Spoofing téléphonique : comment un faux numéro s'affiche, et comment on le contrôle
Le spoofing téléphonique, ou usurpation de numéro, consiste à faire afficher sur votre téléphone un numéro qui n'est pas celui de l'appelant, souvent celui de votre banque. Cela fonctionne parce que le numéro voyage avec l'appel comme une simple donnée, que le standard de l'appelant remplit lui-même, et que les réseaux l'ont transmis pendant des décennies sans le vérifier. Aujourd'hui, les États-Unis et la France obligent les opérateurs à signer le numéro et à vérifier la signature, et le Royaume-Uni, l'Allemagne et la Belgique bloquent ou masquent les appels venus de l'étranger qui affichent un numéro national. Les règles changent souvent : nous avons vérifié chaque fait de cette page pour la dernière fois le 30 octobre 2026.
Violet : l'appel et son sceauLégende
- Violet : l'appel et son sceau
- Pointillés : Internet et radio
Avec contrôles · les réseaux de votre pays vérifient le numéro
Appuyez sur un bouton, ou cliquez sur l'écran de l'appelant, la banque ou votre mobile.Appuyez sur un bouton, ou touchez l'écran de l'appelant, la banque ou votre mobile.
Les mêmes appels avec les contrôles des réseaux d'aujourd'hui, et sans eux. Chaque pays contrôle à sa façon.
Anatomie du spoofing téléphonique : un appel parti d'une pièce à l'étranger, par l'opérateur de l'appelant puis à travers la frontière, jusqu'au contrôle chez votre opérateur, puis jusqu'à votre mobile. Le sélecteur montre le même réseau sans les contrôles. Le dessin n'est pas à l'échelle.
-
Suivez un appel
Appuyez sur Lancer l'appel pour le regarder, ou faites défiler la page : le dessin vous suit, une étape à la fois. Sous le dessin, Essayer vous laisse passer votre propre appel.Appuyez sur Lancer l'appel pour le regarder, ou sur Suivant pour avancer d'une étape. Sous le dessin, Essayer vous laisse passer votre propre appel.
-
Étape 1 sur 6
L'appelant saisit le numéro
L'appelant est à l'étranger, devant un ordinateur qui fait tourner un standard téléphonique. Dans ses réglages, un champ indique le numéro que l'appel affichera, et l'appelant y tape celui de votre banque. Le logiciel ne vérifie pas que ce numéro est le sien. C'est voulu : un centre d'appels qui téléphone pour le compte d'une entreprise affiche le numéro de l'entreprise, pas le sien.
Pourquoi un appelant peut-il afficher n'importe quel numéro ?
Dans un appel par Internet, le numéro affiché tient dans une ligne du message qui ouvre l'appel, le champ From. La norme dit que c'est l'équipement de l'appelant qui le remplit, et le réseau d'arrivée n'a aucun moyen de savoir s'il est vrai.
Chaque appel porte deux numéros. Le numéro réseau indique aux opérateurs d'où vient l'appel. Le numéro de présentation est celui que vous voyez. Ils sont en général identiques, mais une entreprise peut afficher un numéro général pour qu'on la rappelle. L'appelant n'a pas besoin de posséder ni de louer le numéro qu'il affiche.
Sources: IETF: RFC 3261, SIP: Session Initiation Protocol (2002); IETF: RFC 8224, Authenticated Identity Management in the Session Initiation Protocol (2018); Ofcom: Tackling scam calls from abroad, statement (2026)
-
Étape 2 sur 6
Son opérateur met l'appel sur le réseau
Le standard confie l'appel, par Internet, à un opérateur qui le fait entrer sur le réseau téléphonique. C'est le premier point où un contrôle serait possible. Un opérateur qui connaît son client et ses numéros peut se porter garant du numéro avec une signature numérique, un sceau posé sur l'appel. Un opérateur étranger qui n'a jamais vu le numéro de votre banque ne peut pas le signer honnêtement.
Que dit le sceau ?
Le sceau est un court jeton signé, appelé PASSporT, qui voyage avec l'appel. Il indique le numéro appelant, le numéro appelé et l'heure, et l'opérateur le signe avec un certificat qui prouve qu'il a le droit de signer pour des numéros de téléphone.
Aux États-Unis, le système s'appelle STIR/SHAKEN, et l'opérateur indique aussi son degré de certitude. A signifie qu'il connaît le client et que ce client a le droit d'utiliser le numéro. B signifie qu'il connaît le client mais pas le numéro. C signifie qu'il n'a fait que transmettre un appel venu d'ailleurs.
Un sceau ne garantit pas l'honnêteté. La Federal Communications Commission a constaté qu'un opérateur, Lingo Telecom, avait donné la meilleure note, A, à 3 978 appels automatisés au numéro usurpé, dans lesquels une IA imitait la voix de Joe Biden, alors président.
Sources: IETF: RFC 8225, PASSporT: Personal Assertion Token (2018); IETF: RFC 8588, PASSporT extension for Signature-based Handling of Asserted information using toKENs (SHAKEN) (2019); Federal Communications Commission: Enhancing STIR/SHAKEN to combat illegal robocalls, draft notice (2026)
-
Étape 3 sur 6
L'appel entre dans votre pays
Depuis cet opérateur, l'appel passe de réseau en réseau jusqu'à entrer dans votre pays par une passerelle internationale. Il affiche toujours le numéro de votre banque, un numéro de votre pays, alors qu'il vient de l'étranger. C'est cet écart que la plupart des pays européens guettent aujourd'hui. Un sceau survit rarement à ce trajet, et un sceau étranger ne ferait de toute façon pas foi.
Pourquoi les appels venus de l'étranger sont-ils plus difficiles à vérifier ?
Un sceau ne sert que si chaque réseau du trajet le conserve et si le dernier fait confiance à celui qui a signé. Les systèmes de signature sont nationaux, et le système américain a été conçu pour un seul pays. Beaucoup de routes internationales passent encore par des liaisons anciennes ou des équipements de frontière qui reconstruisent le message de l'appel, et le sceau se perd.
Pour la Federal Communications Commission, les appels automatisés venus de l'étranger sont l'un des problèmes les plus épineux auxquels elle fait face, car elle ne peut atteindre ni les appelants ni les opérateurs étrangers qui les acheminent.
Sources: IETF: RFC 7340, Secure Telephone Identity Problem Statement and Requirements (2014); European Conference of Postal and Telecommunications Administrations: ECC Report 338, CLI spoofing (2022); Federal Communications Commission: Targeting gateway providers to combat illegal robocalls, fact sheet (2021)
-
Étape 4 sur 6
Le contrôle chez votre opérateur
Avant que votre téléphone sonne, l'appel arrive chez votre opérateur, et la suite dépend du pays où vous vivez. En France, un appel qui affiche un numéro français sans sceau valide est interrompu. Au Royaume-Uni et en Belgique, un appel venu de l'étranger qui affiche un numéro national est bloqué. En Allemagne, son numéro est masqué : vous ne voyez aucun numéro au lieu de celui de votre banque. Sans ces contrôles, l'appel continue tel que l'appelant l'a saisi et sonne sur votre téléphone en affichant Ma banque.
Un contrôle arrête-t-il tous les faux appels ?
Non. Les numéros mobiles sont la faille. Un appel de l'étranger avec un numéro mobile national peut venir d'un client en vacances, donc les règles le laissent passer ou masquent le numéro après une vérification. La France masque depuis le 1er janvier 2026 les numéros mobiles français non authentifiés venus de l'étranger, et le Royaume-Uni les affichera comme masqués à partir du 15 juillet 2027.
Les fraudeurs changent aussi de canal. Le régulateur belge les voit passer de plus en plus par des applications comme WhatsApp, sur lesquelles les opérateurs ne peuvent rien.
Sources: Arcep: Appels frauduleux depuis l'international, communiqué de presse du 2 décembre 2025 (2025); Ofcom: Tackling scam calls from abroad, statement (2026); BIPT: Telecomsector onderschept 103 miljoen frauduleuze oproepen in de eerste helft van 2026 (2026)
-
Étape 5 sur 6
Maintenant, la vraie banque appelle
Un second appel commence. La vraie banque vous appelle depuis son propre numéro. Votre téléphone affiche le numéro que porte l'appel, ou le nom que vous avez enregistré pour ce numéro : l'écran affiche donc Ma banque. Le faux appel affiche exactement la même chose quand rien ne l'arrête, car le téléphone ne connaît que le numéro. Avec les contrôles, le numéro de la banque est signé et passe le contrôle.
Les gens se fient-ils au numéro affiché ?
La plupart, oui. En 2022, 93 % des utilisateurs de mobile au Royaume-Uni disaient regarder le numéro affiché pour décider s'ils décrochent.
Quand le numéro a l'air local, davantage de gens décrochent. En 2026, 24 % des utilisateurs de téléphone britanniques se disaient susceptibles de répondre à un numéro mobile britannique inconnu, contre 8 % pour un numéro étranger inconnu.
Sources: Ofcom: New Ofcom rules to fight fake number fraud (2022); Ofcom: Tackling scam calls from abroad, statement (2026)
-
Étape 6 sur 6
Vous rappelez un numéro que vous connaissez
Si un appel prétend venir de votre banque, raccrochez et appelez le numéro au dos de votre carte ou sur le site de la banque. Le réseau achemine votre appel vers le numéro que vous composez : il aboutit donc à la vraie banque. Un appelant peut falsifier le numéro que vous voyez, pas celui que vous appelez.
Et si je rappelle le numéro affiché ?
Vous tombez sur le vrai titulaire de ce numéro. Le régulateur allemand note que c'est lui que rappellent les personnes mécontentes, alors qu'il n'a rien à voir avec ces appels.
Les régulateurs le déconseillent pourtant. L'écran ne vous dit pas si le numéro est le vrai numéro de la banque ou un numéro que l'appelant contrôle, alors composez un numéro que vous avez cherché vous-même.
Sources: Bundesnetzagentur: Rufnummernmanipulation (2026); European Conference of Postal and Telecommunications Administrations: ECC Recommendation (23)03 on international incoming calls with national numbers (2023); Ofcom: What to do about a scam call, text or message (2026)
Spoofing téléphonique en chiffres
93 sur 100
En 2022, 93 utilisateurs de mobile sur 100 au Royaume-Uni disaient regarder le numéro affiché pour décider s'ils répondent à un appel.
-
74 millions
Au premier semestre 2026, les cinq plus grands opérateurs belges ont détecté ou bloqué plus de 74 millions d'appels au numéro usurpé, soit plus de sept appels frauduleux arrêtés sur dix.
BIPT: Telecomsector onderschept 103 miljoen frauduleuze oproepen in de eerste helft van 2026 (2026)
-
19 000
En 2025, l'Arcep, le régulateur français des télécoms, a reçu plus de 19 000 signalements d'usurpation de numéro, contre 531 en 2023. C'est désormais le premier motif de signalement qui lui est adressé.
Arcep: Usurpation de numéros, communiqué de presse du 29 janvier 2026 (2026)
Comment on en est arrivé là
- 1994
L'identification de l'appelant passe d'un réseau à l'autre
Le 8 mars, la Federal Communications Commission adopte des règles qui obligent les opérateurs à transmettre le numéro de l'appelant aux autres réseaux, pour que l'affichage du numéro fonctionne entre eux.
- 2006
Une première façon de signer le numéro
L'Internet Engineering Task Force (IETF) publie la RFC 4474, la première norme pour signer l'origine d'un appel par Internet.
IETF: RFC 4474, Enhancements for Authenticated Identity Management in SIP (2006)
- 2010
Falsifier le numéro devient un délit
Le 22 décembre, les États-Unis promulguent le Truth in Caller ID Act. Afficher un faux numéro dans le but de frauder ou de nuire devient illégal. Afficher un autre numéro pour une bonne raison reste permis.
US Congress: Truth in Caller ID Act of 2009, Public Law 111-331 (2010)
- 2018
Le sceau a sa norme
En février, l'IETF publie les RFC 8224 et 8225 : un jeton signé, le PASSporT, porté dans le message même de l'appel. Le système américain STIR/SHAKEN repose sur elles.
IETF: RFC 8224, Authenticated Identity Management in the Session Initiation Protocol (2018)
- 2021
Des appels signés aux États-Unis
Au plus tard le 30 juin, les opérateurs américains doivent signer les appels avec STIR/SHAKEN dans les parties Internet de leurs réseaux. À partir du 28 septembre, les réseaux refusent les appels des opérateurs absents de la Robocall Mitigation Database.
- 2022
L'Allemagne masque les appels étrangers à numéro allemand
À partir du 1er décembre, un appel venu d'un réseau étranger qui affiche un numéro allemand vous arrive avec son numéro masqué. Les mobiles en itinérance à l'étranger font exception.
Bundesnetzagentur: New regulations to protect against number spoofing (2022)
- 2024
La France interrompt les appels non signés
À partir du 1er octobre, les opérateurs français interrompent, vers les lignes fixes, les appels qui affichent un numéro français sans sceau valide. Les appels vers les mobiles suivent le 1er janvier 2025.
Ce que disent les règles
Aucune règle unique ne couvre l'Europe. Le Code des communications électroniques européen traite l'affichage du numéro comme un service et ne dit rien du spoofing, alors chaque pays a choisi son propre contrôle. La plupart guettent le même indice : un appel venu de l'étranger qui affiche un numéro national.
-
États-Unis : signer le numéro et le vérifier
Le TRACED Act du 30 décembre 2019 a chargé la Federal Communications Commission d'imposer STIR/SHAKEN. La FCC a fixé le 30 juin 2021 pour les parties Internet du réseau de chaque opérateur. L'opérateur de départ signe l'appel, et l'opérateur d'arrivée vérifie le sceau.
-
France : interrompre un appel non signé
Une loi de 2020 oblige les opérateurs à authentifier tout numéro français affiché comme appelant, et à interrompre l'appel quand ils n'y arrivent pas. Ils le font avec un système de signature commun, le mécanisme d'authentification des numéros (MAN). Un appel de l'étranger qui affiche un numéro français autre qu'un mobile, sans sceau valide, est interrompu.
-
Royaume-Uni : bloquer un numéro britannique venu de l'étranger
Les règles de l'Ofcom obligent les opérateurs à bloquer les appels dont le numéro est invalide ou impossible à composer. Depuis le 15 mai 2023, cela inclut les appels de l'étranger qui portent un numéro britannique comme numéro réseau, et depuis le 29 janvier 2025 ceux de l'étranger qui vous en affichent un. En 2024, l'Ofcom a décidé de ne pas imposer la signature des appels pour l'instant.
-
Allemagne : masquer un numéro allemand venu de l'étranger
L'article 120 de la loi allemande sur les télécommunications n'autorise un appel à afficher un numéro allemand que s'il arrive depuis le réseau allemand. Depuis le 1er décembre 2022 au plus tard, un appel de l'étranger avec un numéro allemand arrive avec son numéro masqué, et vous pouvez refuser les appels masqués simplement et gratuitement. Les mobiles en itinérance à l'étranger font exception.
-
Belgique et Pays-Bas
Un arrêté royal belge du 12 mai 2024 oblige les opérateurs à bloquer les appels de l'étranger qui affichent un numéro belge : les numéros fixes depuis le 1er septembre 2024, et les numéros mobiles depuis le 1er décembre 2024, une fois vérifié que l'appelant n'est pas en itinérance. Aux Pays-Bas, la loi sur les télécommunications interdit le spoofing et l'Autorité des consommateurs et des marchés (ACM) en assure le contrôle. Un projet de loi pour limiter l'usage des numéros néerlandais depuis l'étranger a été soumis à consultation publique de juillet à octobre 2026.
BIPT; Overheid.nl; Internetconsultatie; European Conference of Postal and Telecommunications Administrations
La plupart de ces règles suivent un même modèle européen, une recommandation de 2023 de la Conférence européenne des administrations des postes et télécommunications : bloquer les appels venus de l'étranger avec un numéro fixe national, et vérifier d'abord l'itinérance pour les numéros mobiles.
La place de Voxbi
Voxbi, un standard téléphonique cloud hébergé dans l'Union européenne, affiche le numéro de votre entreprise sur les appels passés depuis les téléphones de bureau, les ordinateurs portables et les mobiles, et Mixvoip, à qui appartient Voxbi, fournit les numéros.
Voir dans Voxbi