Lundi, 9 h 10. Votre service client est déjà saturé de personnes que vous n’avez jamais appelées. La première conseillère écoute une cliente qui veut savoir pourquoi « votre service fraude » l’a appelée samedi soir pour lui demander de virer son épargne vers un compte sécurisé. Le troisième conseiller parle à un homme qui a lu à voix haute un code à usage unique, parce que l’appelant connaissait son adresse et les quatre derniers chiffres de sa carte. À midi : soixante tickets, quatre préjudices confirmés, un journaliste qui demande une réaction. Personne dans vos murs n’a composé un seul de ces numéros. Celui qui s’affichait sur leurs écrans était pourtant le vôtre.

Si vous dirigez la prévention de la fraude, la communication ou la relation client d’une banque, d’un opérateur télécom, d’un fournisseur d’énergie ou d’un service public, ce scénario vous concerne, même si vous n’avez commis aucune infraction. Votre nom est l’arme du crime. Cet article décrit la mécanique technique de l’usurpation, ce que le spoofing téléphonique coûte réellement à une organisation, ce que couvrent (et ne couvrent pas) les dispositifs actuels en France et en Belgique, et vers quoi la vérification doit évoluer.

Le numéro affiché ne vous a jamais appartenu

Tout ce qu’un client voit quand son téléphone sonne est, techniquement, une déclaration. Le numéro appelant est un champ que la partie émettrice renseigne elle-même à l’établissement de l’appel ; en téléphonie sur IP, l’usurpation de numéro d’entreprise est un paramètre de configuration, pas un exploit informatique. Rien, dans le cheminement par défaut d’un appel, ne vérifie que l’appelant a le moindre droit d’afficher votre ligne de service client. Le téléphone du client fait ensuite le travail de marque à la place de l’attaquant : il reconnaît le numéro, affiche votre nom depuis les contacts ou une base d’identification, et parfois l’appel apparaît sous la même fiche que vos messages authentiques.

Le SMS présente la même faille, en plus tranchant. Les identifiants d’expéditeur alphanumériques, l’étiquette « VotreBanque » au-dessus d’un message, sont choisis par l’expéditeur. Sur de nombreux téléphones, un message falsifié portant votre nom d’expéditeur s’insère dans la même conversation que vos messages réels, juste sous les codes de connexion authentiques du mois dernier. La contrefaçon hérite de la confiance accumulée par chaque message légitime au-dessus d’elle.

L’essentiel pour une équipe fraude : le numéro et le nom sont tous deux choisis par l’attaquant. Le client qui croit son écran n’est pas imprudent. L’écran ment avec votre visage.

La facture tombe en trois monnaies

Le premier coût, ce sont les pertes directes attribuées à votre marque. Chaque victime résumera l’affaire par « la banque m’a appelé ». En Belgique, où nous sommes basés, la fédération bancaire Febelfin a chiffré à environ 49 millions d’euros les sommes dérobées par phishing en 2024, les banques parvenant à détecter, bloquer ou récupérer environ 75 % des virements frauduleux. Que la responsabilité juridique vous incombe ou non, l’attribution, elle, vous incombe toujours : litiges de remboursement, plaintes, courriers du régulateur, articles de presse qui associent votre logo au mot « arnaque ».

Le deuxième coût est opérationnel et se lit dans vos propres données de file d’attente. Chaque vague d’usurpation produit un volume entrant que vous n’aviez pas planifié : victimes, quasi-victimes qui veulent vérifier si l’appel était vrai, blocages de cartes, dossiers de contestation. Chaque contact coûte des minutes de conseiller ; chaque dossier fraude coûte des heures. Les directeurs de la relation client voient souvent une vague d’escroquerie dans leurs courbes de flux avant que l’équipe fraude ne l’ait nommée.

Le troisième coût est le plus lent et, à mon sens, le plus lourd : l’érosion de votre canal sortant. Parlez à quiconque gère des appels sortants dans une banque et vous entendrez le même constat : les clients ne décrochent plus. Des années de « nous ne vous demanderons jamais cela par téléphone », ajoutées à l’expérience vécue des faux appels, ont appris aux gens qu’un appel de leur banque est plus probablement un criminel qu’un banquier. L’alerte fraude authentique part donc en messagerie, l’appel de recouvrement n’aboutit jamais, le suivi client meurt sans réponse. Vous payez pour un canal que votre propre communication de sécurité a contribué à brûler. Voilà le dommage stratégique : pas un incident, mais une taxe permanente sur chaque appel légitime que vous passerez encore.

Le MAN, les règles belges, et ce qui passe encore à travers

Les régulateurs n’ont pas chômé, et le bilan honnête est : de vrais progrès, avec des trous structurels.

La France a fait le choix le plus ambitieux avec le Mécanisme d’Authentification des Numéros, un dispositif de signature cryptographique des appels inspiré du STIR/SHAKEN nord-américain, obligatoire pour les opérateurs depuis 2024 et étendu depuis aux numéros mobiles ; depuis début 2026, un numéro mobile français qui ne peut pas être authentifié sur un appel venant de l’étranger doit être masqué plutôt qu’affiché. Et pourtant, la fraude s’adapte : les signalements d’usurpation de numéro sur la plateforme « J’alerte l’Arcep » sont passés d’environ 531 en 2023 à plus de 19 000 en 2025, au point que l’Arcep a ouvert une enquête administrative visant l’ensemble des opérateurs. Une signature prouve quel opérateur a émis l’appel, pas que l’appelant avait le droit d’utiliser votre numéro.

La Belgique a choisi un instrument plus direct : depuis fin 2024, les opérateurs doivent bloquer les appels internationaux qui présentent un numéro belge à un destinataire belge, et le régulateur BIPT tient depuis 2025 une liste « Do Not Originate » où les organisations peuvent inscrire leurs numéros exclusivement entrants, comme les lignes antifraude, afin que tout appel les affichant soit bloqué. Efficace contre la voie d’attaque la plus facile, mais national par construction : la fraude se reroute par des numéros étrangers, par le SMS, par les interstices des exceptions.

Restent les campagnes « nous ne vous demanderons jamais ». Elles sont nécessaires, et chaque organisation citée ici doit les mener. Mais remarquez leur asymétrie : elles enseignent au client à quoi ressemble un faux contact, jamais à quoi ressemble un vrai, parce qu’aujourd’hui rien dans un appel authentique n’est prouvable. L’éducation enseigne la méfiance, pas la vérification. Son aboutissement logique, c’est le client qui raccroche au nez de tout le monde, vous compris.

Ce qu’une équipe fraude peut faire ce trimestre

Attendre que le réseau téléphonique se répare n’est pas un plan. Des actions concrètes, par ordre approximatif d’effort :

Inventorier chaque numéro et chaque identifiant d’expéditeur SMS que votre organisation présente en sortant, tous services et sous-traitants compris, et supprimer les identifiants incohérents ou non déclarés.
Enregistrer tout ce que le régulateur permet d’enregistrer : numéros de centres d’appels cloud auprès de vos opérateurs, lignes entrantes sur la liste DNO belge, identifiants d’expéditeur auprès de vos agrégateurs SMS.
Concevoir les appels sortants pour que le refus soit sûr : ne jamais demander de codes ni de paiements dans un appel que vous avez initié, et inviter d’emblée le client à raccrocher pour rappeler via le numéro de votre site ou de sa carte.
Donner aux conseillers une vue en temps réel des campagnes d’appels en cours, pour que « m’avez-vous vraiment appelé ? » obtienne une réponse factuelle en quelques secondes, plus un script pour les victimes confirmées.
Mesurer l’usurpation comme un indicateur : signalements de victimes, appels de vérification, pics de réclamations, taux de décroché sortant. L’érosion du canal reste invisible tant qu’elle n’est pas mise en courbe.
Signaler chaque vague à votre régulateur et à vos opérateurs ; les règles de blocage s’améliorent avec les données remontées.

La vérification doit devenir une preuve, pas une devinette

Toutes les mesures ci-dessus partagent un même plafond : elles rendent les faux appels plus coûteux ou apprennent aux clients à les craindre, mais aucune ne donne au client la preuve positive qu’un vrai appel est vrai. Le web a résolu ce problème-là il y a des années. On a cessé de demander aux gens de scruter les URL pour donner des certificats aux sites ; le navigateur vérifie la preuve, et la charge est passée de la vigilance de l’utilisateur à la démonstration de l’appelant. La téléphonie a besoin de son équivalent : un annuaire d’organisations vérifiées, et une preuve d’identité qui arrive avec le contact et se vérifie sur le téléphone du client, idéalement hors ligne, pour fonctionner précisément dans les moments que les fraudeurs exploitent.

C’est vers cela que nous construisons le volet organisations de Hongi. L’application grand public existe déjà : deux personnes appariées voient chacune un mot de code rotatif, renouvelé toutes les 30 secondes et calculé hors ligne, de sorte que chaque partie peut se prouver à l’autre. La couche organisations prolonge le même mécanisme : un annuaire d’organisations vérifiées, une vérification agent-client pendant l’appel, et une couche d’identification hors ligne qui affiche « L’organisation X vous appelle — touchez pour vérifier » pour les numéros enregistrés. Je tiens à être précis sur l’état d’avancement, dans un domaine qui ne manque pas de promesses gonflées : le portail et l’API sont en construction, la couche d’identification d’appel est en développement actif. C’est une feuille de route, pas un produit. Pour la façonner ou la tester tôt, commencez par notre page organisations ; notre aperçu conformité décrit le traitement des données sous-jacentes.

Votre marque sera usurpée quoi qu’il arrive ; cette partie ne dépend plus de vous. Ce qui dépend encore de vous, c’est que votre client puisse faire la différence le jour où c’est vraiment vous qui appelez.