Par Sébastien Secrecy, développeur indépendant, créateur de TrustWords. English version below.
Depuis fin 2024, le FBI conseille aux familles de convenir d’un mot secret pour vérifier qui appelle ; la FTC, Europol et, en France, les campagnes de prévention reprennent le conseil. C’est la bonne réponse au bon problème : quand la voix peut être clonée et le numéro usurpé, on ne peut plus se fier à ce qu’on entend ni à ce qui s’affiche, seulement à ce que l’autre sait. Mais un mot choisi une fois pour toutes, en 2026, ne suffit plus. Voici pourquoi, et ce qu’il faut à la place.
Cinq limites d’un mot fixe
Il s’use. Un secret prononcé une fois devant la mauvaise personne est brûlé, et personne ne le sait. Il finit dans un fil de messages, sur un post-it près du téléphone, dans un message vocal. Un escroc qui a déjà votre dossier peut aussi l’extraire lui-même : « on vérifie que le système marche, c’est quoi déjà notre mot ? »
Un seul mot pour toute la famille. Si le mot fuit chez l’un, il ne protège plus personne. Chaque paire de personnes devrait avoir son propre secret, ce que personne ne fait avec des mots à retenir.
Il ne vérifie que dans un sens. La mère demande le mot au fils. Mais quand « l’hôpital » ou « la gendarmerie » appelle le fils pour un parent accidenté, personne ne vérifie rien. La vérification doit marcher dans les deux sens, avec un défi chacun.
Il pèse sur la mémoire des plus visés. On demande aux personnes âgées, les premières cibles, de retenir un mot qu’elles n’utilisent jamais, et de le réclamer à un enfant en larmes. Au bout de quelques mois, le mot s’oublie ou l’on n’ose plus le demander.
Il ne change jamais. Nos banques renouvellent un code toutes les trente secondes pour valider un virement ; nous protégeons nos parents avec un mot vieux de deux ans.
Pourquoi presque personne ne l’utilise, en France
Demander un mot de passe à sa mère paraît absurde, jusqu’au jour où ça ne l’est plus. Mettre tout le monde d’accord demande une réunion de famille que personne n’organise. Et le nom qui s’affiche à l’écran donne une fausse assurance : l’Arcep a pourtant reçu 19 000 signalements d’usurpation de numéro en 2025, contre 531 en 2023, et depuis que les numéros fixes sont authentifiés, les fraudeurs appellent depuis des mobiles banalisés. Les escroqueries ont progressé de 8 % en 2025 selon le ministère de l’Intérieur, et le prétexte le plus efficace reste un proche en difficulté.
Ce qu’il faut à la place
Un secret qui se renouvelle tout seul, propre à chaque paire de proches, calculé sur les deux téléphones sans passer par un serveur, et que personne n’a à retenir. C’est le principe des codes à usage unique de vos applications bancaires, appliqué à une conversation : des mots, pas des chiffres, parce qu’on les dit à voix haute sur une ligne qui grésille. Plusieurs applications reposent aujourd’hui sur ce principe. TrustWords, que je développe, affiche deux mots renouvelés toutes les dix minutes, sans compte ni serveur, gratuite pour deux proches, et prend la main écran par écran quand les mots ne correspondent pas : ne rien donner, raccrocher soi-même, rappeler le numéro du carnet.
En attendant d’installer quoi que ce soit : un appel entrant ne prouve rien, la seule preuve est un rappel que vous passez vous-même. Pour signaler un appel frauduleux, Info Escroqueries répond au 0 805 805 817 ; un SMS suspect se transfère au 33700 ; cybermalveillance.gouv.fr guide les victimes. La série de billets qui a mené à TrustWords commence ici.
The family code word is no longer enough
By Sébastien Secrecy, independent developer, creator of TrustWords.
Since late 2024 the FBI has advised families to agree on a secret word to verify who is calling; the FTC, Europol and countless consumer guides repeat the advice. It is the right answer to the right problem: when a voice can be cloned and a number spoofed, you can no longer trust what you hear or what the screen shows, only what the other person knows. But a word chosen once and kept for years is not enough in 2026. Here is why, and what to use instead.
Five limits of a fixed word
It wears out. A secret said once to the wrong person is burned, and nobody knows. It ends up in a group chat, on a sticky note by the landline, in a voicemail. A scammer who already has your file can also pull it out of you: « just checking the system works, what’s our word again? »
One word for the whole family. If it leaks through one person, it protects no one. Every pair of people should have its own secret, which nobody manages with words they have to remember.
It only checks one way. Grandma asks the grandson for the word. But when « the hospital » or « the police » call the grandson about an injured parent, nobody checks anything. Verification has to work both ways, one challenge each.
It burdens the memory of the people most targeted. We ask older adults, the first targets, to remember a word they never use and to demand it from a crying child. After a few months the word is forgotten, or they no longer dare to ask.
It never changes. Your bank rotates a code every thirty seconds to approve a transfer; we protect our parents with a word from two years ago.
Why almost nobody uses it, in the US
Asking your mother for a password feels absurd, until the day it doesn’t. Getting everyone to agree takes a family meeting nobody schedules. And caller ID gives false comfort: STIR/SHAKEN authentication pushed fraudsters toward unlisted mobile numbers and messaging apps, where the name on the screen is whatever the caller wants it to be. The cost is public. The FBI’s 2025 Internet Crime Report counts $893 million in reported losses tied to artificial intelligence, and $7.7 billion lost by people over 60, up from $4.9 billion in 2024. The grandparent scam, which the FTC and the FCC have warned about for years, now comes with the grandchild’s actual voice.
What to use instead
A secret that renews itself, unique to each pair of relatives, computed on both phones without any server, and that nobody has to remember. It is the one-time code of your banking app applied to a conversation: words rather than digits, because you say them out loud on a crackling line. Several apps now work on this principle. TrustWords, which I am building, shows two words renewed every ten minutes, with no account and no server, free for two relatives, and takes over screen by screen when the words don’t match: give nothing, hang up yourself, call back the number in your contacts.
Until you install anything: an incoming call proves nothing; the only proof is a call you place yourself. To report a scam call in the US, file at ic3.gov or reportfraud.ftc.gov; the AARP Fraud Watch Network helps victims and their families.