Exemples de vishing et de smishing : 12 appels et SMS que les employés reçoivent réellement

En bref : le « vishing » est une forme de hameçonnage par appel téléphonique ou message vocal. Le « smishing » est une forme de hameçonnage par SMS ou via une application de messagerie instantanée. Ces deux techniques fonctionnent parce que le téléphone est perçu comme un outil personnel : pas de lien sur lequel passer la souris, pas de filtre anti-spam, peu de temps pour réfléchir. Vous trouverez ci-dessous six exemples d’appels et six exemples de SMS, accompagnés chacun d’un exemple de formulation, de la méthode utilisée et des signes avant-coureurs. Le schéma est toujours le même : une personne que vous n’avez pas contactée vous demande un code, un identifiant de connexion ou un paiement, et ce, immédiatement.

Ces termes vous sont inconnus ? Commencez par découvrir ce qu'est le « vishing » et ce qu'est le « smishing ». Chaque script ci-dessous est un exemple que nous avons rédigé, avec des noms fictifs et des espaces réservés tels que [votre banque].

Pourquoi le hameçonnage par téléphone ne cesse de se développer

L'APWG a constaté une hausse de 20 % du vishing et de 40 % du smishing au deuxième trimestre 2026. CrowdStrike a enregistré une augmentation de 442 % du vishing entre le premier et le second semestre 2024. Dans le rapport 2026 de Verizon sur les enquêtes relatives aux fuites de données, le taux de clic médian était de 2 % lors des simulations par téléphone, contre 1,4 % par e-mail.

Les 12 exemples en un coup d'œil

6 exemples de « vishing »

1. Le service d'assistance informatique qui a besoin de votre code d'authentification à deux facteurs (MFA)

Ce que vous entendez : « Ici Daniel, du service d'assistance informatique. Nous avons constaté des échecs de connexion sur votre compte. Je vous envoie un code. Pouvez-vous me le répéter ? »

Comment cela fonctionne : l'appelant dispose de votre mot de passe et a besoin du deuxième facteur d'authentification. Retool a été piraté de cette manière le 27 août 2023 : un seul code, lu par une voix « informatique » générée par deepfake, a permis d'accéder à 27 comptes clients. En 2025, Google a décrit un groupe qui téléphonait à des employés en se faisant passer pour le support informatique afin d'accéder aux données de Salesforce, et a lui-même été victime d'une attaque.

Repérez-le et arrêtez-le : un code que vous n'avez pas demandé. Raccrochez et appelez le service d'assistance au numéro interne.

2. Le service de lutte contre la fraude de la banque

Ce que vous entendez : « Vous êtes au service de lutte contre la fraude de [votre banque]. Nous avons bloqué un paiement de 1 950 €. Je vais vous aider à transférer ce montant sur un compte sécurisé. »

Comment ça marche : le numéro qui s'affiche à l'écran est falsifié. Les faux services d'assistance ont constitué le type de fraude le plus fréquemment signalé par les consommateurs au Fraudehelpdesk néerlandais en 2025 : 17 264 signalements, contre 9 492 en 2024.

Identifiez et bloquez : un « compte sécurisé » ou un logiciel d'accès à distance. Raccrochez et appelez le numéro figurant sur votre carte.

3. Le message vocal du « PDG »

Ce que vous entendez : « C'est Mark. Je m'apprête à monter à bord. Nous finalisons une acquisition aujourd'hui et j'ai besoin que tu t'occupes d'un paiement confidentiel. Que cela reste entre nous. »

Comment ça marche : l'IA reproduit une voix à partir d'un webinaire ou d'un podcast. En juillet 2024, un cadre de Ferrari a reçu un appel de la voix du PDG Benedetto Vigna au sujet d'un accord secret, selon Bloomberg. L'interlocuteur lui a demandé quel livre Vigna venait de recommander. Il a ensuite raccroché. Consultez nos exemples de fraudes au PDG et notre formation de sensibilisation aux deepfakes.

Identifier et bloquer : un numéro inconnu et le secret. Posez une question à laquelle seule la personne en question peut répondre.

4. Le fournisseur disposant d'un nouveau compte bancaire

Ce que vous entendez : « Ici Sophie, de [fournisseur]. Nous avons changé de banque. Je vous enverrai le nouveau numéro de compte par e-mail. Pourriez-vous le mettre à jour avant le cycle de paiement de ce mois-ci ? »

Comment ça marche : l'appel donne l'impression que l'e-mail de suivi est tout à fait normal. Votre prochaine facture est réglée au profit du pirate, et personne ne s'en rend compte jusqu'à ce que le rappel du fournisseur arrive.

Détecter et bloquer : modification des coordonnées bancaires par téléphone. Appelez la personne figurant dans vos propres dossiers et demandez à une deuxième personne de valider l'opération.

5. L'appel au service d'assistance technique

Ce que vous entendez : « Je vous appelle au nom de l'équipe de sécurité de [éditeur de logiciels]. Votre ordinateur a été infecté. Veuillez vous asseoir devant votre clavier. »

Comment ça marche : vous ouvrez un fichier journal système inoffensif pour servir de « preuve », puis vous installez un logiciel d'accès à distance. À partir de là, votre interlocuteur peut voir vos mots de passe et accéder au réseau de l'entreprise.

Repérez et agissez : les fournisseurs ne contactent pas les utilisateurs par téléphone au sujet d'infections. Raccrochez et prévenez le service informatique.

6. Le numéro à rappeler figurant dans un e-mail de facture

Ce que vous lisez et entendez : « Votre abonnement a été renouvelé pour 389,99 €. Ce n’est pas vous ? Appelez le [numéro]. » Au téléphone : « Il me suffit de me connecter à votre écran pour procéder au remboursement. »

Comment ça marche : pas de lien, pas de pièce jointe, les filtres laissent donc passer l'e-mail. C'est vous qui prenez la décision, ce qui vous incite à baisser votre garde. Le volet « e-mail » est abordé dans notre présentation des différents types d'attaques de hameçonnage.

Attention et arrêt : un numéro de téléphone comme seule option. N'appelez pas. Vérifiez le compte sur le site du vendeur.

6 exemples de smishing

7. Le colis qui n'a pas pu être livré

Ce que vous avez lu : « [Transporteur] : votre colis n'a pas pu être livré car 1,45 € de frais de livraison n'ont pas été réglés. Veuillez effectuer le paiement dans les 24 heures : [lien] »

Comment ça marche : tout le monde attend un colis. Les frais minimes servent d'appât ; le site cherche à obtenir les données de votre carte bancaire.

« Spot and stop » : des frais facturés après l'expédition, un lien vers un site extérieur au domaine du transporteur. Suivez votre colis dans l'application du transporteur.

8. La banque ou l'application de paiement

Ce que vous avez lu : « [Votre banque] : votre inscription à l'application bancaire expire aujourd'hui. Renouvelez-la dès maintenant : [lien] »

Fonctionnement : le lien ouvre une copie de la page de connexion. À l'aide de vos identifiants et d'un code, le pirate enregistre son propre téléphone comme appareil associé à votre application bancaire. L'exemple 2 suit souvent.

Repérez et arrêtez : un lien dans un SMS provenant d'une banque. Ouvrez l'application vous-même.

9. L'administration fiscale ou le portail gouvernemental

Ce que vous lisez : « [Administration fiscale] : votre dette de 1 277 € n'a pas été réglée. Pour éviter une saisie, effectuez le paiement dès aujourd'hui via [lien] »

Comment ça marche : la crainte d'une amende fait son effet. Certaines variantes imitent la page de connexion du gouvernement ou promettent un remboursement.

Repérez et bloquez : une alerte et un lien de paiement dans un seul message. Connectez-vous vous-même au portail officiel.

10. « Salut maman, salut papa »

Ce que vous lisez : « Salut maman, mon téléphone est cassé, voici mon nouveau numéro. Je dois payer une facture aujourd’hui et mon application bancaire ne fonctionne pas encore. »

Comment ça marche : cette arnaque cible les employés en tant que parents, généralement via une application de messagerie instantanée. C'est la même astuce que dans l'exemple n° 12 : ceux qui la connaissent déjà chez eux la reconnaissent au travail.

« Spot and stop » : un nouveau numéro et une raison expliquant pourquoi il est impossible d'appeler. Appelez l'ancien numéro.

11. Le code MFA ou l'alerte de compte

Ce que vous avez lu : « Service informatique de [Entreprise] : votre mot de passe expire aujourd’hui. Connectez-vous pour conserver votre accès : [entreprise]-sso.example »

Comment cela fonctionne : en 2022, les employés de Twilio ont reçu des SMS de ce type. Certains se sont connectés, ce qui a permis d'accéder aux données de 209 clients. Chez Cloudflare, 76 employés ont reçu ce SMS et trois d'entre eux ont saisi leur mot de passe. L'attaque a échoué car Cloudflare utilise des clés de sécurité matérielles.

Repérez-le et bloquez-le : un nom de domaine composé du nom de l’entreprise suivi de « sso » ou « login ». Ajoutez-le à vos favoris et signalez le texte.

12. Le patron qui a besoin de cartes-cadeaux

Ce que vous avez lu : « C'est Laura, nouveau numéro. Je suis en réunion. Peux-tu acheter cinq cartes-cadeaux de 100 € pour un client et m'envoyer les codes ? »

Fonctionnement : les codes des cartes cadeaux ont la même valeur que de l'argent liquide et ne peuvent pas être annulés.

Repérez-le et arrêtez-le : un nouveau numéro, confidentialité, cartes-cadeaux. Appelez votre responsable ou rendez-vous sur place.

Smishing, vishing et phishing : quelle est la différence ?

Cette variante du code QR s'appelle le « quishing ».

Comment vérifier l'identité d'un appelant

1. Détendez-vous. Dites que vous rappellerez.
2. Rappelez un numéro que vous connaissez déjà. L'identification de l'appelant ne prouve rien : les numéros peuvent être falsifiés.
3. Ne communiquez jamais de code, de mot de passe ou d'accès à distance à une personne qui vous a contacté.
4. Désignez une deuxième personne chargée des questions financières. Toute modification du compte bancaire doit être approuvée par un collègue.

Votre propre service d'assistance doit appliquer les mêmes règles, car les pirates y appellent également. Les pirates de MGM Resorts ont affirmé en 2023 avoir téléphoné au service d’assistance en se faisant passer pour un employé trouvé sur LinkedIn ; MGM a estimé les dégâts à environ 100 millions de dollars. Marks & Spencer a été piraté en avril 2025 grâce à une « usurpation d’identité sophistiquée » d’un utilisateur tiers, a déclaré le président Archie Norman aux députés, pour un coût estimé à environ 300 millions de livres sterling. En février 2026, l’autorité de régulation financière de New York a mis en garde contre des appelants se faisant passer pour des membres du service d’assistance informatique, et en avril 2026, ADT a confirmé une intrusion qui, selon les pirates, aurait débuté par un appel de « vishing ». Une règle que personne n’a mise en pratique ne résiste pas à un appelant sûr de lui. C’est à cela que sert la formation.

Comment les entreprises simulent le vishing et le smishing

La plupart des entreprises se contentent de tester les e-mails, sans aller plus loin. Celles qui vont plus loin envoient des SMS de test sur les téléphones professionnels et passent des appels préenregistrés au service d'assistance, au service financier et aux ressources humaines. Trois règles permettent de garantir l'équité du processus : annoncer le programme, ne jamais sanctionner personne et prendre en compte aussi bien les signalements que les échecs. Guardey propose des simulations d'hameçonnage et un défi hebdomadaire sous forme de compétition entre équipes, afin que les employés continuent à s'entraîner entre deux tests.

Questions fréquentes

Quelle est la différence entre le « smishing » et le « vishing » ?

Le canal. Le « smishing » consiste en un SMS ou un message instantané. Le « vishing » consiste en un appel téléphonique ou un message vocal. L'objectif est le même : obtenir votre code, vos identifiants ou votre argent.

Quel est un exemple de « vishing » ?

Un appelant se présentant comme un employé du « service informatique » qui vous demande de lui lire à haute voix le code que vous venez de recevoir sur votre téléphone. Les exemples 1 à 6 relèvent du « vishing », tandis que les exemples 7 à 12 relèvent du « smishing ».

Puis-je me fier à l'identification de l'appelant ou au nom de l'expéditeur d'un SMS ?

Non. Les deux peuvent être falsifiés. Vérifiez-le via un canal de votre choix.

Que dois-je faire si j'ai communiqué un code ou effectué un paiement ?

Prévenez immédiatement le service informatique et modifiez votre mot de passe. Si vous avez effectué un paiement, appelez votre banque au numéro officiel. Signalez également les messages que vous avez simplement reçus.