Arnaques au téléphone : comment ça se passe, et comment on s'en sort
Un appel frauduleux suit presque toujours le même chemin : un numéro ou une voix qui rassure, une urgence, l'interdiction de raccrocher, puis une « vérification » que l'escroc contrôle. La parade tient en deux gestes : demander les deux mots du jour, et rappeler soi-même sur le numéro enregistré.
Mis à jour le
Une menace réelle, en constante croissance
Ce ne sont plus des courriels mal écrits : ce sont des appels, avec votre dossier sous les yeux et, parfois, la voix de votre proche. Les chiffres officiels de 2025 :
d'escroqueries en France en 2025, et 7 % par an en moyenne depuis dix ans. Le prétexte le plus efficace reste un proche en difficulté.
Ministère de l'Intérieur, SSMSI, bilan 2025de demandes d'aide pour fraude au faux conseiller bancaire en 2025, désormais aussi par WhatsApp.
Cybermalveillance.gouv.fr, état de la menace 2025usurpations de numéro signalées à l'Arcep en 2025, contre 531 en 2023. Première cause de signalement.
Arcep, janvier 2026perdus par les plus de 60 ans aux États-Unis en 2025, en hausse de 59 %. La voix clonée sert déjà aux « appels de détresse » d'un faux petit-enfant.
FBI, Internet Crime Report 2025Depuis que les numéros sont authentifiés, les fraudeurs appellent depuis des 06 banalisés ou par messagerie : le numéro affiché ne vous protège plus. Ce qui reste, c'est ce que vous pouvez vérifier vous-même.
Sources : ministère de l'Intérieur, SSMSI, « Insécurité et délinquance en 2025 : une première photographie » ; Arcep, communiqué du 29 janvier 2026 ; FBI, Internet Crime Report 2025 ; Banque de France, Observatoire de la sécurité des moyens de paiement, communiqué du 27 janvier 2026 (sur les numéros authentifiés). Chiffres arrêtés au 4 septembre 2026.
Comment se déroule un appel frauduleux ?
Faux conseiller bancaire, faux petit-enfant, faux policier : le prétexte change, la mécanique non. Cinq phases, relevées dans les témoignages de victimes et les alertes officielles, chacune avec les phrases qu'on y entend.
L'amorce : le numéro affiché ne prouve rien
Un numéro s'usurpe, y compris celui d'un proche : votre téléphone affiche alors son nom. Souvent, c'est la victime qui donne le prénom (« Mary, c'est toi ? »), et l'escroc adopte l'identité qu'on vient de lui offrir. Et il sait déjà des choses sur vous : nom, adresse, banque, derniers chiffres de la carte. Tout cela s'achète.
La mise en scène : la voix, l'accident, le supérieur
Trois secondes d'enregistrement suffisent pour cloner une voix. Une excuse physique couvre les défauts : « j'ai eu un accident, j'ai le nez cassé ». Puis on vous passe quelqu'un d'autre, un « avocat », un « policier », un « responsable du service fraude », qui n'a plus à imiter personne.
Le verrouillage : ne raccroche pas, n'en parle à personne
Tant que la ligne tient, aucune vérification n'est possible. Le secret est demandé au moment précis où un tiers dirait non. Le temps passé devient un argument (« on n'a pas fait trente minutes pour ne pas finaliser »), et votre prudence est retournée : « c'est justement pour vous protéger », « tu ne me fais pas confiance ? ».
Le piège de la vérification
Le plus retors : c'est l'escroc qui vous invite à raccrocher et à rappeler votre banque. Sur une ligne fixe, il peut garder la ligne et jouer une fausse tonalité. Le code de confirmation arrive du vrai numéro de la banque, dans le bon fil de messages : il n'a plus qu'à se le faire dicter.
L'après : la deuxième vague
Les listes de victimes se revendent. Environ quatre personnes escroquées sur dix le sont une seconde fois pendant qu'elles cherchent à récupérer leur argent (« notre cabinet peut récupérer vos fonds »). La honte fait taire, et la famille n'est pas prévenue.
Ce que TrustWords en a tiré
- Le nom affiché sur l'écran ne prouve rien : seuls les deux mots comptent, et c'est à l'appelant de les dire en premier.
- Aucune preuve par la voix, la photo ou un souvenir.
- « Ne raccroche pas » est un motif de raccrocher ; chaque écran d'appel se termine par ce geste.
- Le rappel se fait depuis votre téléphone, sur le numéro du carnet, jamais sur celui de l'appel reçu.
- Après une tentative, l'app prévient : ils rappelleront, et le journal garde la trace.
Ce que disent les victimes, et ce que l'app en a fait
Avant d'écrire un seul écran, nous avons dépouillé des centaines de sources : des fils de forums de victimes, les alertes et campagnes officielles françaises, britanniques et américaines, des témoignages de presse. Les procédés retenus sont ceux qui reviennent dans plusieurs sources indépendantes. À chacun, le parcours oppose la conduite que ces organismes recommandent.
« Ne raccroche pas. Reste en ligne. »
Tant que la ligne tient, aucune vérification n'est possible. Chaque écran d'appel se termine par le même geste : raccrochez vous-même.
« N'en parle à personne. »
Le secret est demandé au moment précis où un tiers dirait non. L'app vous fait noter, raccrocher, puis vérifier par un autre chemin : son numéro enregistré, quelqu'un qui peut le voir.
« J'ai eu un accident, ma voix est bizarre. »
L'excuse couvre les défauts d'une voix clonée. L'app ne retient aucune preuve par la voix, la photo ou un souvenir : les deux mots, ou rien.
« Raccrochez et rappelez votre banque, tout de suite. »
Sur une ligne fixe, l'escroc peut garder la ligne et jouer une fausse tonalité. Le rappel se fait depuis votre téléphone, sur le numéro de votre carnet.
« Je vous passe mon supérieur. »
Le second interlocuteur n'a plus à imiter personne. Quelqu'un qui appelle « pour » votre proche : notez, raccrochez, vérifiez auprès de l'organisme par ses coordonnées officielles.
« Vous êtes bien M. X, au 12 rue Y ? »
Nom, adresse, banque : tout cela s'achète. Connaître vos coordonnées ne prouve rien, et le nom affiché sur l'écran non plus. Seuls les deux mots comptent.
Sources consultées : forum Que Choisir (faux conseiller bancaire, faux huissier, arnaques sur ligne fixe), Cybermalveillance.gouv.fr, economie.gouv.fr, ARCEP, Banque de France, Action Fraud, Metropolitan Police et Take Five (Royaume-Uni), FBI, FCC, FTC et AARP (États-Unis), Consumer Protection BC (Canada).
Vos données sont déjà dans la nature
Depuis 2024, les grandes bases des services publics fuient les unes après les autres. Ce qui en est sorti ne se reprend pas : il faut vivre avec, et en tirer la conséquence.
Ce qui a fui
- France Travail, mars 2024. 43 millions de personnes, inscrites au cours des vingt dernières années : nom, prénom, date de naissance, numéro de sécurité sociale, identifiant France Travail, adresses postale et électronique, téléphone. Ni mots de passe, ni coordonnées bancaires.
- Tiers payant des mutuelles (Viamedis, Almerys), février 2024. Plus de 33 millions d'assurés : nom, prénom, date de naissance, numéro de sécurité sociale, nom de la mutuelle et garanties du contrat.
- Pass'Sport (ministère des Sports), décembre 2025. 3,5 millions de foyers selon le ministère, 6,4 millions d'adresses référencées par Have I Been Pwned : nom, sexe, adresse postale, téléphone, courriel. Des données venues de la CAF, de la MSA et des Crous ; ni données bancaires, ni mots de passe.
- Finances publiques, 2026. De fin janvier à mi-février, le fichier des comptes bancaires (FICOBA), consulté avec les identifiants volés d'un agent : 1,2 million de comptes, RIB, identité et adresse du titulaire. De juin à août, les données fiscales de 678 000 particuliers et professionnels : revenu fiscal de référence, quotient familial, taux de prélèvement, adresses et surfaces cadastrales.
- Titres sécurisés (ANTS), avril 2026. 11,7 millions de comptes du service des cartes d'identité, passeports et permis : identifiant, civilité, nom, prénoms, courriel, date de naissance ; parfois adresse postale, lieu de naissance, téléphone. Ni pièces jointes, ni données biométriques.
La CNIL a compté 6 167 violations de données en 2025, un record, dont une quarantaine touchant chacune plus d'un million de personnes ; un incident sur deux est un piratage, et l'administration, la santé et la finance sont les plus visées. L'ANSSI a traité la même année 460 événements de possibles fuites de données ; ministères et collectivités représentent un signalement sur quatre.
Ce que les pirates en font
- Ils recoupent. Une ligne de France Travail, une ligne de la CAF, une ligne des impôts : mises bout à bout, elles donnent votre nom, votre âge, votre adresse, votre numéro de sécurité sociale, votre banque et votre situation.
- Ils revendent. Ces fichiers circulent par lots sur des forums spécialisés et sont réutilisés pendant des années. Une fuite de 2024 alimente encore les appels de 2026.
- Ils appellent. Le faux conseiller bancaire, le faux agent des impôts ou de la CAF commence par réciter votre dossier : « Vous êtes bien M. X, né le…, au 12 rue… ? » Chaque détail exact achète le suivant, qui, lui, est faux.
- Ils ciblent. SMS et courriels à votre nom, avec votre organisme et votre numéro d'allocataire ; demande de « mise à jour » de votre RIB ; crédits ou abonnements ouverts à votre nom.
Pour savoir si votre adresse e-mail figure dans une fuite déjà publiée : Have I Been Pwned, le registre de référence, gratuit. Toutes les fuites n'y sont pas : celles de France Travail, du fisc et de l'ANTS n'ont pas été rendues publiques.
Ce que ça change
Rien de ce qu'on sait sur vous ne prouve qui vous parle. Votre nom, votre adresse, votre numéro de sécurité sociale, le prénom de vos enfants : tout cela est dans un fichier, quelque part. Le nom affiché sur l'écran non plus : un numéro s'usurpe.
Les deux mots, eux, ne sont dans aucun fichier. Ils naissent sur vos deux téléphones, changent toutes les dix minutes et ne passent par aucun serveur. C'est la seule chose qu'un dossier volé ne contient pas.
Sources officielles : CNIL (enquêtes France Travail et Viamedis/Almerys, sanction France Travail de janvier 2026, rapport annuel 2025, communiqué sur le piratage des impôts), ministère de l'Intérieur (point d'étape ANTS du 21 avril 2026), impots.gouv.fr et economie.gouv.fr (FICOBA, accès illégitimes d'août 2026), ministère des Sports et Cnaf (Pass'Sport), ANSSI (Panorama de la cybermenace 2025), Have I Been Pwned. Chiffres arrêtés au 4 septembre 2026.
Que faire, concrètement ?
Pendant l'appel
Ne donnez rien, notez ce qu'il faudrait régler, raccrochez vous-même, rappelez le numéro enregistré. Le guide vous le fait faire dans l'ordre, et l'app le fait avec vous, écran par écran.
Avant l'appel
Installez TrustWords avec votre proche, côte à côte, une fois. Ensuite, deux mots partagés, renouvelés toutes les dix minutes, que seul le vrai appelant peut annoncer. Gratuit pour deux proches.
Après l'appel
Signalez, même sans perte : Info Escroqueries au 0 805 805 817, gratuit, Cybermalveillance.gouv.fr pour être orienté, et la plainte en ligne. Prévenez vos proches : les escrocs rappellent.