Le vishing, ou hameçonnage vocal, est un type d’attaque par hameçonnage réalisée par téléphone ou message vocal – il peut s’agir d’un message vocal, d’un appel vidéo ou d’un appel téléphonique. Il est utilisé contre les entreprises et les particuliers pour voler des données et de l’argent, ou lancer d’autres escroqueries.

La voix d’une personne n’est plus un élément fiable. Et avec le clonage vocal par IA, les attaquants peuvent facilement se faire passer pour un membre de la famille ou un ami proche, en ayant une voix suffisamment familière pour ne susciter aucun soupçon.

Le clonage vocal par IA rend plus important que jamais pour les entreprises de renforcer leurs défenses contre les escroqueries par vishing. Une fausse voix convaincante peut être utilisée pour usurper l’identité de dirigeants, d’employés, de fournisseurs ou de clients, augmentant ainsi le risque de paiements frauduleux, de vol d’identifiants, de prise de contrôle de compte, de fuites de données et de perturbation des opérations internes.

Comme ces attaques peuvent exploiter des processus d’entreprise normaux et des relations de confiance, les organisations ont besoin de procédures de vérification qui ne reposent pas sur le fait qu’un correspondant semble familier ou convaincant.

Qu’est-ce que le vishing ?

Le vishing est un type d’hameçonnage réalisé par téléphone ou par message vocal. Les escrocs usurpent l’identité de personnes ou d’organisations de confiance, telles que des banques, des employeurs, des organismes gouvernementaux ou des membres de la famille, pour inciter les victimes à partager des informations sensibles, envoyer de l’argent ou effectuer d’autres actions.

Le nom vient de « voice » + « phishing ». Il est étroitement lié au smishing, qui utilise des SMS ou des messages texte au lieu d’appels vocaux pour exécuter des escroqueries similaires.

Aujourd’hui, le vishing peut également impliquer le clonage vocal par IA, qui permet aux escrocs d’imiter la voix d’une vraie personne et de rendre l’appel plus convaincant.

Comment fonctionne le vishing ?

Le vishing fonctionne généralement en combinant usurpation d’identité, ingénierie sociale et urgence. Il repose sur la pression d’une conversation en direct pour inciter une personne à agir avant qu’elle n’ait le temps de vérifier la demande. Un correspondant peut prétendre faire partie de l’équipe informatique et demander de confirmer des identifiants, se faire passer pour un employé de banque vérifiant une transaction suspecte ou usurper l’identité d’un haut dirigeant qui a urgemment besoin qu’un paiement soit approuvé.

Contrairement aux e-mails d’hameçonnage, il peut n’y avoir aucun lien suspect, aucune pièce jointe ni aucune adresse d’expéditeur inconnue à examiner. L’interlocuteur peut sembler calme, convaincant ou même familier, en particulier si le clonage vocal par IA est utilisé.

L’objectif est généralement de persuader la victime de révéler des identifiants ou des codes à usage unique, d’approuver un virement, de réinitialiser l’accès à un compte ou de contourner une procédure de sécurité normale. Dans un contexte professionnel, cela peut consister à tromper l’équipe financière pour qu’elle autorise un paiement, à se faire passer pour le support informatique pour recueillir des identifiants, ou à convaincre un employé d’accorder à un attaquant l’accès à un compte de l’entreprise.

L’IA rend le vishing plus difficile à détecter

Les escroqueries traditionnelles par vishing se trahissaient souvent par de mauvais scripts, des menaces évidentes, des centres d’appels bruyants ou des interlocuteurs qui ne semblaient tout simplement pas convaincants. Certaines le font encore. Mais les entreprises ne peuvent plus considérer la qualité de la voix, l’assurance ou la familiarité comme des signes fiables qu’un appel est authentique.

Le clonage vocal par IA permet d’imiter des personnes réelles de manière suffisamment fidèle pour créer des demandes crédibles. Les attaquants peuvent combiner une voix clonée avec l’usurpation d’identifiant d’appelant et des informations personnelles collectées sur LinkedIn, des sites internet d’entreprises, des interviews publiques, les réseaux sociaux ou des fuites de données antérieures.

Cela rend les voix familières particulièrement risquées en tant que signal de confiance. Les gens jugent naturellement leurs interlocuteurs au ton, à l’assurance, aux hésitations ou au fait que la voix ressemble à celle de quelqu’un qu’ils connaissent. L’IA peut reproduire bon nombre de ces indices, faisant passer un dirigeant, un collègue, un fournisseur ou un employé informatique usurpé pour quelqu’un de calme, pressé, autoritaire ou préoccupé.

En 2025, le FBI a averti(nouvelle fenêtre) que des acteurs malveillants utilisaient le smishing et des messages vocaux générés par IA pour usurper l’identité de hauts responsables américains, instaurer de la confiance et tenter d’accéder à des comptes personnels.

Pour les entreprises, les attaquants n’ont pas besoin d’une imitation parfaite. Il leur suffit d’un appel suffisamment convaincant pour déclencher une action, comme approuver un paiement, partager un code de vérification, réinitialiser un mot de passe ou modifier l’accès à un compte.

C’est pourquoi les demandes sensibles doivent être vérifiées par un autre canal de confiance, même lorsque l’interlocuteur ressemble exactement à quelqu’un que l’employé connaît.

Exemples fréquents de vishing ciblant les entreprises

Le vishing fonctionne mieux lorsque la demande semble plausible. Les attaquants choisissent souvent des scénarios qui s’intègrent dans les routines normales de l’entreprise, puis ajoutent un sentiment d’urgence. Voici des exemples fréquents de vishing :

Usurpation d’identité du support informatique

Un scénario fréquent est l’usurpation d’identité du support informatique. Un employé reçoit un appel d’une personne prétendant faire partie du centre d’assistance de l’entreprise, d’un fournisseur de logiciels ou de l’équipe de sécurité. Le correspondant peut indiquer qu’il y a un problème d’identifiants, une mise à jour urgente, une activité suspecte ou une migration qui nécessite que l’employé confirme ses identifiants ou lise un code à usage unique.

Usurpation d’identité du service financier

L’usurpation d’identité du service financier est une autre méthode à haut risque. Un correspondant se fait passer pour le PDG, le directeur financier, un cadre dirigeant ou un fournisseur de confiance qui demande le traitement rapide d’un paiement. La pression peut être présentée comme confidentielle, urgente ou liée à un accord, une facture, un problème fiscal ou un problème de fournisseur.

Appels pour fraude bancaire

Les appels pour fraude bancaire sont également fréquents. Le correspondant prétend être de la banque de l’entreprise et signale des transactions suspectes. L’employé est invité à confirmer des informations, approuver une étape de sécurité, transférer de l’argent ou fournir des informations permettant à l’attaquant d’accéder au compte plus tard.

Usurpation d’identité gouvernementale

L’usurpation d’identité d’organismes gouvernementaux peut également toucher les entreprises. Les appels impliquant le His Majesty’s Revenue and Customs (HMRC), l’administration fiscale du Royaume-Uni, sont suffisamment fréquents pour que le HMRC propose un moyen dédié pour signaler les appels téléphoniques suspects(nouvelle fenêtre). Un correspondant peut mentionner des échéances fiscales, la TVA, la paie, des pénalités, des remboursements ou des enquêtes pour créer un sentiment d’urgence.

Usurpation d’identité de fournisseurs et de clients

Il existe également des appels d’usurpation d’identité de fournisseurs et de clients. Un criminel peut se faire passer pour un fournisseur modifiant des coordonnées bancaires, un client demandant l’accès à un portail ou un partenaire demandant un lien vers un document. L’appel peut ne pas demander d’argent immédiatement. Il peut seulement viser à recueillir des informations pour une attaque ultérieure.

Le lien avec les identifiants

Le vishing aboutit souvent aux identifiants, même lorsqu’il débute par une simple conversation. Un attaquant peut demander directement un mot de passe, mais de nombreuses tentatives de vishing sont plus subtiles. L’interlocuteur peut demander à un employé de confirmer un nom d’utilisateur, de lire un code de vérification, d’approuver une invite d’authentification à deux facteurs (A2F) ou de se connecter à un faux portail pendant qu’il reste en ligne.

Une fois les identifiants exposés, les dommages dépendent de ce que ces identifiants permettent de déverrouiller. Un mot de passe réutilisé peut par exemple donner à l’attaquant l’accès à plusieurs services. Des identifiants partagés peuvent rendre plus difficile de savoir qui a utilisé le compte, et l’absence d’obligation d’A2F peut laisser un mot de passe comme unique barrière. Un compte disposant de trop d’autorisations peut transformer un seul appel réussi en un accès plus étendu.

L’hygiène des identifiants est un élément essentiel de la prévention des attaques par vishing. Des mots de passe uniques pour chaque service limitent la portée d’un mot de passe volé. Un gestionnaire de mots de passe professionnel réduit la nécessité pour les employés de retenir ou de réutiliser des mots de passe, et un générateur de mots de passe intégré⁠ simplifie grandement la création de mots de passe forts et uniques pour chaque compte. Le partage sécurisé évite d’exposer les identifiants dans les appels, discussions et documents. L’A2F ajoute une barrière supplémentaire lorsqu’un mot de passe est compromis.

Pourquoi les données exposées rendent le vishing plus convaincant

Un appel de vishing est plus persuasif lorsque l’attaquant sait déjà quelque chose sur l’entreprise. Ces informations peuvent provenir de sources publiques : intitulés de postes, fournisseurs, dirigeants, structure de l’entreprise, communiqués de presse, publications sur les réseaux sociaux, vidéos de conférences, podcasts ou profils d’employés.

Elles peuvent également provenir de données divulguées ou volées, notamment des adresses e-mail, des numéros de téléphone, des informations de compte, des identifiants exposés ou des documents internes.

Notre Observatoire des fuites de données montre comment les données exposées peuvent créer des risques au-delà de la fuite initiale. Un criminel n’a besoin que d’un numéro de téléphone, d’un intitulé de poste, d’un nom de fournisseur et d’un ancien mot de passe pour sembler crédible.

Les employés peuvent avoir réutilisé des informations ailleurs, des fournisseurs peuvent avoir été compromis ou des attaquants peuvent combiner plusieurs sources publiques et fuites pour construire une histoire crédible. En pratique, les entreprises devraient traiter les données exposées comme du carburant pour de futures escroqueries. Plus un attaquant en sait, moins l’appel semble aléatoire.

Comment vérifier un appel suspect

Si vous avez des soupçons, raccrochez et vérifiez par vous-même si la demande était authentique. Le vishing repose sur le fait de vous maintenir en ligne, en vous incitant à répondre immédiatement et à agir sur-le-champ. La vérification ne fonctionne que si l’employé peut faire une pause, s’affranchir de cette pression et revenir par un canal auquel l’entreprise fait déjà confiance.

Pour toute demande impliquant des identifiants, des paiements, des codes A2F, un accès à distance, des coordonnées bancaires, la récupération de compte ou des modifications de permissions, raccrochez et vérifiez la demande séparément. Cela peut signifier rappeler la personne en utilisant l’annuaire de l’entreprise, contacter la banque via le numéro figurant sur son site internet officiel, ouvrir un ticket informatique interne ou vérifier les informations du fournisseur déjà enregistrées dans les dossiers de l’entreprise.

Le numéro de rappel ne doit jamais provenir du correspondant. L’identifiant de l’appelant ne suffit pas non plus, car les numéros peuvent être usurpés. L’objectif est de revenir à une source de confiance plutôt que de poursuivre une conversation que l’attaquant pourrait contrôler.

Les dirigeants, fournisseurs, banques et équipes informatiques légitimes s’attendent à des vérifications pour les demandes sensibles. Un interlocuteur qui devient agressif, exige le secret ou refuse un rappel donne à l’employé une raison de s’arrêter, et non une raison d’agir plus vite.

Sensibiliser au vishing en se basant sur les tactiques, pas sur les scripts

La formation de sensibilisation au vishing ne doit pas seulement apprendre à reconnaître une liste de phrases d’escroquerie. Les scripts changent rapidement. Les schémas de manipulation sont plus stables.

Les employés doivent apprendre à reconnaître les tactiques derrière l’appel, et pas seulement le script. Ils ont également besoin de leurs propres tactiques sur lesquelles s’appuyer lorsqu’ils ont un doute :

  • Si un interlocuteur leur donne l’impression d’être pressés, anxieux ou responsables de résoudre quelque chose immédiatement, c’est une tactique, pas une preuve d’urgence. Un correspondant peut prétendre être un cadre dirigeant, un enquêteur sur les fraudes bancaires, une administration fiscale, un fournisseur ou un membre de l’équipe de sécurité. L’histoire peut changer, mais la pression se ressemble souvent : agissez maintenant, gardez cela confidentiel, faites confiance à mon autorité et contournez les vérifications habituelles.
  • La formation doit également inclure le clonage vocal par IA. Le message doit être clair sans créer de panique : une voix familière ne suffit pas à autoriser une action à risque. On doit enseigner aux employés qu’ils ont le droit de suspendre. Si un correspondant demande un paiement, des identifiants, un code, une modification d’accès ou une solution de contournement urgente, la réponse sûre consiste à interrompre la conversation, demander quelques minutes et vérifier la demande via un numéro connu ou un autre canal approuvé.
  • Une phrase de sécurité, une règle de rappel ou un flux de travail d’approbation écrit est plus fiable que de tenter de juger si quelqu’un semble « bizarre ». Aucune demande urgente légitime ne devrait échouer en raison d’un court délai utilisé pour la vérification.

Que faire après un appel suspecté de vishing

Une tentative suspectée d’escroquerie par hameçonnage téléphonique doit être signalée rapidement, même si aucun argent n’a été envoyé et aucun mot de passe n’a été partagé. Les échecs évités de justesse sont utiles car ils montrent quels employés, fournisseurs ou processus les attaquants peuvent cibler.

La première étape consiste à enregistrer les informations :

  • Heure de l’appel
  • Numéro affiché
  • Prétention du correspondant
  • Action demandée
  • Noms mentionnés
  • Systèmes impliqués
  • Si des informations ont été partagées.

S’assurer de ne plus recontacter le numéro fourni par l’interlocuteur.

Si des identifiants, des codes à usage unique, des coordonnées bancaires ou un accès à distance ont été partagés, traitez cela comme une urgence :

  • Réinitialiser les mots de passe affectés
  • Révoquer les sessions lorsque cela est possible
  • Examiner l’activité du compte
  • Imposer l’A2F
  • Vérifier si le même mot de passe a été utilisé ailleurs.

Comment Proton Pass for Business aide à réduire les risques liés aux identifiants

Le vishing est une attaque d’origine humaine, mais les dommages dépendent souvent des contrôles d’identifiants tels que les mots de passe, les accès partagés et la protection du compte. Un gestionnaire de mots de passe professionnel comme Proton Pass for Business aide les équipes à réduire le risque qu’un appel réussi ne se transforme en un accès plus étendu.

Les employés peuvent générer des mots de passe forts et uniques pour chaque service grâce au générateur de mots de passe intégré de Proton Pass, les stocker dans des coffres-forts chiffrés, utiliser le remplissage automatique, partager des identifiants en toute sécurité, gérer les clés d’accès et utiliser l’authentification à deux facteurs intégrée.

C’est un atout précieux pour se protéger contre le vishing, car même si un attaquant obtient votre mot de passe au cours d’un appel, il ne peut toujours pas accéder au compte sans le second facteur. Proton Pass inclut également Pass Monitor avec la surveillance du dark web, qui vous alerte si votre e-mail apparaît dans une fuite de données connue, afin que vous sachiez quand des identifiants peuvent déjà être compromis.

Proton Pass offre également aux entreprises une option par défaut plus sûre pour les accès au quotidien. Lorsque les employés disposent d’un moyen approuvé pour stocker et partager des identifiants, un correspondant leur demandant de lire un mot de passe ou d’envoyer des accès par discussion doit immédiatement sembler inhabituel.

Rendre les demandes vocales vérifiables par défaut

Le vishing fonctionne parce que la voix semble immédiate et personnelle. Un interlocuteur peut paraître sûr de lui, familier, serviable ou autoritaire. Le clonage vocal par IA rend cette confiance encore moins fiable. Les entreprises ont besoin d’une habitude de vérification qui ne dépend pas du caractère convaincant du correspondant.

Les règles les plus importantes sont simples : ne partagez pas d’identifiants lors d’un appel, n’approuvez pas de paiements inhabituels sur la seule base d’une demande téléphonique et ne faites pas confiance à l’identifiant de l’appelant comme preuve d’identité. Raccrochez, vérifiez via un canal connu et documentez tout ce qui est suspect.

Pour les PME, le processus peut rester simple. Les demandes sensibles doivent faire l’objet d’une règle de rappel, les paiements et les modifications d’accès doivent nécessiter une confirmation par un autre canal, et les employés doivent connaître les tactiques d’autorité et d’urgence qui rendent le vishing convaincant. Les identifiants doivent également rester dans un gestionnaire de mots de passe professionnel, où les mots de passe sont uniques, partagés en toute sécurité et plus faciles à renouveler si un appel entraîne une exposition.

Le hameçonnage vocal va continuer à évoluer, en particulier à mesure que l’IA rend l’usurpation d’identité moins coûteuse et plus convaincante. La défense consiste à rendre chaque demande sensible vérifiable avant que quiconque n’agisse.

Protégez les identifiants de votre entreprise contre le hameçonnage vocal grâce à un gestionnaire de mots de passe professionnel.