Vishing

Le terme «vishing» est la contraction des mots anglais «voice» et «phishing». En français, il est souvent traduit par «hameçonnage par téléphone» ou «hameçonnage vocal». Cependant, la traduction «hameçonnage par téléphone» est imprécise, car le «vishing» peut également reposer sur des messages vocaux. En outre, l’hameçonnage vocal est une forme parmi d’autres d’escroquerie par téléphone. Lors d’un appel téléphonique, les escrocs soutirent à leur victime des données dont ils prétendent avoir besoin pour une raison déterminée. En règle générale, l’escroquerie proprement dite intervient peu de temps après l’appel, au moyen des données volées.

Par contre, dans le cas de l’escroquerie par téléphone classique, les malfrats tentent la plupart du temps directement d’obtenir de l’argent de la victime. En d’autres termes, toute forme d’«hameçonnage vocal» est une escroquerie par téléphone, mais toutes les escroqueries par téléphone ne constituent pas de l’«hameçonnage vocal».

Selon la technique utilisée, l’hameçonnage vocal peut être classé en plusieurs catégories (voir exemples ci-dessous):

Usurpation de numéro de téléphone (ou «caller ID spoofing» en anglais): les escrocs modifient leur identifiant d’appelant afin que le numéro qui s’affiche sur votre téléphone ne soit pas leur véritable numéro, mais par exemple le numéro officiel de la police (117), de votre banque ou d’une autorité. Si vous rappelez le numéro qui s’affiche, vous tomberez souvent sur une personne qui fera mine de ne jamais avoir tenté de vous joindre.

Appels automatisés, aussi appelés «appels robotisés» (ou «war dialing» en anglais): les cybercriminels utilisent des logiciels pour appeler des milliers de numéros simultanément. Un message vocal automatisé invite les victimes à rappeler le numéro indiqué ou à saisir des données au moyen du clavier de leur téléphone.

Clonage vocal assisté par l’IA, également appelé «arnaque au clonage vocal»: grâce à l’intelligence artificielle, les pirates parviennent à imiter de manière très réaliste la voix d’un de vos proches ou de votre chef (p. ex. arnaque au président). Avant de recourir à ce moyen, ils recueillent généralement des informations détaillées sur votre personne.

Étant donné que le clonage vocal est dans la plupart des cas utilisé à des fins d’escroquerie patrimoniale et non pas pour extorquer des données, on ne le considère généralement pas comme une forme d’hameçonnage vocal, mais comme une escroquerie par téléphone. Toutefois, la technique du clonage vocal peut également être utilisée dans le cadre d’une attaque d’hameçonnage vocal.

«Arnaque de l’appel en absence» ou «appels wangiri» (ou encore «ping calls» en anglais): un ordinateur compose une multitude de numéros de téléphone et raccroche après la première sonnerie. Un appel manqué, souvent d’un numéro étranger, s’affiche alors sur le téléphone de la victime. Si cette dernière rappelle le numéro concerné, elle est redirigée·vers un numéro surtaxé, ce qui engendre des coûts élevés à sa charge. Les appels Wangiri ne sont pas non plus considérés de l’hameçonnage vocal, car ils ne visent pas à obtenir des données de la victime. Les rappels peuvent toutefois servir de sésame pour une attaque par hameçonnage vocal.

Fait intéressant: le terme «Wangiri» vient du japonais et signifie littéralement «(faire sonner) une fois et raccrocher». Cette technique est apparue pour la première fois en tant que phénomène de masse au Japon à la fin des années 1990. Les autorités compétentes en matière de télécommunications et les opérateurs de téléphonie mobile ont par la suite adopté ce terme dans le monde entier.

Selon l’Office fédéral de la cybersécurité (OFCS), le nombre d’appels frauduleux signalés a triplé en 2024 par rapport à l’année précédente. Sur les 63 000 cyberincidents annoncés, environ un tiers étaient des cas d’hameçonnage vocal ou d’escroquerie par téléphone.

En 2025, le nombre absolu de cas d’hameçonnage vocal et d’escroquerie par téléphone signalés a légèrement diminué. Toutefois, les attaques sont devenues plus sournoises, car les escrocs ont adopté une approche plus personnalisée. Dans certains cas, ils ont ainsi réussi à dérober plusieurs centaines de milliers de francs à leur victime.

Vous trouverez de plus amples informations à ce sujet dans le «Rapport: Les escroqueries par téléphone dans le domaine cyber» de l’OFCS

Voici quelques exemples d’hameçonnage vocal qui se sont réellement produits:

Usurpation de numéro de téléphone

FINMA (août 2025): des escrocs ont appelé des entreprises en Suisse en affichant sur le téléphone de leurs victimes le numéro de la centrale de l’Autorité de surveillance des marchés financiers (FINMA) [031 327 91 00]. Lors de cette attaque par hameçonnage vocal, les escrocs avaient pour but de mettre la main sur des données sensibles en prétextant effectuer un contrôle en matière de blanchiment d’argent.

Viseca (mars 2025): des cybercriminels ont utilisé le numéro du service d’assistance officiel de l’émetteur de cartes Viseca pour tenter d’amener des clientes et des clients de Viseca à leur communiquer par téléphone des codes de confirmation de paiement par carte de crédit.

Appels automatisés (ou «appels robotisés»)

Office fédéral de la cybersécurité OFCS (février 2026): l’OFCS a enregistré une vague d’appels automatisés diffusant un message vocal préenregistré dans lequel une personne expliquait travailler pour l’OFCS et demandait aux victimes d’installer un logiciel de maintenance à distance. Ce subterfuge visait en fait à accéder directement à l’e-banking de ces dernières.

Police (2024): en 2024, le nombre d’appels robotisés effectués au nom de la police a augmenté. Lors de ces appels, les personnes appelées recevaient par exemple un message vocal dans lequel l’auteur prétendait qu’elles étaient impliquées dans une infraction pénale. Il les menaçait de lancer un mandat d’arrêt contre elles, afin de les inciter à payer des «sûretés» en cryptomonnaies.

Arnaque au clonage vocal assisté par l’IA

Fraude au président (janvier 2026): en imitant la voix d’un partenaire commercial à l’aide de l’IA, des escrocs ont réussi à convaincre un entrepreneur du canton de Schwytz de virer plusieurs millions de francs sur un compte bancaire en Asie.

Arnaque au faux neveu 2.0 (2025): des cybercriminels ont cloné la voix de personnes grâce à des vidéos qu’elles avaient postées sur les réseaux sociaux pour tenter d’inciter leurs grands-parents à remettre de grosses sommes d’argent ou de l’or à un coursier.

Arnaque de l’appel en absence ou «appels wangiri»

Appels de la Tunisie et du Burundi (2024): en Suisse romande, de nombreux appels wangiri passés depuis la Tunisie (+216) et le Burundi (+257) ont été enregistrés. Les personnes appelées ayant rappelé le numéro en question ont permis aux malfrats de réaliser des recettes importantes, car il s’agissait de numéros surtaxés facturés à la minute.

Appels de spam en provenance de l’Albanie (2024): lors de campagnes d’appels en masse passés avec des numéros albanais (+355), des escrocs ont maintenu les personnes ayant rappelé le numéro concerné le plus longtemps possible sur une ligne payante au moyen de messages vocaux automatisés.

L’hameçonnage vocal fait souvent appel à des techniques de manipulation psychologique, notamment l’ingénierie sociale et le «pretexting»:

Ingénierie sociale: alors que le piratage classique exploite les failles techniques, l’ingénierie sociale vise à manipuler l’être humain. Les pirates tentent de soutirer des informations à leurs victimes en leur faisant peur, en faisant appel à leur respect à l’égard des autorités et à leur compassion. Très souvent, ils prétextent une urgence afin de les inciter à agir sans réfléchir. Parfois, les escrocs essaient également d’inciter leurs victimes à accomplir certaines actions en se faisant passer par exemple pour des policiers, des membres du personnel d’une banque ou d’une autorité. Ils cherchent ainsi à gagner la confiance de leurs victimes.

Pretexting: en simulant une situation d’urgence plausible nécessitant une action immédiate, les malfrats parviennent souvent à obtenir de leurs victimes des données sensibles. Un prétexte fréquemment utilisé dans les attaques par hameçonnage vocal est le suivant: une personne se fait passer pour une collaboratrice ou un collaborateur d’une banque et fait croire à la victime qu’une cyberattaque en cours menace son compte et qu’elle a besoin des données d’accès audit compte pour le protéger.

En plus de méthodes de manipulation psychologique, les escrocs ont recours à des outils techniques tels que l’usurpation de numéro de téléphone, les appels robotisés, qui permettent de lancer de nombreux appels automatisés, et les appels wangiri, destinés à provoquer des rappels sur des numéros surtaxés.

Le clonage vocal assisté par l’IA permet également aux escrocs d’imiter des voix pour accroître la crédibilité de leur stratagème. Jusqu’à présent, le clonage vocal n’était utilisé que pour l’escroquerie patrimoniale par téléphone et non pour l’extorsion de données.

Il est de plus en plus difficile de reconnaître des voix générées par l’IA (deepfake vocal), car la technologie a beaucoup progressé ces dernières années. Le plus sûr est donc de raccrocher et de rappeler la personne en utilisant le numéro que vous connaissez et que vous avez enregistré.

Faites également preuve de méfiance si la voix présente des tonalités métalliques, une régularité frappante, qu’elle est dénuée de toute émotion ou si la «personne» ne fait pratiquement pas de pause pour respirer ou met long à réagir. En cas de doute, vous pouvez par exemple poser à votre interlocutrice ou votre interlocuteur une question personnelle sur une expérience que vous avez vécue ensemble, à laquelle l’IA ne pourra pas répondre.

En Suisse, les numéros avec l’indicatif 0900, 0901 et 0906 sont payants (jusqu’à 10 francs par minute). Les numéros avec l’indicatif 084x peuvent coûter jusqu’à 8,07 centimes par minute. En outre, certains numéros courts peuvent être payants, par exemple 18xx pour des services de renseignements téléphoniques.

Comme la structure des numéros varie d’un pays à l’autre, il est difficile d’identifier les numéros surtaxés étrangers. C’est pourquoi il est préférable de ne pas rappeler des numéros étrangers inconnus. Si c’est important, la personne vous rappellera.