Votre écran affiche le numéro de votre banque, celui d’un commissariat, ou celui de votre propre entreprise. Vous décrochez : le numéro est le bon. Il ne l’est pas. Le spoofing téléphone — l’usurpation du numéro d’appelant — consiste à faire afficher sur le téléphone de la victime un numéro qui n’appartient pas à l’appelant. C’est la brique qui rend crédible l’arnaque au faux conseiller bancaire, et c’est aussi ce qui transforme le numéro d’une TPE en outil d’escroquerie contre ses propres clients. Ce guide explique pourquoi c’est techniquement possible, où en est le mécanisme d’authentification imposé par la loi Naegelen, et ce qu’un dirigeant doit faire quand c’est son numéro qui sert d’appât. Le mécanisme général de l’hameçonnage reste identique : seule la couche de crédibilité change.
⏱ L’essentiel en 30 secondes
- Le numéro affiché est une information déclarée dans la signalisation télécom : le réseau ne l’a jamais authentifiée par conception.
- La loi Naegelen (n° 2020-901 du 24 juillet 2020) a imposé le mécanisme d’authentification des numéros (MAN), fondé sur STIR/SHAKEN. Les appels non authentifiés sont coupés depuis le 1er octobre 2024 vers les fixes et depuis janvier 2025 vers les mobiles.
- Depuis le 1er janvier 2026, un numéro mobile français non authentifié venu de l’étranger doit être masqué. Le 29 janvier 2026, l’Arcep a ouvert une enquête administrative visant tous les opérateurs : l’usurpation persiste.
- Numéro d’entreprise usurpé : documentez, écartez un piratage de votre standard, signalez à l’opérateur, sur J’alerte l’Arcep et au 33700, prévenez vos clients, portez plainte. Changer de SIM ne sert à rien.
- Victime bancaire : la preuve de la négligence grave pèse sur la banque (Cass. com., 23 octobre 2024, n° 23-16.267).
Spoofing téléphone : ce que le terme recouvre exactement
Appliqué à la téléphonie, le spoofing désigne une manipulation précise : l’appelant fait présenter au destinataire un identifiant d’appelant — le numéro qui s’affiche — différent du sien. Ce n’est ni un piratage de votre ligne, ni un accès à vos données. C’est un affichage mensonger, et c’est suffisant. Trois situations sont souvent confondues, et les distinguer change la réaction à avoir.
| Situation | Ce qui se passe réellement | Votre ligne est-elle compromise ? |
|---|---|---|
| Spoofing usurpation du numéro d’appelant |
Un tiers déclare votre numéro — ou celui d’une banque — comme identifiant d’appelant sur ses propres appels. | Non |
| Piratage du standard | Un attaquant prend la main sur votre IPBX ou vos comptes SIP et passe de vrais appels depuis vos lignes, souvent vers des numéros surtaxés. | Oui |
| SIM swap | Un fraudeur obtient le transfert de votre numéro sur sa propre carte SIM et reçoit vos appels et vos codes. | Oui |
Test simple : demandez à votre opérateur le journal détaillé de vos appels sortants. Si les appels reprochés n’y figurent pas et que votre facture est normale, votre ligne n’a pas été utilisée : votre numéro a seulement été affiché par quelqu’un d’autre. C’est du spoofing, pas un piratage.
Pourquoi c’est techniquement possible : la signalisation n’authentifie personne
La réponse tient en une phrase : le numéro affiché n’a jamais été une preuve. Lors de l’établissement d’un appel, il voyage dans la signalisation, à côté de la voix, comme une simple information déclarative. Les réseaux téléphoniques ont été conçus quand quelques opérateurs nationaux se parlaient dans un cadre de confiance mutuelle : personne n’avait prévu de la vérifier.
Cette souplesse répond en outre à un besoin professionnel légitime, décrit par l’Arcep : une entreprise dispose de numéros attribués à ses collaborateurs et doit pouvoir choisir celui qui est présenté en sortie — le standard plutôt qu’une ligne directe, par exemple. Cette capacité de paramétrage est ancienne et repose historiquement sur un principe de confiance.
De la souplesse légitime au détournement industriel
Avec la voix sur IP, ce paramétrage est devenu trivial : le numéro présenté est un champ de configuration parmi d’autres. Il suffit de trouver un opérateur ou un intermédiaire complaisant dans la chaîne d’acheminement pour émettre des milliers d’appels affichant des numéros pris au hasard ou choisis.
Constatant que la confiance ne suffisait plus, l’Arcep a formalisé la règle dès 2018 dans son plan de numérotation : présenter le numéro d’un tiers suppose son accord préalable, et l’opérateur doit s’en assurer. Le plan demande explicitement de restreindre techniquement la liste des numéros que chaque client peut présenter ; si un client tente d’en présenter un autre, l’appel doit être bloqué.
À retenir pour une PME : cette liste de numéros autorisés existe chez votre opérateur pour vos propres lignes. C’est un point à vérifier lors de tout changement de solution téléphonique — et un levier à activer immédiatement si vos numéros sont usurpés.
L’arnaque au faux conseiller bancaire : l’usage numéro un du spoofing
Le spoofing n’est jamais une fin en soi : il rend crédibles quelques minutes de manipulation. Le scénario dominant en France se déroule toujours de la même manière.
Avant l’appel
Le fraudeur prépare son dossier
Nom, banque, parfois les derniers chiffres d’une carte, issus d’une fuite de données ou d’un hameçonnage antérieur. Ces détails feront tomber vos défenses en dix secondes.
Seconde 0
Le numéro de votre agence s’affiche
Le spoofing fait tout le travail : vous n’évaluez plus un inconnu, vous parlez à « votre banque ».
Minute 1
L’urgence est installée
« Des virements frauduleux sont en cours sur votre compte. » L’interlocuteur est calme et vous demande de ne pas raccrocher pour ne pas interrompre la « procédure de sécurisation ».
Minute 3
La validation piégée
Il vous fait dicter un code reçu par SMS, ou valider une notification en affirmant qu’elle correspond à l’annulation de l’opération. Elle correspond en réalité à l’ajout d’un bénéficiaire ou à un paiement.
Minute 10
Les fonds partent
Le bénéficiaire enregistré, les virements s’enchaînent : de quelques milliers à plusieurs dizaines de milliers d’euros dans la jurisprudence récente.
Une variante mérite d’être connue : dans une affaire tranchée par la cour d’appel de Rouen en février 2026, le fraudeur avait lui-même invité la victime à vérifier le numéro affiché sur Internet pour renforcer sa crédibilité. Le réflexe de vérification jouait contre elle. C’est ce qui distingue ce scénario d’un e-mail de phishing classique : au téléphone, vous n’avez ni le temps ni le recul d’un écran d’ordinateur.
La règle qui résout tous les cas : aucune banque, aucun opérateur, aucune administration ne vous demandera jamais de dicter un code reçu par SMS, de valider une notification pour « annuler » une opération, de donner un mot de passe ou d’installer un logiciel de prise en main à distance. Raccrochez et rappelez le numéro figurant au dos de votre carte — jamais celui donné par l’appelant.
Cet appel est-il une tentative de spoofing ? Le test en 30 secondes
Un seul de ces signaux justifie de raccrocher. Le numéro affiché n’entre pas dans le calcul : il ne prouve rien.
Le MAN : ce que la loi Naegelen a réellement imposé aux opérateurs
La France a choisi de traiter le problème au niveau du réseau. L’article 10 de la loi n° 2020-901 du 24 juillet 2020 encadrant le démarchage téléphonique et luttant contre les appels frauduleux — dite loi Naegelen — a inséré à l’article L. 44 du code des postes et des communications électroniques deux obligations, entrées en vigueur le 25 juillet 2023 :
- l’opérateur qui émet l’appel doit s’assurer que son client est affectataire du numéro français présenté, ou que l’affectataire a donné son accord préalable ;
- tous les opérateurs qui acheminent l’appel doivent utiliser un dispositif d’authentification interopérable et couper les appels dont l’authenticité ne peut être confirmée.
Les opérateurs français ont bâti pour cela un dispositif commun : le mécanisme d’authentification des numéros (MAN), fondé sur les protocoles STIR/SHAKEN déjà déployés aux États-Unis et au Canada. Chaque opérateur détient un certificat électronique qui l’identifie auprès des autres et appose une signature cryptographique sur les appels qu’il émet, attestant avoir vérifié la légitimité du numéro présenté. Transit et arrivée vérifient cette signature ; absente ou invalide, l’appel doit être bloqué.
Le calendrier réel du déploiement
24 juillet 2020
Loi Naegelen
Création de l’obligation d’authentifier le numéro d’appelant et de couper les appels non authentifiés.
25 juillet 2023
Entrée en vigueur
Les obligations inscrites à l’article L. 44 du CPCE deviennent applicables aux opérateurs.
1er octobre 2024
Coupure des appels vers les fixes
L’interruption des appels non authentifiés devient effective à destination des utilisateurs fixes : début de la généralisation du MAN.
Janvier 2025
Coupure des appels vers les mobiles
La même coupure s’applique aux appels à destination des utilisateurs mobiles. Le déploiement est annoncé par les opérateurs début 2025.
Fin 2025
L’itinérance rattrape son retard
Plus de 80 % des appels émis par des abonnés français en itinérance à l’étranger sont authentifiés, avec un taux plus élevé depuis l’Europe.
1er janvier 2026
Masquage des mobiles non authentifiés
En application d’une décision de l’Arcep du 2 décembre 2025, les opérateurs doivent masquer le numéro mobile de tout appel venu de l’étranger qui n’a pas pu être authentifié.
29 janvier 2026
Enquête administrative de l’Arcep
Décision n° 2026-0113-RDPI : le régulateur enquête sur l’origine et les routes des appels usurpés, à l’égard de l’ensemble des opérateurs attributaires de numéros.
Pourquoi le volet mobile a pris deux ans de retard
C’est le point que la plupart des articles passent sous silence, et il explique l’explosion des faux 06 et 07. Authentifier l’appel d’un abonné français en itinérance à l’étranger supposait de renégocier les accords techniques avec les opérateurs étrangers ; tant qu’ils n’existaient pas, bloquer ces appels aurait coupé tous les voyageurs. L’Arcep le reconnaît sans détour : les fraudeurs ont exploité ce délai. D’où le choix, au 1er janvier 2026, du masquage plutôt que du blocage — masquage qui devrait diminuer courant 2026 à mesure que les accords d’itinérance intègrent l’authentification.
Ce que le blocage des appels change — et ce qu’il ne change pas
Le MAN est une avancée réelle, mais présenter le problème comme réglé serait faux : l’enquête ouverte fin janvier 2026 le démontre. Voici la ligne de partage.
| Ce que le MAN règle | Ce qu’il ne règle pas |
|---|---|
| ✔ La traçabilité. L’opérateur signataire est désormais identifiable par les services enquêteurs. | ✘ L’opérateur complaisant. L’Arcep le dit : un opérateur peut encore laisser ses clients afficher le numéro de leur choix. |
| ✔ Les fixes usurpés. Règle binaire : numéro non authentifié, appel coupé, sans masquage possible. | ✘ Les contournements. Les signalements témoignent, selon l’Arcep, de l’agilité des fraudeurs à exploiter les failles d’acheminement. |
| ✔ Les faux mobiles venus de l’étranger. Depuis le 1er janvier 2026, ils arrivent masqués. | ✘ L’escroquerie elle-même. Un fraudeur peut appeler depuis un numéro authentifié qui lui appartient. |
| ✔ Le terrain juridique. Une fraude postérieure au 25 juillet 2023 pose la question de la responsabilité de l’opérateur (article L. 44 du CPCE). | ✘ L’affichage sur votre écran. L’authentification n’est pas transmise jusqu’au destinataire : aucune application ne peut afficher de « coche verte ». |
Ne surinterprétez pas le numéro masqué. L’Arcep rappelle qu’il n’est pas un indice suffisant de fraude : un enseignant, un livreur ou un abonné en voyage peuvent appeler sans numéro affiché. À l’inverse, un numéro parfaitement affiché ne prouve rien. Seul compte le contenu de la demande.
Vos salariés savent-ils réagir à un appel « urgent » du prétendu service comptable ? 30 minutes suffisent pour le vérifier.
Spoofing, smishing, vishing : trois canaux, une seule mécanique
Ces trois termes désignent des variantes d’une même famille : l’ingénierie sociale. Les confondre n’est pas grave ; ne pas voir qu’elles se combinent l’est.
| Terme | Canal | Ce qui est usurpé | Signal d’alerte principal |
|---|---|---|---|
| Spoofing | Appel vocal | Le numéro d’appelant affiché | C’est l’appelant qui vous contacte et exige une action immédiate |
| Vishing voice phishing |
Appel vocal | L’identité de l’interlocuteur : conseiller, technicien, gendarme, dirigeant | Demande de code, de mot de passe ou de virement « exceptionnel » |
| Smishing SMS phishing |
SMS, MMS, RCS | Le nom de l’expéditeur et l’adresse du site de destination | Un lien à cliquer pour payer, régulariser ou vérifier quelque chose |
Le combo le plus efficace en 2026 : un SMS annonce une opération suspecte, puis l’appel « du service fraude » arrive en affichant le numéro de la banque. Le SMS crée l’inquiétude, l’appel apporte la solution. Notre guide dédié à l’hameçonnage par SMS et aux faux SMS colis, CPF ou amende détaille ces amorces. La couche suivante est déjà là : quelques secondes d’enregistrement suffisent à cloner une voix, ajoutant au numéro usurpé celle du dirigeant — c’est l’objet de notre dossier sur l’arnaque au président assistée par deepfake vocal.
Conséquence pratique : vos procédures internes ne doivent plus reposer sur la reconnaissance d’un numéro ni d’une voix. Seul un canal de rappel indépendant, choisi par vous, fait office de preuve d’identité.
Quand c’est le numéro de votre entreprise qui est usurpé
C’est la situation dont personne ne parle et qui se répand : votre numéro professionnel sert d’identifiant d’appelant à des escrocs ou à des démarcheurs illégaux. Vous ne l’apprenez jamais par un canal officiel, mais parce que votre standard sature d’appels furieux, parce qu’un avis à une étoile vous accuse de harcèlement téléphonique — ou, au pire, parce qu’un client a payé une fausse facture après un appel affichant votre numéro. Le préjudice est double : la réputation, et le risque d’être mis en cause si un client a subi un dommage.
Les sept étapes à dérouler, dans l’ordre
- Constatez et documentez dès la première heureOuvrez un journal des faits : date et heure de chaque appel signalé, numéro affiché, identité du correspondant, discours tenu par le fraudeur, captures d’écran. Ce dossier conditionne tout le reste : signalements, plainte, défense de votre responsabilité.
- Écartez d’abord un piratage de votre propre téléphonieÉtape que tout le monde saute. Demandez le journal des appels sortants et vérifiez la consommation facturée. Si les appels partent réellement de vos lignes, ce n’est pas une usurpation mais une compromission de votre IPBX ou de votre trunk SIP : coupez les accès distants, changez les mots de passe des comptes SIP, faites auditer l’installation.
- Signalez par écrit à votre opérateurSupport professionnel, et par écrit : un courriel daté fait preuve. Demandez la vérification de la liste des numéros que vos lignes sont autorisées à présenter, la recherche de traçabilité des appels usurpés via le MAN, et la confirmation écrite des vérifications.
- Signalez à l’Arcep, puis au 33700La plateforme jalerte.arcep.fr est ouverte aux entreprises : l’usurpation de numéro y est devenue la première cause de signalement, et c’est sur cette base que l’enquête administrative de janvier 2026 a été ouverte. Signalez ensuite les appels et SMS au 33700, plateforme officielle portée par les opérateurs, gratuite, qui alimente le blocage des campagnes en cours.
- Communiquez avant que vos clients ne vous appellentUn message court et factuel vaut mieux qu’un silence de trois semaines : ce qui se passe, ce que vous ne demandez jamais par téléphone, par quel canal vous rappeler. N’affirmez jamais que vos systèmes ont été « piratés » : ce n’est pas le cas, et l’écrit vous engage.
- Déposez plainte et faites-vous accompagnerPlainte au commissariat, à la gendarmerie ou par écrit au procureur de la République, journal des faits joint. Selon les circonstances, l’escroquerie (article 313-1 du code pénal, cinq ans et 375 000 €) et l’usurpation d’identité (article 226-4-1, un an et 15 000 €) peuvent être retenues contre les auteurs. En parallèle, 17Cyber.gouv.fr, guichet unique lancé en décembre 2024 par le ministère de l’Intérieur avec Cybermalveillance.gouv.fr, propose un diagnostic en ligne et l’assistance d’un policier ou d’un gendarme 24 h/24.
Ce qui ne sert à rien, et que l’Arcep déconseille explicitement : changer de carte SIM est « totalement inefficace » et vous sera facturé ; changer de numéro est « le plus souvent inutile », sauf si les désordres persistent durablement. Le fraudeur a pris votre numéro au hasard et en utilisera vite un autre. Concentrez-vous sur la documentation, les signalements et la communication client.
Le message à envoyer à vos clients
Le bon message tient en cinq lignes : ce qui se passe, ce que vous ne demandez jamais, ce que le client doit faire, comment vous joindre, ce que vous avez entrepris.
Copié ✔
Un piège à éviter : ne demandez jamais à vos clients de « vérifier leurs coordonnées bancaires » et ne diffusez pas de numéro de rappel inédit — les fraudeurs recopient ces communications pour lancer une seconde vague. Renvoyez vers le numéro déjà présent sur vos factures.
Remboursement bancaire : ce que dit la jurisprudence sur la négligence grave
Quand le spoofing a débouché sur des virements, le débat devient juridique. Trois articles du code monétaire et financier le structurent : L. 133-18 (la banque rembourse une opération non autorisée au plus tard le premier jour ouvrable suivant le signalement), L. 133-19 (elle ne s’en libère qu’en établissant une fraude ou une négligence grave) et L. 133-23 (la seule utilisation enregistrée de l’instrument de paiement ne prouve ni l’autorisation ni la négligence : la preuve pèse sur la banque).
Le point d’inflexion est venu de la Cour de cassation, chambre commerciale, le 23 octobre 2024 (pourvoi n° 23-16.267, publié au Bulletin). Un client avait été contacté par une prétendue assistante de sa conseillère ; le numéro affiché était celui de la banque, le prétexte une attaque informatique nécessitant l’ajout de bénéficiaires. La Cour a jugé qu’aucune négligence grave ne pouvait être imputée au client lorsque le mode opératoire — usurpation du numéro officiel, mise en confiance, urgence simulée — a précisément pour effet de diminuer sa vigilance. Elle distingue aussi le client appelé au téléphone, qui a peu de temps pour déceler l’anomalie, du destinataire d’un e-mail, apprécié plus sévèrement.
Cette solution a irrigué les juridictions du fond en 2025 et 2026, y compris au profit de clients professionnels : l’authentification forte seule ne vaut pas preuve d’autorisation, car valider sous contrainte psychologique n’est pas consentir. En cas de refus, notre guide sur les recours quand la banque refuse de rembourser un phishing détaille la marche à suivre.
Une inflexion à connaître. Par un arrêt du 4 mars 2026 (n° 24-19.588, publié au Bulletin), la Cour de cassation a censuré une décision favorable à un client, reprochant aux juges de ne pas avoir recherché s’il avait lu le message de confirmation reçu avant de valider — message mentionnant explicitement un « paiement » et non l’annulation décrite par le fraudeur. Le contenu exact des notifications compte désormais : documentez-les.
Deux points pratiques : vous disposez de treize mois pour contester une opération non autorisée, et le signalement doit intervenir sans tarder. La fraude à la carte bancaire se signale sur Perceval, la plainte pour escroquerie en ligne via THESEE — deux téléservices accessibles depuis service-public.fr.
Réduire le risque avant l’incident : le volet PME
On ne peut pas empêcher un tiers d’afficher son numéro, mais on peut réduire l’impact d’un spoofing. Cinq mesures, par ordre de rentabilité :
- Faire restreindre les numéros présentables par votre opérateur : un courriel au support pro, et la preuve de votre diligence en cas d’incident.
- Durcir l’IPBX et les comptes SIP — mots de passe uniques, administration non exposée sur Internet, restrictions par adresse IP, journalisation. Un standard piraté génère des appels réels et une facture qui grimpe en une nuit.
- Instaurer un double canal pour tout changement de RIB, virement inhabituel ou demande urgente : l’identité se vérifie par rappel sur un numéro connu, jamais par reconnaissance d’un numéro ou d’une voix.
- Interdire par écrit la dictée de codes reçus par SMS ou application, y compris entre collègues.
- Surveiller les signaux faibles : appels entrants inexpliqués, avis négatifs évoquant du démarchage, réclamations clients. Détecter en 24 h plutôt qu’en trois semaines change l’ampleur du préjudice de réputation.
Le facteur décisif reste humain. Un accueil qui sait dire « je vous rappelle sur notre numéro habituel » sans se sentir impoli désamorce l’essentiel des tentatives — c’est l’objet de notre guide sur la sensibilisation à la cybersécurité en entreprise. Même logique à l’écrit avec la vérification d’un e-mail suspect en 60 secondes.
À anticiper : à compter du 11 août 2026, l’article 13 de la loi n° 2025-594 du 30 juin 2025 fait basculer le démarchage téléphonique vers le consentement préalable, dont la preuve pèse sur le professionnel. Les campagnes illégales auront donc encore plus intérêt à se cacher derrière des numéros usurpés. Si votre PME prospecte par téléphone, la mise en conformité est à engager maintenant.
Votre numéro est usurpé, ou vous voulez éviter d’en arriver là ?
Numéros présentables, sécurité du standard, procédure de vérification des paiements, réflexes des équipes : un spécialiste fait le point avec vous en 30 minutes. Offert, sans engagement.
Demander mon diagnostic offert
TPE & PME · Réponse sous 24 h ouvrées · Var / PACA & toute la France à distance
FAQ — Spoofing téléphone
C’est quoi le spoofing téléphonique ?
Comment savoir si mon numéro de téléphone est usurpé ?
Que faire si le numéro de mon entreprise est utilisé par des escrocs ?
Faut-il changer de numéro ou de carte SIM après une usurpation ?
Ma banque doit-elle me rembourser après une arnaque au faux conseiller ?
Le mécanisme d’authentification des numéros empêche-t-il vraiment l’usurpation ?
Le spoofing téléphone n’est pas une faille à corriger chez vous : c’est une propriété historique du réseau, que la loi Naegelen et le MAN referment sans l’avoir encore refermée. La seule protection fiable tient donc en une règle interne : un numéro affiché n’est pas une identité. Pour aller plus loin, notre guide complet du phishing et de l’hameçonnage, ou votre diagnostic cybersécurité offert — 30 minutes pour vérifier si vos procédures de paiement résisteraient à un appel de dix minutes.
Laisser un commentaire