Le numéro affiché est bien celui de votre banque ? La vérification à faire avant de donner un code

Le téléphone sonne, l'écran affiche le numéro de votre agence bancaire, et votre interlocuteur connaît déjà votre prénom. Cette combinaison suffit à désarmer les réflexes de prudence les mieux installés. Elle ne prouve pourtant rien, et la réglementation française a beaucoup bougé sur ce point depuis trois ans.

Le numéro qui s'affiche, c'est l'appelant qui le renseigne

Un appel transporte deux informations distinctes : la ligne réellement utilisée pour émettre, et l'identifiant d'appelant, le numéro que votre téléphone va afficher. Pendant longtemps, la signalisation téléphonique laissait l'émetteur remplir librement ce second champ, sans contrôle du réseau.

Cette souplesse répond à des besoins légitimes : une entreprise de deux cents postes affiche son numéro d'accueil, pas celui du bureau qui appelle. Le mécanisme détourné est le même. Il suffit d'inscrire un numéro que le destinataire reconnaîtra, celui d'une banque ou d'une administration.

Le secteur parle d'usurpation de numéro, ou de spoofing. Voilà pourquoi un annuaire inversé ne vous dira jamais qui vous a appelé dans ce cas. Le numéro consulté existe bien, mais il appartient à un autre abonné, qui subit lui aussi la situation.

Une seule vérification résiste à ce procédé, et elle ne regarde pas l'écran : raccrocher, puis rappeler votre banque par son numéro officiel. Le réseau, lui, filtre déjà une partie de ces appels depuis trois ans.

Ce que la loi impose désormais à votre opérateur

Depuis la loi du 24 juillet 2020 sur les appels frauduleux, l'article L. 44 du code des postes et des communications électroniques fixe deux obligations aux opérateurs. Ils doivent confirmer l'authenticité du numéro présenté. Et lorsqu'elle ne l'est pas, ils doivent interrompre l'acheminement de l'appel.

Les opérateurs français ont bâti un dispositif commun, le mécanisme d'authentification des numéros, le MAN. Il s'appuie sur les protocoles STIR/SHAKEN : l'opérateur de départ signe l'appel avec un certificat, celui d'arrivée vérifie cette signature. Sans signature valable, l'appel est interrompu avant d'arriver sur votre téléphone. Une exception subsiste, décrite juste après.

Sources : article L. 44 du code des postes et des communications électroniques, et fiches pratiques de l'Arcep sur l'authentification et l'usurpation de numéro.

Un appel présenté en numéro masqué ne signifie donc plus seulement que l'appelant a voulu se cacher. Il peut aussi trahir un identifiant que le réseau n'a pas su authentifier. Selon l'Arcep, plus de 80 % des appels passés depuis l'étranger par des abonnés français étaient authentifiés fin 2025.

Ce qu'une banque ne demande jamais par téléphone

L'authentification réduit le risque, elle ne l'annule pas. Un appel peut être authentifié et rester malveillant, depuis une ligne française régulièrement souscrite. Le second filtre reste le contenu de la conversation.

• Le code à usage unique reçu par SMS, quel que soit le prétexte avancé.
• Votre mot de passe ou votre identifiant d'espace client.
• Une validation dans l'application bancaire pour annuler une opération suspecte.
• L'ajout d'un bénéficiaire, ou un virement vers un prétendu compte sécurisé.
• Le numéro complet de votre carte et son cryptogramme à trois chiffres.
• L'installation d'un logiciel de prise en main à distance.

Raccrocher, puis rappeler par le numéro officiel

La vérification tient en trois gestes et fonctionne quel que soit le numéro affiché. Elle coûte deux minutes.

Nous avons déjà détaillé la phrase qui doit vous faire raccrocher. Le détournement de carte SIM vise lui aussi les codes reçus par SMS.

Le virement est parti : les délais qui comptent

Prévenez votre banque immédiatement, par téléphone puis par écrit, et demandez le blocage de la carte et de l'accès en ligne. Déposez plainte dans la foulée.

L'article L. 133-18 du code monétaire et financier oblige la banque à rembourser une opération non autorisée au plus tard à la fin du premier jour ouvrable suivant votre signalement. Elle ne peut s'y soustraire qu'en cas de soupçon de fraude de votre part, motivé par écrit auprès de la Banque de France.

Le délai pour contester est fixé par l'article L. 133-24 : treize mois à compter de la date de débit, sous peine de perdre le droit d'agir.

Reste le cas où la victime a validé elle-même l'opération. Le remboursement n'est alors pas automatique, la banque pouvant invoquer une négligence grave. La Cour de cassation a jugé le 23 octobre 2024 que la preuve de cette négligence incombe à la banque. Les juges ont relevé que l'affichage du numéro du conseiller avait diminué la vigilance du client.

Signalez enfin l'appel. Les messages et appels frauduleux se transmettent au 33700, et notre guide sur la fraude à la carte détaille les recours, dont le service Perceval. Si votre propre numéro sert à appeler des inconnus, changer de ligne ne règle rien : l'Arcep invite à un signalement via J'alerte l'Arcep.