Spoofing téléphonique : comment un escroc peut usurper un numéro
Résumer cet article avec :
Le spoofing téléphonique est une technique qui permet à un escroc de faire s'afficher, sur l'écran de sa victime, un numéro différent du sien réel — parfois celui d'une banque, d'un service public, ou même le numéro de la victime elle-même. Conséquence directe : le numéro affiché n'est jamais une preuve fiable de l'identité de l'appelant.
En une phrase : un numéro affiché n'est qu'une donnée déclarée par l'appelant, pas une preuve d'identité — le seul réflexe qui protège consiste à ne jamais rappeler le numéro qui s'affiche et à rappeler soi-même l'organisme par un numéro trouvé ailleurs.
À retenir
- Un numéro affiché se déclare : il ne prouve rien sur l'appelant, même quand il correspond à celui de votre banque ou d'une administration.
- Ne jamais rappeler un numéro inconnu, surtout après un appel en absence sans message : le principe même du spam vocal est de vous faire rappeler un numéro surtaxé ou étranger.
- Depuis le 25 juillet 2023, l'authentification du numéro d'appelant est une obligation légale (article L. 44 du code des postes et des communications électroniques) ; les appels non authentifiés sont coupés depuis le 1er octobre 2024 pour les fixes et janvier 2025 pour les mobiles.
- Être touché par une usurpation de son propre numéro n'implique pas un vol de données : selon l'Arcep, l'usurpation est souvent éphémère.
- En cas de préjudice : opposition et contestation auprès de la banque, plainte au commissariat ou à la gendarmerie, et signalement pour les appels indésirables.
Comment ça fonctionne
Les appels téléphoniques transitent aujourd'hui largement par des technologies IP (VoIP), qui transmettent le numéro appelant comme une simple donnée déclarée par l'émetteur — un peu comme l'adresse d'expéditeur sur une enveloppe, que n'importe qui peut écrire à la main. Un logiciel ou un service en ligne permet à l'escroc de renseigner le numéro de son choix comme identifiant appelant, sans avoir besoin d'un accès technique particulier à la ligne visée.
Le spoofing ne signifie pas que votre ligne téléphonique est piratée : c'est l'affichage chez la personne appelée qui est manipulé, pas votre téléphone.
Pourquoi les escrocs l'utilisent
Afficher le numéro d'une banque ou d'un organisme officiel rend l'appel immédiatement plus crédible : la victime, rassurée par ce qu'elle voit à l'écran, baisse sa garde avant même d'avoir échangé un mot. Dans certains cas, l'escroc affiche le numéro de la victime elle-même, pour susciter la curiosité ou désorienter.
Pourquoi rappeler le numéro affiché est un piège
Le réflexe naturel — rappeler le numéro qui vient de s'afficher — est exactement celui que l'escroc attend. Comme l'identifiant d'appelant n'est pas celui de l'appelant, vous ne joindrez pas l'escroc : vous composerez le numéro d'une autre personne, souvent une victime comme vous dont le numéro a été usurpé, parfois un service officiel. C'est le mécanisme documenté du spam vocal.
Service-public.fr décrit le procédé : « le correspondant peut raccrocher dès que vous décrochez. Si vous ne répondez pas, le numéro apparaît comme un appel en absence et peut vous inciter à rappeler. » La même fiche précise que « le numéro qui vous appelle peut être un numéro surtaxé, un numéro étranger ou un numéro classique » et qu'« il est vivement recommandé de ne pas rappelez un numéro que vous ne connaissez pas, en particulier s'il s'agit d'un appel en absence sans message ».
Le cas le plus coûteux est le rappel d'un numéro surtaxé. La Direction générale des finances publiques décrit ainsi la méthode : un appel censé émaner des services « impôts » signale une anomalie sur le dossier fiscal de l'usager et l'invite à « rappeler au plus vite un numéro de téléphone surtaxé facturé 5 € la minute ».
Un numéro affiché ne situe plus rien. Depuis le 1er janvier 2023, les numéros commençant par 01 à 05 sont dits « polyvalents » et n'indiquent plus aucune région d'attribution : un 01, un 02 ou un 04 à l'écran ne dit rien de la provenance réelle de l'appel.
Le plan de numérotation de l'Arcep réserve certaines plages aux systèmes automatisés d'appels et d'envoi de messages : 0162, 0163, 02688, 02689, 0270, 0271, 0377, 0378, 0424, 0425, 0568, 0569, 05987, 05988, 05989, 09475 à 09479, 0948 et 0949. Ce sont des « numéros polyvalents vérifiés ».
Concrètement : un appel affichant l'un de ces préfixes ne vient pas d'un particulier qui compose votre numéro, mais d'un automate. Un tel appel n'a donc jamais « un conseiller » au bout du fil, et un appel en absence depuis l'une de ces plages ne se rappelle pas.
Un exemple concret
Un appel affiche le numéro habituel de votre banque. La personne au bout du fil évoque une « opération suspecte » et demande le code reçu par SMS pour la « bloquer ». Ce code sert en réalité à valider un virement frauduleux. Le numéro affiché, bien identique à celui de votre banque, ne change rien à la nature frauduleuse de l'appel.
Comment s'en protéger
Ce que l'Arcep impose aux opérateurs, et ce que ça ne couvre pas
Le spoofing n'est pas une fatalité technique : le régulateur des télécoms a fait évoluer les règles, et les opérateurs sont désormais tenus de vérifier ce qu'ils acheminent. Voici ce qui s'applique, et depuis quand.
| Mesure | Depuis quand | Effet concret |
|---|---|---|
| Encadrement des numéros que chaque client peut présenter | Plan de numérotation en vigueur | Si un client tente de présenter un numéro ne figurant pas sur la liste prévue à son contrat, son opérateur est tenu de bloquer l'appel |
| Obligation d'authentifier le numéro d'appelant (article L. 44 du code des postes et des communications électroniques, loi « Naegelen ») | 25 juillet 2023 | L'opérateur doit vérifier que le numéro transmis correspond bien à la ligne qui appelle, au lieu de faire confiance à la donnée déclarée |
| Interruption des appels non authentifiés | Fixes : 1er octobre 2024 — Mobiles : janvier 2025 | Un appel dont le numéro n'a pas pu être authentifié est coupé, au lieu d'être acheminé jusqu'à vous |
| Masquage des numéros mobiles français non authentifiés venant de l'étranger | 1er janvier 2026 | Les opérateurs français doivent masquer le numéro mobile de tout appel provenant de l'étranger qui n'a pas pu être authentifié |
Reste une limite qu'il faut connaître : « les informations d'authentification des numéros d'appelant ne sont pas transmises jusqu'au destinataire de l'appel, donc le téléphone n'en a pas connaissance ». Ce que vous voyez à l'écran reste un affichage, pas une certification — d'où l'utilité de garder de côté le principe inverse : ne rien faire par téléphone qui ne serait pas fait par écrit.
Ces mécanismes ont un effet mesurable. L'Arcep a ouvert le 29 janvier 2026 une enquête administrative sur l'origine et les routes des appels impliqués dans des fraudes, en relevant que les signalements d'usurpation de numéros enregistrés sur sa plateforme « J'alerte l'Arcep » ont « fortement crû, de 531 en 2023 à plus de 19 000 en 2025, constituant désormais la première cause de signalement adressée à l'Arcep ». Dans le même communiqué, le régulateur note que les fraudeurs affichent parfois « le numéro d'une autorité publique ou d'un établissement financier » pour gagner en crédibilité. À l'inverse, tous les appels ne se mélangent pas : fin 2025, plus de 80 % des appels émis par les abonnés français en itinérance étaient authentifiés — autrement dit, tout n'est pas usurpable, mais tout n'est pas encore couvert.
Sur le plan pénal, l'usurpation d'un numéro n'est pas punie en elle-même : ce sont les actes qu'elle permet qui le sont. L'escroquerie (article 313-1 du code pénal) est punie de cinq ans d'emprisonnement et de 375 000 € d'amende, et l'usurpation d'identité (article 226-4-1 du code pénal) d'un an d'emprisonnement et de 15 000 € d'amende. Ce sont des peines maximales encourues.
L'ARCEP (régulateur des télécoms) impose progressivement aux opérateurs des mécanismes d'authentification des numéros pour limiter le spoofing sur le réseau français. Ces mesures réduisent le phénomène sans l'éliminer complètement : le réflexe de vérification reste indispensable.
Un numéro vous a appelé ?
Vérifiez-le gratuitement en quelques secondes.
Signaler une usurpation de numéro : la procédure
- Ne rien valider pendant l'appel, et ne pas rappeler. Ni mot de passe, ni code reçu par SMS, ni numéro de carte : aucun service légitime ne demande ces éléments par téléphone. Quand l'appel est suspect, la seule action utile dans l'instant est de raccrocher.
- Si c'est votre numéro qui est usurpé : signaler sur « J'alerte l'Arcep ». L'Arcep invite à « adresser un signalement à l'Arcep » via sa plateforme dédiée (jalerte.arcep.fr). Le régulateur précise aussi que l'usurpation est « un désagrément souvent éphémère » et qu'elle « n'implique pas que vous vous soyez fait dérober vos données personnelles ». Ces signalements alimentent les statistiques du régulateur : la plateforme « J'alerte l'Arcep » est devenue sa première source de signalement, avec plus de 19 000 cas d'usurpation enregistrés en 2025.
- Si les appels indésirables se répètent : utiliser le 33700. Pour un spam vocal, il suffit d'envoyer au 33 700 un SMS contenant les mots « spam vocal » suivis du numéro qui vous a appelé. Le service est gratuit et confirme la réception par un message. Sa limite doit être connue : « lorsque vous signalez un spam au 33700, l'effet n'est pas immédiat », car le traitement suppose que plusieurs signalements remontent avant que les opérateurs prennent des mesures. Les signalements d'appels indésirables peuvent aussi être déposés sur 33700.fr.
- Si un paiement ou une donnée bancaire a été communiqué. Faites opposition auprès de votre banque et contestez les opérations non autorisées, puis déposez plainte : au commissariat de police ou à la brigade de gendarmerie, ou par écrit au procureur de la République. Le dépôt peut commencer depuis pre-plainte-en-ligne.gouv.fr. Deux services officiels accompagnent gratuitement les victimes : Info Escroqueries au 0 805 805 817 et le 116 006 de l'aide aux victimes.
- Garder les preuves. Date et heure de l'appel, numéro affiché, captures d'écran, et — si vous avez rappelé un numéro surtaxé — la trace de l'appel sur votre facture téléphonique. Ces éléments sont ce qui permet au dossier d'aboutir, aussi bien auprès de l'opérateur que lors d'un dépôt de plainte.
Deux situations voisines ont leur propre page, parce que le déroulé de l'appel y est différent : le faux conseiller bancaire, qui obtient vos validations pendant l'appel, et l'arnaque à la voix générée par IA, où c'est la voix d'un proche qui est imitée.
Une mise en garde qui va dans les deux sens : l'Arcep a publié le 24 juillet 2025 un avertissement parce que des personnes se font passer pour l'Arcep afin de contacter des consommateurs et leur annoncer une usurpation d'identité. Si un appel se réclame du régulateur, c'est une fraude.
Questions fréquentes
Non, l'usurpation d'un numéro de téléphone dans une intention frauduleuse est une infraction en France. Certains usages techniques légitimes du renvoi d'identifiant existent (centres d'appels d'entreprise, par exemple), mais l'usage pour tromper une victime est répréhensible.
Le numéro affiché n'étant pas le vrai, il ne permet généralement pas de remonter directement à l'escroc. C'est justement pour cette raison que le signalement (33700, dépôt de plainte) passe par d'autres informations que le seul numéro affiché.
Voir un appel entrant afficher votre propre numéro est presque toujours une simple manifestation de spoofing, pas un signe que votre ligne ou votre téléphone est compromis.
Oui, une technique similaire (SMS spoofing) permet d'afficher un nom d'expéditeur usurpé, par exemple celui d'une banque ou d'un service de livraison, dans le cadre du smishing.
Spoofing : les questions qui reviennent
Non. L'usurpateur n'a pas besoin d'accéder à votre ligne pour afficher votre numéro : il lui suffit de le déclarer comme identifiant d'appelant. L'Arcep précise que « l'usurpation de numéro est un désagrément souvent éphémère et n'implique pas que vous vous soyez fait dérober vos données personnelles. L'usurpateur a utilisé votre numéro, souvent de manière aléatoire, et en utilisera rapidement un autre. »
Oui, c'est tout l'intérêt de la technique : l'Arcep relève que « dans certains cas, des fraudeurs affichent comme identifiant d'appelant le numéro d'une autorité publique ou d'un établissement financier afin de renforcer la crédibilité de leurs tentatives d'escroquerie ». Les mesures prises depuis 2023 réduisent le spoofing sans l'éliminer : rien de ce qui s'affiche sur votre écran ne prouve qui parle réellement.
Raccrocher, puis rappeler le service par un numéro trouvé ailleurs : site officiel, courrier reçu, contrat, relevé. La Banque de France rappelle qu'une administration ou une grande entreprise n'écrit jamais depuis un numéro mobile inconnu (06 ou 07) ni depuis une adresse dont l'extension diffère de celle de son site officiel. Et aucun service ne demande par téléphone un mot de passe, un code reçu par SMS ou un paiement.
Non. L'Arcep a publié le 24 juillet 2025 une mise en garde : des personnes se font passer pour l'Arcep pour contacter des consommateurs et leur annoncer que leur identité a été usurpée. Retenez la règle inverse : un appel qui se réclame de l'Arcep est une fraude.
Le plan de numérotation de l'Arcep réserve certaines plages aux systèmes automatisés d'appels et d'envoi de messages, parmi lesquelles 0162, 0163, 02688, 02689, 0270, 0271, 0377, 0378, 0424, 0425, 0568, 0569, 05987, 05988, 05989, 09475 à 09479, 0948 et 0949 : ce sont des « numéros polyvalents vérifiés ». Un appel affichant l'un de ces préfixes ne vient donc pas d'un particulier qui compose votre numéro, mais d'un automate. Et depuis le 1er janvier 2023, les numéros commençant par 01 à 05 sont dits « polyvalents » : ils n'indiquent plus la région d'attribution de la ligne.
Pour aller plus loin
Article informatif. En cas de doute sur une fraude en cours, contactez directement votre banque et consultez cybermalveillance.gouv.fr.