Un vendredi en fin de journée, la comptable d’une PME reçoit un appel. À l’écran s’affiche le numéro de sa banque. La voix est calme, professionnelle, elle connaît le nom du dirigeant et le montant d’un virement en cours. En quelques minutes, 40 000 euros quittent le compte de l’entreprise. Ce scénario n’a rien d’exceptionnel. Les appels frauduleux visant les entreprises se multiplient, et les techniques employées sont de plus en plus difficiles à repérer.

La bonne nouvelle, c’est qu’une entreprise n’est pas démunie. Entre les réflexes à installer dans les équipes, les procédures internes à verrouiller et les nouvelles protections légales entrées en vigueur en 2026, il existe des leviers concrets pour réduire fortement le risque. Voici comment vous en servir.

À quoi ressemblent réellement les appels frauduleux

Derrière l’expression un peu vague d’appel frauduleux se cache toute une palette d’arnaques. La plus connue reste la fraude au faux conseiller bancaire, où l’escroc se fait passer pour votre banque afin de valider un virement ou de récupérer des identifiants. Il y a aussi la fraude au président, dans laquelle un salarié du service comptable reçoit un appel pressant, prétendument du dirigeant, exigeant un paiement urgent et confidentiel.

D’autres variantes ciblent les fournisseurs, avec l’annonce d’un changement de coordonnées bancaires, le support informatique, où un faux technicien réclame un accès à distance, ou encore les ressources humaines. Le point commun de toutes ces attaques porte un nom, le vishing, contraction de voice et de phishing. L’appel téléphonique sert d’appât parce qu’il inspire confiance et crée un sentiment d’urgence que l’e-mail peine à produire. Une voix humaine, un ton assuré et quelques informations glanées en amont suffisent souvent à faire baisser la garde de l’interlocuteur.

Les petites et moyennes structures sont particulièrement visées, car elles disposent rarement d’un service de sécurité dédié tout en gérant des flux financiers réguliers. Un escroc y voit une cible à la fois accessible et rentable, ce qui explique pourquoi aucune entreprise ne peut se considérer comme trop petite pour être concernée.

Le spoofing téléphonique, quand un numéro légitime devient un piège

Si ces appels sont si crédibles, c’est souvent grâce à une technique précise, l’usurpation du numéro affiché. Concrètement, le fraudeur utilise un logiciel de spoofing téléphone pour faire apparaître sur l’écran de sa victime un numéro qui n’est pas le sien. Ce peut être celui d’une banque, d’une administration, d’un commissariat ou de votre propre entreprise.

Ce dernier cas mérite une attention particulière. Votre numéro professionnel peut être usurpé à votre insu et servir à démarcher ou à arnaquer des tiers. Vous le découvrez généralement quand des inconnus rappellent votre standard, agacés d’avoir été sollicités par un numéro qu’ils attribuent à votre société. Au delà de la gêne, c’est votre réputation et la confiance de vos clients qui se retrouvent abîmées, et reprendre la main sur son image demande alors du temps ainsi que des explications répétées auprès d’interlocuteurs inquiets.

Le spoofing téléphonique a d’ailleurs connu une progression spectaculaire ces dernières années. Les signalements d’usurpation de numéro remontés à l’Arcep sont passés de quelques centaines en 2023 à plus de 18 000 sur la seule année 2025, devenant la première cause de plainte auprès du régulateur. L’arrivée du clonage vocal par intelligence artificielle rend le phénomène encore plus préoccupant, puisqu’un escroc peut désormais imiter une voix familière à partir de quelques secondes d’enregistrement. Un salarié qui croit reconnaître son dirigeant au bout du fil n’est plus à l’abri d’une supercherie.

Ce que la loi française prévoit désormais

Face à cette vague, la France a musclé son arsenal. Issu de la loi du 24 juillet 2020, dite loi Naegelen, le Mécanisme d’Authentification des Numéros, ou MAN, oblige les opérateurs à vérifier l’origine de chaque appel grâce à une signature électronique. Un appel dont le numéro ne peut pas être authentifié est coupé ou signalé. Le dispositif est opérationnel depuis octobre 2024 pour les lignes fixes, puis a été étendu aux mobiles au début de l’année 2025.

Depuis le 1er janvier 2026, une règle supplémentaire s’applique. Tout appel provenant de l’étranger qui présente un numéro mobile français, en 06 ou 07, non authentifié doit désormais s’afficher en numéro masqué. L’idée est simple. Si un correspondant se cache derrière un faux 06 depuis l’international, votre équipe verra un appel masqué plutôt qu’un numéro rassurant. Pour une entreprise, cette évolution a une conséquence pratique, car un appel entrant affiché comme masqué n’est plus forcément anodin et mérite d’être traité avec prudence, surtout s’il débouche sur une demande financière. Le système reste toutefois perfectible. L’Arcep a d’ailleurs ouvert début 2026 une enquête auprès de l’ensemble des opérateurs, car les fraudeurs qui opèrent depuis la France exploitent encore certaines failles du dispositif.

À cela s’ajoute la loi du 30 juin 2025, qui a posé le principe d’une interdiction du démarchage téléphonique sans consentement préalable et explicite. Autrement dit, une entreprise ne peut plus appeler un prospect qui n’a pas donné son accord. Pour vos équipes, ce cadre change la lecture des appels entrants, puisqu’une sollicitation commerciale non désirée devient, par défaut, un signal à examiner de près.

Former les équipes, votre première ligne de défense

Aucun dispositif technique ne remplacera jamais la vigilance humaine. La très grande majorité des fraudes qui aboutissent reposent sur un moment d’inattention ou sur une pression psychologique bien menée. Sensibiliser régulièrement vos collaborateurs est donc l’investissement le plus rentable que vous puissiez consentir, et il coûte bien moins cher qu’une seule fraude réussie. Un format court et répété, de quelques minutes lors d’une réunion d’équipe, ancre mieux les bons réflexes qu’une longue session annuelle vite oubliée.

Quelques signaux doivent systématiquement déclencher la méfiance de vos équipes:

  • Une demande de paiement ou de virement présentée comme urgente et confidentielle, qui invite à contourner les procédures habituelles de l’entreprise.
  • Un interlocuteur qui réclame des identifiants, des codes reçus par SMS ou un accès à distance à un poste de travail.

Apprenez à vos équipes une règle d’or. On ne valide jamais une opération sensible pendant l’appel lui même. On raccroche, puis on rappelle son correspondant sur un numéro officiel connu, jamais sur celui qui a été communiqué durant la conversation. Ce simple réflexe désamorce l’immense majorité des tentatives, car l’escroc perd le contrôle du rythme qu’il cherchait à imposer.

Verrouiller vos procédures internes

La formation gagne à s’appuyer sur des procédures écrites, claires et connues de tous. L’objectif est de rendre la fraude structurellement difficile, même le jour où un salarié se laisse surprendre. Une organisation bien pensée protège mieux qu’une simple consigne orale vite oubliée.

Plusieurs mesures ont fait leurs preuves. La double validation des virements, au delà d’un certain montant, impose qu’une deuxième personne confirme l’opération avant son exécution. La vérification systématique de tout changement de coordonnées bancaires d’un fournisseur, via un canal indépendant et déjà connu, coupe court à une fraude très répandue. Il est aussi utile de limiter les informations sensibles accessibles publiquement, car un fraudeur bien renseigné sur votre organigramme se montrera nettement plus convaincant au téléphone.

Sur le plan technique, pensez à équiper votre téléphonie professionnelle de filtres anti spam, à tenir à jour la liste des numéros officiels que vos clients peuvent reconnaître, et à travailler avec un opérateur pleinement engagé dans le MAN. Certaines organisations vont plus loin en menant de fausses tentatives, sous forme d’exercices internes, pour mesurer la réaction réelle de leurs équipes et corriger les points faibles avant qu’un vrai escroc ne les découvre.

Réagir vite en cas d’attaque ou d’usurpation

Malgré toutes les précautions, une tentative peut aboutir, ou votre numéro peut être détourné. Dans ce cas, la rapidité fait la différence. Si un virement frauduleux a été effectué, contactez immédiatement votre banque pour tenter de le bloquer, puis déposez plainte auprès des services de police ou de gendarmerie. Prévenez également en interne les personnes concernées, afin que la même tentative ne trouve pas une seconde porte ouverte quelques minutes plus tard.

Pour une usurpation de votre numéro, signalez les faits sur la plateforme J’alerte l’Arcep, qui centralise ce type de remontées. Les spams et les arnaques reçus par SMS ou par appel peuvent aussi être signalés au 33700, le service dédié géré par les opérateurs. Conservez systématiquement les traces, à savoir les dates, les numéros affichés, les captures d’écran et les témoignages de tiers. Ces éléments faciliteront l’enquête et renforceront votre dossier.

Prévenez enfin vos clients et vos partenaires si votre identité a été usurpée. Un message clair, qui rappelle que votre société ne demandera jamais de coordonnées bancaires par téléphone, protège à la fois votre réputation et les personnes susceptibles d’être ciblées en votre nom.

Conclusion

Les appels frauduleux ne relèvent plus de l’anecdote, ils représentent un risque financier et réputationnel bien réel pour toutes les entreprises, quelle que soit leur taille. Une protection efficace repose sur trois piliers qui se complètent, des équipes formées et méfiantes face à l’urgence, des procédures internes solides qui rendent la fraude difficile, et l’appui des protections légales désormais en place, du MAN à l’encadrement strict du démarchage.

Aucune de ces mesures n’offre à elle seule une garantie absolue, mais leur combinaison réduit considérablement votre exposition au risque. En prenant le sujet au sérieux dès aujourd’hui, avant l’incident plutôt qu’après, vous transformez une vulnérabilité courante en véritable point fort de votre organisation.