Vishing (usurpation d'identité par téléphone) : arnaque téléphonique pour voler vos données
Le vishing, ou usurpation d'identité par téléphone, est une arnaque sophistiquée basée sur les appels téléphoniques, où les escrocs se font passer pour des entités de confiance—banques, agences gouvernementales, support technique ou employeurs—pour manipuler les victimes et les inciter à révéler des informations sensibles ou à transférer de l'argent. Selon le centre de plainte pour les crimes sur Internet du FBI, les attaques par vishing ont entraîné des pertes dépassant 740 millions de dollars en 2023, avec une perte moyenne par individu atteignant 3 000 dollars. Ces attaques ont augmenté de 350 % depuis 2020, alimentées par la technologie d'usurpation d'identifiant d'appelant qui fait paraître les appels frauduleux légitimes. Contrairement au hameçonnage par email, le vishing exploite le caractère immédiat et personnel de la communication vocale. Les escrocs créent une urgence par des menaces de fermeture de compte, d'action en justice ou de violation de sécurité, incitant les victimes à agir avant de réfléchir de manière critique. Les opérations modernes de vishing utilisent la technologie VoIP pour acheminer les appels au niveau international tout en affichant des numéros locaux, rendant la détection extrêmement difficile. Nombreuses sont les opérations qui emploient des centres d'appels avec des opérateurs formés suivant des scripts détaillés conçus par des psychologues comportementaux pour surmonter la résistance. L'arnaque par vishing moyenne se déroule sur 1 à 7 jours, le contact initial établissant la crédibilité, suivi de demandes progressives d'informations ou de paiements. Les victimes ne réalisent souvent qu'elles ont été arnaquées que plusieurs jours plus tard, lorsque des transactions non autorisées apparaissent ou que leurs comptes sont compromis. La Commission fédérale du commerce signale que les personnes de plus de 60 ans perdent en moyenne 1 500 dollars de plus par incident que les victimes plus jeunes, bien qu'aucune démographie ne soit immunisée. La sophistication de ces opérations—avec des numéros de dossier contrefaits, des numéros de rappel et des histoires convaincantes—fait du vishing l'une des formes d'arnaque les plus dangereuses d'aujourd'hui.
Common Tactics
- • L'usurpation d'identifiant d'appelant pour afficher des numéros de téléphone légitimes provenant de banques, d'agences gouvernementales ou d'entreprises connues, rendant l'appel authentique lorsque les victimes vérifient sur leurs écrans téléphoniques.
- • Créer une urgence extrême en affirmant que les comptes seront gelés dans quelques heures, que des mandats sont en cours d'émission, ou qu'une activité suspecte nécessite une vérification immédiate pour prévenir une perte financière.
- • Utiliser des informations personnelles disponibles publiquement (nom, adresse, numéros de compte partiels) obtenues à partir de fuites de données pour établir la crédibilité et convaincre les victimes que l'appelant a un accès légitime à leurs comptes.
- • Transférer les victimes entre plusieurs « départements » ou « superviseurs » pour créer l'illusion d'une structure organisationnelle légitime et user la méfiance par des interactions répétées.
- • Demander aux victimes de télécharger un logiciel d'accès à distance comme AnyDesk ou TeamViewer sous prétexte de « sécuriser » leurs appareils, donnant aux escrocs un contrôle complet sur les ordinateurs et les applications bancaires.
- • Demander un paiement immédiat par des méthodes irréversibles comme les virements bancaires, les cryptomonnaies, les cartes-cadeaux ou le retrait d'espèces, tout en gardant les victimes au téléphone pour les empêcher de consulter d'autres personnes.
How to Identify
- Les appels non sollicités exigeant une action immédiate sur les problèmes de compte, les questions fiscales ou les questions juridiques—les organisations légitimes envoient des avis écrits avant de passer des appels urgents concernant des questions graves.
- Les demandes de numéros de compte complets, de mots de passe, de codes PIN ou de numéros de sécurité sociale—les vraies banques et agences ne demandent jamais les identifiants complets par téléphone, même lors des appels de vérification.
- La pression pour rester en ligne en continu tout en effectuant des transactions ou « de ne pas raccrocher » jusqu'à ce que les problèmes soient résolus, une tactique conçue pour isoler les victimes de leurs réseaux de soutien.
- Les instructions pour transférer de l'argent vers des « comptes sûrs », acheter des cartes-cadeaux pour le paiement, ou retirer de grandes quantités d'espèces pour un enlèvement par coursier—aucune organisation légitime n'utilise ces méthodes de paiement.
- L'appelant devient défensif, agressif ou menace des conséquences (arrestation, fermeture de compte, action en justice) lorsqu'on le questionne sur son identité ou la légitimité de l'appel.
- Le numéro de téléphone affiché sur l'identifiant d'appelant ne correspond pas au numéro officiel indiqué sur le site Web de l'organisation, ou l'appelant refuse de fournir un numéro de rappel que vous pouvez vérifier de manière indépendante.
How to Protect Yourself
- Ne fournissez jamais d'informations sensibles aux appelants non sollicités—si quelqu'un prétend être de votre banque ou d'une agence gouvernementale, raccrochez et rappelez en utilisant le numéro officiel indiqué sur leur site Web ou votre relevé de compte.
- Inscrivez votre numéro de téléphone sur le registre national de non-démarchage à donotcall.gov et activez les fonctionnalités de blocage d'appels sur votre smartphone pour filtrer automatiquement les numéros d'arnaque connus.
- Vérifiez l'identité de l'appelant en posant des questions spécifiques que seuls les représentants légitimes connaîtraient, ou demandez un numéro de dossier et un numéro de rappel que vous pouvez vérifier indépendamment par les canaux officiels.
- Établissez des mots de passe verbaux avec votre banque et les membres de votre famille qui doivent être utilisés lors de toute conversation téléphonique impliquant des questions financières ou des demandes sensibles.
- Activez l'authentification multi-facteurs sur tous les comptes financiers et importants afin que, même si les identifiants sont volés lors d'un appel de vishing, les escrocs ne puissent pas accéder à vos comptes sans le deuxième facteur.
- Signalez les tentatives de vishing immédiatement à la FTC sur reportfraud.ftc.gov, au service de signalement des spam de votre opérateur téléphonique et à l'organisation usurpée pour aider à fermer ces opérations.
Real-World Examples
Margot a reçu un appel de quelqu'un prétendant être du département anti-fraude de sa banque, avec un identifiant d'appelant montrant le vrai numéro du service à la clientèle de sa banque. L'appelant a déclaré que des charges suspectes totalisant 4 200 euros étaient en attente sur son compte et nécessitaient une vérification immédiate. Il lui a demandé de confirmer le numéro de sa carte de débit et le code de trois chiffres au verso pour « bloquer les transactions frauduleuses ». En quelques heures après avoir fourni ces informations, le compte réel de Margot a été vidé de 8 500 euros par plusieurs retraits aux distributeurs automatiques dans trois régions différentes.
David a reçu un message vocal menaçant indiquant qu'il devait 11 000 euros en arriérés d'impôts et que l'administration fiscale s'apprêtait à émettre un mandat d'arrêt à moins qu'il ne rappelle immédiatement. Lorsqu'il a retourné l'appel, l'« agent » a fourni un numéro de badge et un numéro de dossier, exigeant le paiement par cartes-cadeaux iTunes pour résoudre le problème ce jour-là. L'escroc a gardé David en ligne pendant trois heures tandis qu'il achetait 6 000 euros de cartes-cadeaux dans plusieurs magasins, en lisant les codes sur le téléphone avant de réaliser que l'administration fiscale ne demande jamais le paiement par cartes-cadeaux.
Sarah a reçu un appel du « support technique Microsoft » l'avertissant que son ordinateur avait été infecté par des virus transmettant ses informations bancaires à des criminels. L'appelant l'a guidée pour installer un logiciel d'accès à distance, puis lui a montré des « journaux d'erreurs » contrefaits sur son propre écran comme preuve. En contrôlant son ordinateur, l'escroc a accédé à ses mots de passe enregistrés dans son navigateur et a lancé des virements totalisant 12 000 euros vers des comptes à l'étranger avant que la véritable banque de Sarah ne signale l'activité suspecte.