Vishing : comment repérer les tentatives d'escroquerie par téléphone

Sommaire :

• Qu'est-ce que le vishing et comment fonctionne cette arnaque ?

• Comment fonctionne le vishing et pourquoi ces appels semblent-ils si crédibles ?

• Quelles sont les techniques de vishing les plus courantes ?

• Reconnaître le vishing : voici les 6 signes avant-coureurs à connaître

• Appel suspect : comment réagir au bon moment

• Si quelqu’un se fait passer pour votre banque au téléphone

• Comment renforcer encore davantage la sécurité de votre carte Swiss Bankers

• Vous avez été victime de vishing : voici les mesures à prendre immédiatement

• Conclusion : en cas d’appels suspects, mieux vaut raccrocher une fois de trop

Qu'est-ce que le « vishing » et comment fonctionne cette arnaque ?

Le terme « vishing » est issu de la combinaison des mots anglais « voice » et « phishing » et désigne le phishing par téléphone ou par appel vocal. Alors que les attaques de phishing classiques se font souvent par le biais d’e-mails ou de sites web frauduleux, les cybercriminels tentent, dans le cadre du vishing, de manipuler leurs victimes directement au cours d’une conversation.

Pour ce faire, ils se font passer pour des personnes de confiance ou des collaborateurs d’institutions et d’entreprises connues. L’objectif est, par exemple, d’obtenir des informations personnelles, des mots de passe, des données de carte ou d’accès et des codes de sécurité, ou encore d’inciter les personnes concernées à effectuer un paiement ou toute autre action ayant une incidence sur leur sécurité.

Le vishing est donc une forme de ce qu’on appelle l’ingénierie sociale : au lieu d’attaquer directement les mécanismes de sécurité techniques, les auteurs tentent d’influencer les personnes de manière ciblée. Lorsqu’une tentative de phishing similaire est effectuée par SMS, on parle de « smishing ».

Comment fonctionne le vishing et pourquoi ces appels semblent-ils si crédibles ?

Le vishing mise avant tout sur la confiance, la surprise et la pression du temps. Les appelants décrivent souvent une situation qui semble exiger une action immédiate : un paiement inhabituel doit être bloqué, un compte doit être protégé ou un problème technique doit être résolu de toute urgence.

Il ne reste donc que peu de temps pour remettre en question leur histoire. À cela s’ajoute le fait que les escrocs disposent parfois déjà d’informations personnelles sur leurs victimes. Celles-ci peuvent par exemple provenir d’attaques de phishing antérieures, de fuites de données ou de sources accessibles au public. Si l’appelant connaît le nom, l’employeur ou même la banque de la personne contactée, l’appel peut rapidement paraître crédible.

Même le numéro de téléphone affiché n’offre aucune garantie fiable. Avec ce que l’on appelle le « Caller ID spoofing », le numéro d’appel est falsifié. L’écran peut ainsi afficher, par exemple, un numéro de téléphone suisse ou même, en apparence, le numéro officiel d’une banque ou d’une entreprise.

Quelles sont les arnaques par vishing les plus courantes ?

L'identité de la personne qui semble se cacher derrière un appel de vishing peut varier considérablement. Souvent, les escrocs choisissent des expéditeurs auxquels la personne appelée ferait normalement confiance.

• De prétendus employés de banque : l’appelant prétend par exemple avoir détecté une transaction suspecte. Pour la bloquer, il demande aux personnes concernées de lui communiquer leurs identifiants ou codes de sécurité, de valider une action dans une application ou de lui accorder un accès à distance à leur appareil.
• Faux service d’assistance technique : de prétendus collaborateurs d’une entreprise technologique signalent un problème de sécurité sur un ordinateur ou un smartphone. Les personnes concernées sont ensuite invitées, par exemple, à installer un logiciel d’accès à distance. Cela permet aux fraudeurs d’accéder à l’appareil et, dans certains cas, à des données sensibles.
• Fausses autorités ou police : les autorités et les services de police sont également utilisés comme prétendus expéditeurs. Lors d’appels automatisés, il peut par exemple être affirmé que la personne appelée est impliquée dans une infraction pénale. En appuyant sur une touche, elle est ensuite mise en relation avec un prétendu collaborateur.
• Entreprises et prestataires de services connus : le vishing peut également s’appuyer sur un contact antérieur. Un message ou un site web frauduleux est par exemple suivi d’un appel d’un prétendu collaborateur de l’entreprise concernée, qui souhaite « aider » à résoudre un prétendu problème.

Ces méthodes peuvent se combiner. L’Office fédéral de la cybersécurité (BACS) observe par exemple des attaques en deux étapes, dans lesquelles des informations telles que le numéro de téléphone et les coordonnées bancaires sont d’abord collectées via un site web de hameçonnage. Les auteurs de ces attaques se font ensuite passer, par téléphone, pour des collaborateurs de cette même banque.

Reconnaître le vishing : voici les 6 signes avant-coureurs à connaître

Les appels de vishing peuvent prendre des formes très variées. Certains éléments devraient toutefois vous mettre la puce à l'oreille :

1. L'appel est inattendu.
Une personne ou une institution apparemment digne de confiance vous contacte soudainement au sujet d'un problème urgent.

2. Une pression inhabituelle est exercée pour vous faire agir rapidement.
Vous devez réagir immédiatement, sous peine de subir, par exemple, un préjudice financier, un blocage de compte ou d’autres conséquences.

3. Des informations confidentielles vous sont demandées.
On vous demande par exemple de communiquer des mots de passe, des codes PIN, des informations relatives à vos cartes ou des codes de sécurité ou à usage unique.

4. On vous demande de valider une action que vous ne connaissez pas.
On vous invite à valider un paiement, une inscription ou toute autre demande que vous n’avez pas initiée vous-même.

5. On vous demande d’installer un logiciel ou d’accorder un accès à distance.
La plus grande prudence s’impose lorsqu’un interlocuteur inconnu souhaite accéder à votre ordinateur ou à votre smartphone.

6. Le numéro de téléphone affiché est censé inspirer confiance.
Même un numéro de téléphone apparemment familier ou officiel ne constitue pas une preuve de l’authenticité d’un appel. Les numéros de téléphone peuvent être falsifiés.

Appel suspect : comment réagir au bon moment

Si un appel vous semble suspect, la règle d'or est la suivante : ne vous laissez pas mettre sous pression. En suivant ces étapes, vous ne prendrez aucun risque :

1. Mettez fin à la conversation. En cas de doute, raccrochez – même si votre interlocuteur connaît déjà des informations personnelles vous concernant ou si le numéro affiché semble fiable.
2. Ne communiquez aucune information confidentielle. Ne donnez pas de mots de passe, de codes PIN, d’informations relatives à vos cartes bancaires ou de codes de sécurité. Ne confirmez aucun paiement ou inscription inconnu et n’installez aucun logiciel à la demande de votre interlocuteur.
3. Vérifiez l’authenticité de l’appel par vous-même. Contactez directement la banque, l’administration ou l’entreprise concernée. Utilisez pour cela exclusivement les coordonnées que vous avez trouvées sur un site web officiel, une application ou toute autre source fiable.
4. Signalez l’appel suspect. Vous pouvez signaler les incidents informatiques suspects à l’Office fédéral de la cybersécurité (BACS). Si vous avez déjà subi un préjudice financier, vous devriez également porter plainte auprès de la police.

Important : même un numéro de téléphone connu ou des informations personnelles que l’appelant détient à votre sujet ne constituent pas une preuve que l’appel est authentique.

Si quelqu'un se fait passer pour votre banque au téléphone

Les banques et les émetteurs de cartes peuvent tout à fait contacter leurs clients, par exemple lorsqu’une transaction suspecte a été détectée. Un appel de votre banque n’est donc pas automatiquement une tentative de fraude.

Ce qui est déterminant, ce sont les informations ou les actions qui vous sont demandées. Ne communiquez jamais par téléphone des éléments d’identification confidentiels tels que des codes PIN, des mots de passe ou des codes de sécurité. Swiss Bankers et Mastercard ne demandent jamais à leurs clients de divulguer, de modifier ou de confirmer des données personnelles telles que le numéro de carte, la date d’expiration, le code de sécurité, le nom d’utilisateur ou les mots de passe.

Si, lors d’un appel, on vous demande par exemple de fournir de telles données, d’autoriser un paiement inconnu ou d’accorder à un inconnu l’accès à votre appareil, mettez fin à la conversation. Contactez ensuite Swiss Bankers par vous-même via les moyens de contact officiels.

Comment renforcer encore davantage la sécurité de votre carte Swiss Bankers

Grâce à quelques réglages dans l’application Swiss Bankers, vous pouvez renforcer la protection de votre carte et détecter plus rapidement les activités suspectes :

1. Activez les notifications push. Vous serez ainsi informé des transactions effectuées et pourrez repérer plus rapidement les prélèvements inconnus.
2. Vérifiez régulièrement vos transactions. Contrôlez votre compte de carte pour détecter d’éventuels prélèvements inconnus ou inhabituels et réagissez le plus rapidement possible en cas d’anomalies.
3. Adaptez les fonctionnalités de votre carte à votre utilisation. L’application vous permet par exemple de désactiver le paiement sans contact ou de bloquer les paiements dans certaines régions grâce au géoblocage. Si vous n’utilisez votre carte qu’occasionnellement, vous pouvez la bloquer temporairement et la réactiver si nécessaire.
4. Vérifiez attentivement les paiements en ligne. Mastercard Identity Check offre une protection supplémentaire grâce à l’authentification à deux facteurs pour les paiements en ligne concernés. Ne validez toutefois que les paiements et les opérations que vous avez vous-même initiés.

Quelques réglages de sécurité suffisent pour vous permettre de détecter plus rapidement toute activité inhabituelle sur votre carte et d’adapter son utilisation à vos besoins personnels.

Vous avez été victime d'une tentative de « vishing » : voici les mesures à prendre immédiatement

Si vous avez déjà communiqué des données, confirmé un paiement ou permis à un escroc d'accéder à votre appareil, vous devez réagir le plus rapidement possible :

1. Sécurisez les comptes et appareils concernés. Modifiez les mots de passe et identifiants qui auraient pu être compromis. Si vous avez installé un logiciel d’accès à distance à la demande d’un escroc, déconnectez d’abord l’appareil concerné d’Internet et, en cas de doute, faites-le vérifier par un expert.
2. Contactez votre banque ou votre prestataire de services de paiement. Si de l’argent a déjà été transféré ou si des données de paiement sont concernées, contactez immédiatement le prestataire concerné.

3. Agissez si votre carte Swiss Bankers est concernée. Faites bloquer votre carte sans délai et signalez le soupçon de fraude au service client de Swiss Bankers. Vous pouvez également utiliser directement l’application Swiss Bankers : en sélectionnant l’option en libre-service « Remplacer la carte », la procédure correspondante sera automatiquement lancée. Dans ce cas, il n’est pas nécessaire de bloquer manuellement la carte.

4. Vérifiez et signalez les transactions inconnues. Vérifiez vos transactions pour détecter d’éventuels débits inconnus. Vous pouvez contester les transactions frauduleuses déjà effectuées auprès de Swiss Bankers à l’aide du formulaire prévu à cet effet.

5. Signalez le cas de fraude. Les incidents informatiques suspects peuvent être signalés au BACS. Si vous avez subi un préjudice financier, vous devriez également porter plainte auprès de la police.

Plus vous réagissez rapidement après une attaque de vishing réussie, plus vite vous pourrez empêcher d’autres accès ou transactions non autorisés.

Conclusion : en cas d'appels suspects, mieux vaut raccrocher plutôt qu'une fois de trop

Le vishing fonctionne avant tout parce que les escrocs parviennent à instaurer un climat de confiance tout en exerçant une pression. Ils peuvent se faire passer aussi bien pour des employés de banque que pour des représentants des autorités ou des collaborateurs d’entreprises connues. Ne vous laissez donc pas pousser à prendre des décisions hâtives lors d’appels inattendus. Ne communiquez aucune information confidentielle et ne confirmez aucune opération que vous n’avez pas initiée vous-même. Si un appel vous semble suspect, raccrochez et contactez vous-même la personne ou l’institution concernée via un canal officiel.