Vishing par IA : quand l'escroc emprunte la voix de votre banquier

Le téléphone sonne. Une voix vous accueille, posée, professionnelle, familière. Elle se présente comme votre conseiller bancaire. Elle connaît votre nom, mentionne votre agence, évoque une transaction suspecte sur votre compte. Elle vous demande de confirmer votre identité pour "sécuriser" vos avoirs.

Tout semble parfaitement normal. Et c'est précisément là le danger.

Bienvenue dans l'ère du vishing par IA, contraction de "voice" et "phishing". Une technique d'arnaque qui existait bien avant l'intelligence artificielle, mais que celle-ci a rendue redoutablement plus convaincante. En 2026, cloner une voix humaine prend moins de trente secondes à partir d'un simple enregistrement audio.

Ce que l'IA change fondamentalement

Le vishing traditionnel reposait sur des centres d'appels frauduleux, souvent localisés à l'étranger, avec des accents parfois détectables et des scripts rigides. L'escroc se faisait passer pour un technicien Microsoft, un agent des impôts, un conseiller téléphonique. C'était déjà efficace, mais l'accent, le ton mécanique ou la formulation étrange finissaient parfois par alerter.

L'IA générative change la donne sur trois points précis.

D'abord, la qualité vocale. Les modèles actuels de clonage de voix produisent un résultat indiscernable d'un humain pour la grande majorité des gens. L'intonation, le débit, les légères hésitations naturelles : tout est reproduit.

Ensuite, la personnalisation. Combinez un clone vocal avec les données issues d'une fuite de base de données (nom, adresse, numéro de compte partiel, historique de transactions) et vous obtenez un interlocuteur qui vous connaît. Ce niveau de détail endort la méfiance naturelle.

Enfin, l'accessibilité. Il y a cinq ans, cloner une voix nécessitait des moyens techniques importants. Aujourd'hui, des outils grand public permettent de le faire gratuitement à partir d'un extrait audio de quelques secondes : une vidéo LinkedIn, un message vocal sur WhatsApp, une interview en ligne.

Comment se déroule concrètement une attaque

Le scénario le plus courant, et nous le voyons régulièrement chez nos clients, suit un schéma précis. L'appel arrive sur votre numéro personnel ou professionnel. Le numéro affiché semble légitime, parfois celui de votre banque réelle, grâce à une technique appelée spoofing qui permet d'usurper n'importe quel numéro appelant.

Ce code SMS, c'est en réalité votre code de validation pour une opération que les escrocs sont en train d'effectuer de leur côté. En le communiquant, vous leur donnez accès à votre compte, convaincus d'avoir parlé à votre banque.

Les variantes sont nombreuses : faux service client Apple qui détecte une connexion suspecte à votre Apple ID, faux SPF Finances qui vous contacte pour un remboursement, faux opérateur téléphonique qui signale une anomalie sur votre ligne.

Les signaux qui doivent vous alerter

• L'urgence imposée : "nous devons agir maintenant", "votre compte sera bloqué dans les minutes qui suivent". Aucune institution légitime ne vous met sous cette pression.
• La demande d'un code reçu par SMS : votre banque, Apple, ou votre opérateur ne vous demanderont jamais de leur communiquer un code reçu par SMS. Ce code est conçu pour vous, pas pour eux.
• La demande de virement "sécurisé" : une variante consiste à vous demander de virer vos fonds sur un "compte sécurisé temporaire". Ce compte appartient aux escrocs.
• L'appel non sollicité sur un sujet sensible : si vous n'avez pas initié le contact, soyez systématiquement prudent, quelle que soit la qualité de la voix.
• Le numéro qui s'affiche : un numéro familier ne garantit rien. Le spoofing permet d'afficher n'importe quel numéro entrant.

La bonne réaction face à un appel suspect

La règle est simple et absolue : raccrochez et rappelez vous-même.

Si l'appel prétend venir de votre banque, raccrochez et composez le numéro qui figure au dos de votre carte bancaire, pas celui qui vient de vous appeler, pas celui que l'interlocuteur vous donne. Utilisez le numéro que vous connaissez de longue date.

Si l'appel prétend venir d'Apple, la procédure est identique. Apple ne vous appelle jamais de manière proactive pour des raisons de sécurité. Si vous avez un doute sur votre Apple ID, rendez-vous directement sur appleid.apple.com depuis votre navigateur.

Et les utilisateurs Apple sont-ils plus exposés ?

Pas nécessairement plus que d'autres, mais différemment. L'écosystème Apple génère de la confiance, et les escrocs le savent. Un appel au nom d'"Apple Support" concernant votre iCloud ou votre Apple ID joue sur cette relation de confiance particulière que les utilisateurs entretiennent avec la marque.

Par ailleurs, les appareils Apple sont régulièrement au cœur des actualités technologiques : lancement d'iPhone, mise à jour macOS, nouveaux services. Les escrocs surfent sur ces événements pour créer des prétextes crédibles.

Que faire si vous pensez avoir été victime

Si vous réalisez après coup que vous avez communiqué des informations sensibles lors d'un appel suspect, agissez sans attendre.

Contactez immédiatement votre banque via son numéro officiel pour signaler l'incident et faire bloquer toute opération en cours. Changez votre mot de passe Apple ID depuis appleid.apple.com et activez l'authentification à deux facteurs si ce n'est pas encore le cas. Signalez l'arnaque à suspect@safeonweb.be et si des fonds ont été détournés, déposez plainte auprès de la police locale.

La rapidité de réaction est déterminante. Chaque minute compte pour limiter les dégâts.