Le vishing (contraction de voice et phishing) est un hameçonnage mené par téléphone. L'appelant se fait passer pour un interlocuteur légitime — conseiller bancaire, support informatique, fournisseur, dirigeant — et obtient de sa victime un code d'authentification, une approbation, une information sensible ou un virement.
Les scénarios les plus courants
- Faux conseiller bancaire : « une opération suspecte a été détectée, communiquez-moi le code reçu pour l'annuler » ;
- Faux support informatique : appel consécutif à une vague de notifications, pour faire approuver une demande MFA ;
- Faux dirigeant : instruction urgente et confidentielle de paiement, désormais crédibilisée par le clonage vocal.
L'attaque est fréquemment précédée d'un SMS ou d'un courriel qui prépare le terrain, et l'appelant peut afficher un numéro usurpé. Quelques secondes d'enregistrement public suffisent aujourd'hui à produire une voix synthétique convaincante, ce qui prive l'oreille humaine de son rôle de contrôle.
Ce qui tient encore
Les parades utiles sont organisationnelles et techniques, jamais fondées sur la reconnaissance de la voix : rappel systématique sur un numéro connu, double validation par un second canal, séparation des tâches pour tout paiement, règle absolue interdisant la communication d'un code.
Le facteur décisif reste la nature de la preuve demandée. Un code récitable au téléphone est récitable sous influence. Un raisonnement personnel, appliqué à un challenge affiché sur le canal authentique, ne se dicte pas à un interlocuteur.
Aller plus loin : deepfakes et fraude au faux conseiller · facteur cognitif face au vishing · définition du smishing · l'authentification cognitive