Par Sébastien Secrecy, développeur indépendant.
Le téléphone sonne, l’écran affiche « Julien », la voix est celle de Julien. Il y a deux ans, cela suffisait à prouver que c’était Julien. Plus maintenant, et pour deux raisons distinctes qui, combinées, rendent l’appel entrant à peu près sans valeur comme preuve d’identité.
Le numéro : seize fois plus d’usurpations en un an
Usurper un numéro, c’est faire afficher chez la personne appelée un numéro qui n’est pas le sien. Si ce numéro est dans son carnet, c’est le nom du contact qui apparaît. Sur sa plateforme de signalement, l’Arcep a compté 8 500 signalements d’usurpation en 2024, contre 531 en 2023 : c’est devenu le premier motif de plainte des consommateurs auprès du régulateur. Depuis le 1er octobre 2024, les opérateurs doivent authentifier les appels passés depuis des numéros fixes, ce qui a coupé une partie de la fraude. Un an plus tard, le constat des professionnels du paiement est que les fraudeurs se sont déplacés : ils appellent depuis des numéros de mobile banalisés ou par messagerie, là où l’authentification ne joue pas. Autrement dit, le nom affiché ne vous protège plus, et son absence non plus.
La voix : quelques secondes suffisent
Cloner une voix demandait, il y a quelques années, de longs enregistrements et des compétences rares. Aujourd’hui, quelques secondes prises sur une vidéo publique, un message vocal ou un premier appel « erreur de numéro » suffisent aux outils grand public pour produire une voix qui dit ce qu’on veut, avec l’accent et les tics de la personne. Le résultat n’est pas parfait, et c’est là que le scénario est astucieux : « j’ai eu un accident, ma voix est bizarre », « je t’appelle de l’hôpital, ça grésille ». L’excuse couvre les défauts, et l’urgence fait le reste. Les alertes des autorités américaines, FCC en tête, décrivent ce mécanisme depuis longtemps ; il arrive en France avec un peu de retard, et il y est maintenant.
Le dossier : ce que l’appelant sait déjà
Le troisième élément ne se voit pas à l’écran. En 2024, les grandes bases ont fui les unes après les autres : le tiers payant des mutuelles en février, plus de 33 millions d’assurés avec leur numéro de sécurité sociale ; France Travail en mars, 43 millions de personnes avec identité, adresse et téléphone ; un opérateur télécom à l’automne, avec les coordonnées bancaires de millions d’abonnés. Ces fichiers se recoupent et se revendent. Un escroc qui vous appelle a donc, dans le pire des cas, votre identité complète, votre banque et le nom affiché de votre fils. Chaque détail exact qu’il récite rend crédible le suivant, qui, lui, est faux.
Ce qui reste vérifiable
Ni le numéro, ni la voix, ni ce que l’interlocuteur sait de vous. Ce qui reste, c’est ce que vous pouvez vérifier vous-même, par un canal que l’appel n’a pas touché : un rappel que vous passez sur le numéro de votre carnet, ou un secret que l’appelant doit vous donner sans que vous le lui souffliez. Le FBI recommande depuis peu un mot de code convenu en famille ; l’idée est juste, et je veux la regarder de près, avec ses limites.
Mais avant, une question me retient : pourquoi tant de personnes qui connaissent les bons conseils se font-elles avoir quand même ? Les témoignages de victimes que je lis depuis quelques semaines suggèrent une réponse, et elle n’a rien à voir avec la naïveté. C’est le sujet du prochain billet.
Mise à jour, septembre 2026 : ce billet ouvre la série qui a mené à TrustWords, l’application décrite dans le cahier des charges de mai.