Les réflexes qui ne coûtent rien

Raccrocher et rappeler soi-même le numéro officiel reste la vérification la plus fiable, plus efficace que n’importe quel annuaire inversé. C’est le même principe que pour un appel qui sonne une fois puis raccroche : le contexte de l’appel compte davantage que le seul numéro affiché.

Ce que Bloctel et le 33700 ne couvrent pas

Ni l’inscription sur Bloctel, ni le signalement au 33700 n’empêchent un appel de spoofing d’arriver : ces dispositifs visent le démarchage commercial et les SMS frauduleux, pas l’usurpation d’un numéro précis. Le 33700 reste toutefois utile après coup, pour signaler l’appel et alimenter les bases de lutte contre la fraude.

Questions fréquentes

Comment savoir si un numéro est spoofé ?

Il n’existe pas de moyen certain de le savoir avant de décrocher : le numéro affiché peut être parfaitement identique à celui de votre banque. Le doute doit porter sur le contenu de l’appel, pas sur l’apparence du numéro : toute demande de code, de validation ou de virement en urgence doit être vérifiée en rappelant vous-même.

Un escroc peut-il vraiment avoir le numéro de ma banque ?

Oui : le spoofing ne consiste pas à voler ce numéro, mais à le recopier dans les informations transmises par son propre appel. N’importe quel numéro, y compris celui d’un service public ou d’une administration, peut être affiché de cette façon.

Suis-je responsable si j’ai communiqué un code par téléphone ?

Pas automatiquement. La loi impose à la banque de prouver une négligence grave pour refuser le remboursement, et la jurisprudence récente tient compte du fait que le numéro affiché était bien celui de la banque et que la situation était présentée comme sécurisée par l’établissement lui-même.

Que faire si j’ai été victime de spoofing téléphonique ?

Faites opposition sans délai, contestez l’opération par écrit auprès de votre banque en citant les articles L.133-18 et L.133-23 du code monétaire et financier, conservez toutes les preuves de l’appel, et déposez plainte. Signalez également l’appel au 33700.