Le numéro qui s’affiche sur votre écran peut mentir. C’est exactement ce qui s’est produit pour cette Bruxelloise qui, en pleine matinée de travail, reçoit un appel affichant le numéro officiel de sa banque. Un conseiller la prévient d’une transaction suspecte, lui demande de confirmer son identité via itsme « pour bloquer l’opération ». Elle valide le code. Trois minutes plus tard, son compte est vidé. Ce scénario, loin d’être isolé, porte un nom technique : le spoofing téléphonique, une arnaque qui explose en Belgique en 2026.
À retenir
- Votre banque n’appellera jamais pour vous demander de valider quelque chose en urgence — mais comment le savoir ?
- Les numéros affichés à l’écran peuvent être usurpés sans difficulté technique majeure
- Itsme, censée sécuriser vos données, est devenue l’arme préférée des arnaqueurs
Le numéro affiché ne prouve plus rien
La confiance qu’on accorde à un numéro de téléphone reconnu constitue précisément la faille exploitée par les escrocs. Le spoofing vise particulièrement les entreprises de services comme les banques, les assurances ou les fournisseurs d’énergie, et les escrocs parviennent à usurper le numéro de téléphone de l’entreprise pour obtenir des informations confidentielles de la part de l’interlocuteur, qui croit s’adresser à cette entreprise. Techniquement, l’opération n’a rien de sorcier : le fraudeur affiche un vrai numéro, celui de votre banque, de Proximus ou même d’un ami, sur votre écran, ce qui est possible via des services VoIP non régulés basés hors de l’UE.
Face à l’ampleur du phénomène, la ministre en charge du dossier ne mâche pas ses mots. « Nous constatons trop de situations dramatiques où des personnes perdent des sommes d’argent considérables aux mains d’escrocs de plus en plus ingénieux », commente-t-elle dans un communiqué. Une nouvelle mesure a d’ailleurs été annoncée ce printemps : elle permettra aux entreprises de disposer de numéros d’assistance qui ne fonctionnent que dans un sens, où seul le client peut appeler le service, ce qui rendra l’usurpation beaucoup plus difficile côté entreprises. Reste que le déploiement de ces protections prend du temps, et que l’IBPT travaille avec les opérateurs belges sur des systèmes de validation des appelants (STIR/SHAKEN), mais le déploiement reste partiel.
Itsme, la cible parfaite pour l’ingénierie sociale
L’application itsme, censée sécuriser nos identifications numériques, est devenue paradoxalement l’outil que les fraudeurs détournent le plus efficacement. Febelfin, la fédération du secteur financier, et Belgian Mobile ID ont dû lancer une campagne de sensibilisation face à la recrudescence de ces arnaques, car ces fraudes dites « d’ingénierie sociale » consistent à se faire passer pour des banques, des services publics ou Card Stop afin de pousser la victime à approuver une action qu’elle n’a pas initiée elle-même dans l’application, le fraudeur évoquant souvent une urgence, comme une activité suspecte, un compte bloqué ou un remboursement à valider.
Le mécanisme est vicieux parce qu’il inverse la logique. Febelfin l’explique noir sur blanc : un fraudeur peut prétendre qu’une transaction via itsme ou via un code de réponse doit être « bloquée » ou « annulée », alors qu’en réalité cette action approuve le paiement et permet à l’escroc de réaliser la transaction. quand vous croyez refuser un virement suspect, vous venez peut-être de l’autoriser. C’est là toute la perversité du système, et c’est exactement ce qui a piégé notre lectrice bruxelloise en trois minutes chrono.
Des chiffres qui donnent le vertige
Le phénomène n’a rien d’anecdotique. Plus de 3,6 millions de cas d’hameçonnage ont été signalés par des Belges au cours des trois premiers mois de l’année 2026, soit plus de 40.000 par jour, selon des chiffres du Centre pour la cybersécurité en Belgique publiés en avril 2026. Un rythme qui donne le tournis quand on sait que le vishing (cette variante téléphonique du phishing) est en « nette augmentation » en 2026 d’après le CCB.
Côté portefeuille, les dégâts se chiffrent aussi en millions. Selon Febelfin, le butin des fraudeurs en Belgique s’est élevé à 40 millions d’euros en 2023, bien que 75 % des virements frauduleux aient pu être bloqués ou récupérés par les banques. Ce dernier chiffre mérite d’être souligné : dans trois cas sur quatre, une intervention rapide permet de limiter la casse. D’où l’importance cruciale des toutes premières minutes après qu’on réalise s’être fait avoir.
Les réflexes qui font vraiment la différence
Febelfin est catégorique sur un point : une banque digne de ce nom ne vous demandera jamais d’agir dans l’urgence. Quand une banque contacte réellement un client à propos d’une fraude détectée, le client n’a besoin de prendre aucune action lui-même, car si des transactions suspectes sont identifiées, les banques peuvent prendre elles-mêmes les mesures nécessaires pour sécuriser les comptes. Si on vous demande de valider quoi que ce soit dans l’application pendant l’appel, c’est déjà un signal d’alarme qui devrait suffire à raccrocher.
La consigne la plus simple reste aussi la plus efficace : ne suivez jamais les instructions données pendant un appel suspect, raccrochez immédiatement, et en cas de doute, contactez vous-même votre banque en utilisant le numéro officiel. Ce numéro officiel, on le trouve sur sa carte bancaire, sur le site de sa banque, jamais dans le message ou l’appel reçu. Pour la Belgique, le réflexe Card Stop reste aussi de mise en cas de carte compromise, au 078 170 170, le seul numéro correct pour ce service selon Febelfin.
Un détail technique mérite d’être connu de tous les utilisateurs d’itsme : l’application ne vous demandera jamais de « confirmer » une transaction pour l’empêcher. Si un code vous est présenté avec cette formulation, la bonne réaction est de fermer l’application, pas de taper le code. Et si le mal est fait, si un code a déjà été validé, la police locale du Tournaisis rappelle une règle simple face à ce type de phishing : l’objectif de ces procédures est de récupérer les coordonnées bancaires afin de vider le compte, ce qui signifie qu’il faut immédiatement contacter sa banque et changer tous ses codes d’accès, sans attendre le lendemain matin.
Sources : lavenir.net | police.be