Le vishing — hameçonnage par appel téléphonique — met en évidence la faiblesse la plus simple du SMS-OTP : un code est une information, et une information se demande. L'attaquant qui possède déjà un mot de passe n'a plus besoin de technique. Il déclenche l'envoi du code, appelle la victime en se présentant comme le service concerné, et obtient le chiffre par la conversation.
Pourquoi la voix fonctionne mieux que l'écrit
Un message frauduleux laisse le temps de la relecture. Un appel, non. Trois ressorts s'y ajoutent.
La légitimité empruntée. L'appelant annonce le prénom de la victime, la banque ou l'employeur concerné, parfois l'existence d'une opération récente — informations souvent accessibles par une compromission antérieure ou une fuite. La crédibilité est établie en quelques secondes.
L'inversion de la charge de la preuve. L'attaquant ne demande pas un code : il annonce une fraude en cours et propose de la bloquer. La victime devient demandeuse d'aide, et le code n'est plus un secret à protéger mais une étape pour se protéger.
La preuve inversée. « Pour vérifier que vous êtes bien le titulaire, je vous envoie un code. » La victime reçoit effectivement un SMS, qui vient réellement du service légitime. Le code authentique sert alors de preuve de la légitimité de l'appelant. Le mécanisme de sécurité devient l'argument de la fraude.
Des automates d'appel spécialisés ont industrialisé ce schéma : un système déclenche l'envoi du code, appelle la cible, joue un message préenregistré et collecte le code composé au clavier. Le scénario ne demande plus de compétence d'acteur, seulement une liste de numéros et des identifiants valides.
Ce que cela dit du facteur lui-même
| Propriété du facteur | Conséquence face au vishing |
|---|---|
| Le code est lisible par l'utilisateur | Il peut être dicté |
| Le code n'est lié à aucune origine | Rien n'indique à qui il est destiné |
| Le code arrive hors du contexte de l'action | L'attaquant peut lui donner le sens qu'il veut |
| Le code est court et mémorisable | Il se transmet à l'oral sans effort |
| L'envoi est déclenchable à distance | L'attaquant maîtrise le tempo de l'appel |
Aucune de ces propriétés n'est un défaut d'implémentation : ce sont les caractéristiques fondamentales du mécanisme. Un facteur transmissible par la parole est un facteur extractible par la conversation.
Par comparaison, une réponse cryptographique liée au domaine ne peut pas être dictée : elle n'a aucune existence lisible pour l'utilisateur. Et une preuve d'intention associée à l'opération — la logique du facteur cognitif — ne peut pas être produite par quelqu'un qui ignore l'action réellement en cours.
Pourquoi la consigne « ne communiquez jamais votre code » ne suffit pas
Cette consigne est nécessaire, largement diffusée, et régulièrement inefficace. Trois raisons expliquent ce décalage.
Elle demande à la victime de résister à un professionnel de la manipulation, en temps réel, sur un sujet où elle se sent techniquement inférieure.
Elle entre en conflit avec l'expérience quotidienne : de nombreux services demandent effectivement des éléments de vérification par téléphone. La frontière entre demande légitime et frauduleuse n'est pas lisible pour un utilisateur.
Elle porte sur le mauvais moment. La décision se prend sous pression, alors que la sensibilisation a eu lieu des mois plus tôt, hors contexte.
Mesures qui réduisent réellement le risque
- Faire porter la consigne par le message lui-même. Une mention systématique dans le SMS, lue au moment exact du risque, atteint la victime pendant l'appel frauduleux. C'est la mesure la moins coûteuse et la plus efficace à court terme.
- Contextualiser le code. Un message qui précise l'opération — nature, montant, bénéficiaire — permet de constater le décalage avec ce que raconte l'appelant. Sans ce contexte, l'attaquant fournit lui-même l'interprétation.
- Instaurer un canal de vérification connu à l'avance. Publier un numéro officiel de rappel et énoncer publiquement ce que vous ne demanderez jamais donne à la victime une porte de sortie utilisable pendant l'appel.
- Découpler la validation d'opération de la connexion. Une opération sensible doit exiger une preuve produite dans le parcours de l'opération, avec son contexte affiché, et non un code générique reçu par un canal séparé.
- Détecter le motif côté service. Envoi de code, appel entrant sur la ligne support, puis opération financière dans les minutes qui suivent : cette séquence est identifiable. Le taux anormal de codes demandés sans connexion aboutie est également un signal précoce.
- Sortir du facteur transmissible pour les populations exposées. Direction financière, service comptable, administrateurs : le vishing les cible en priorité, car ils déclenchent des opérations à effet immédiat.
FAQ
Le vishing vise-t-il seulement les particuliers ?
Non. En entreprise, il prend la forme d'un faux support informatique ou d'un faux prestataire bancaire, souvent combiné à des identifiants déjà volés. Les services financiers et les équipes d'astreinte sont particulièrement exposés.
Un rappel du numéro affiché permet-il de vérifier l'appelant ?
Non, la présentation du numéro n'est pas une preuve : elle peut être falsifiée. Seul un rappel vers un numéro officiel, saisi par la victime elle-même à partir d'une source connue, constitue une vérification.
Que faire quand un collaborateur a communiqué un code ?
Considérez l'opération comme potentiellement validée : révoquez les sessions, vérifiez les opérations en attente, contrôlez les modifications de coordonnées bancaires et les facteurs enrôlés, puis alertez les équipes susceptibles d'être appelées ensuite.
Le passage à une application d'authentification protège-t-il du vishing ?
Partiellement seulement. Un code affiché dans une application se dicte aussi bien qu'un code reçu par SMS. Seule une méthode sans valeur lisible, ou une validation liée à l'action, ferme réellement ce scénario.
Aller plus loin : le 4ᵉ facteur cognitif · MFA résistante au phishing · fraude au faux conseiller · valider une transaction sensible