En 2023, 380 millions d’euros ont été dérobés en France via le spoofing téléphonique.
Et en 2025, l’Arcep a enregistré pas moins de 18 000 signalements d’usurpation de numéro.
Des chiffres qui donnent le vertige, et qui posent une question légitime : quels logiciels permettent concrètement d’usurper un numéro, comment fonctionnent-ils, et surtout, comment s’en protéger ?
Sommaire
🎭 Logiciels d’usurpation de numéro : Comment fonctionne le spoofing téléphonique ?
Le spoofing téléphonique consiste à falsifier le numéro affiché sur l’écran du destinataire d’un appel. L’appelant se fait passer pour une banque, une administration ou un partenaire commercial. Le fraudeur exploite ainsi la confiance de sa cible pour récupérer des données sensibles ou détourner de l’argent. C’est le mécanisme technique qui sert de rampe de lancement au phishing.
Historiquement, c’est Star38.com qui a lancé en 2004 le premier service grand public d’usurpation d’identification de l’appelant, accessible depuis une simple interface web. Des dizaines de plateformes similaires ont émergé dès l’année suivante. Depuis, la technologie s’est considérablement démocratisée.
La grande majorité des outils de spoofing repose sur la VoIP (Voice over Internet Protocol), c’est-à-dire la téléphonie par internet. Certains fournisseurs permettent à l’utilisateur de configurer librement son numéro d’appelant depuis un panneau de configuration web. D’autres services fonctionnent comme une carte d’appel prépayée : l’utilisateur achète un code PIN, compose un numéro de service, saisit le numéro sortant souhaité et choisit l’identifiant à afficher chez le destinataire. L’appel est ensuite routé avec le numéro usurpé.
Voici les principales méthodes techniques utilisées pour l’usurpation de numéro :
- 🖥️ Interface web VoIP : l’utilisateur configure son numéro d’appelant immédiatement dans les paramètres du fournisseur
- 📲 Application mobile dédiée : certains services proposent une app permettant de créer un compte et de personnaliser l’identifiant à chaque appel
- 📟 Carte d’appel prépayée : achat d’un code PIN, saisie manuelle du numéro à afficher avant chaque appel
- 🔊 Orange boxing : un logiciel génère un signal audio couplé à la ligne pour simuler un appel entrant depuis un numéro usurpé
Tous les opérateurs ne facilitent pas le spoofing de la même façon. Vonage, par exemple, empêche ses utilisateurs de modifier les paramètres matériels de configuration. Skype, qui ne respecte pas les normes matérielles standards, rend aussi l’usurpation plus difficile.
| Type de spoofing | Méthode utilisée | Cible visée |
|---|---|---|
| 💼 Spoofing commercial | Imitation d’un fournisseur ou opérateur | Données personnelles, abonnements |
| 🏦 Spoofing bancaire | Numéro imitant celui de la banque | Identifiants, codes carte |
| 🏛️ Spoofing administratif | Affichage d’un numéro officiel | Informations fiscales, personnelles |
| 👔 Spoofing hiérarchique | Numéro interne d’entreprise | Virements frauduleux (fraude au président) |
| 💻 Spoofing technique | Faux support informatique | Accès distant au réseau |
⚖️ Cadre légal et limites de l’usurpation de numéro de téléphone
La question de la légalité varie fortement selon les pays. Aux États-Unis, le Truth in Caller ID Act encadre la pratique : la FCC peut infliger une amende allant jusqu’à 10 000 dollars par infraction si l’usurpation vise à frauder ou causer un préjudice. Mais l’intention malveillante étant difficile à prouver, beaucoup d’usages restent dans une zone grise.
En France, la réglementation est plus stricte. Dès 2018, l’Arcep a précisé dans son plan de numérotation qu’utiliser le numéro d’un tiers comme identifiant d’appelant nécessite l’accord préalable de ce tiers. La loi Naegelen, adoptée le 24 juillet 2020, est allée plus loin : ses dispositions sont entrées en vigueur le 25 juillet 2023 et imposent aux opérateurs d’authentifier le numéro de chaque appel émis. Si ce numéro ne peut être validé, l’appel doit être coupé.
Le Mécanisme d’Authentification des Numéros (MAN), basé sur les protocoles STIR/SHAKEN (déjà déployés aux États-Unis et au Canada), a été mis en place le 1er octobre 2024 pour les appels fixes, puis en janvier 2025 pour les appels mobiles. Depuis le 1er janvier 2026, tout appel mobile provenant de l’étranger sans authentification valide voit son numéro masqué. Fin 2025, plus de 80 % des appels émis par les abonnés français en itinérance étaient authentifiés, selon l’Arcep. Pas mal comme progression !
Attention toutefois : l’authentification ne supprime pas totalement le risque. Un opérateur peu scrupuleux peut encore laisser ses clients afficher le numéro de leur choix. En cas de signalement, le MAN permet néanmoins d’identifier l’opérateur ayant signé l’appel frauduleux, ce qui facilite les enquêtes.
🛡️ Comment reconnaître une tentative d’usurpation et réagir efficacement ?
Reconnaître le spoofing, c’est avant tout repérer certains signaux concrets. Si votre banque vous appelle sans rendez-vous préalable, avec un ton pressant, et vous demande de valider un paiement ou transmettre des codes immédiatement, raccrochez. Vérifiez systématiquement en rappelant le numéro officiel affiché sur le site de l’institution, pas celui qui vient de vous appeler. Je l’ai moi-même testé : en cherchant le numéro affiché sur le web, on évite bien des mauvaises surprises.
Pour vérifier qu’un site internet est fiable avant d’y laisser vos données, quelques réflexes simples suffisent. Le même raisonnement s’applique aux appels suspects : ne faites jamais confiance à un numéro entrant seul, vérifiez toujours la source.