Usurpation de numéro mobile : les signalements explosent

Article rédigé en collaboration avec Bisatel Telecom

Le téléphone sonne, et un inconnu vous reproche un appel que vous n’avez jamais passé. Cette situation, de plus en plus fréquente, porte un nom : l’usurpation de numéro, ou « spoofing ». Selon le bilan annuel de la plateforme « J’alerte l’Arcep », publié en février 2026, plus de 19 000 signalements de ce type ont été recensés en 2025, contre 531 en 2023. Leur nombre a été multiplié par 36 en deux ans.

Pour les particuliers comme pour les entreprises, l’enjeu dépasse la simple gêne. Un numéro usurpé peut servir à se faire passer pour une banque, un service public ou un fournisseur, et nuire à la réputation de son titulaire légitime. Les professionnels, déjà attentifs à la continuité de leurs lignes et de leurs solutions de secours internet, doivent désormais intégrer ce risque à leur politique de sécurité téléphonique.

Le principe est simple. Lorsqu’un appel transite par internet, technique appelée voix sur IP, le numéro qui s’affiche chez le destinataire est une information déclarée par l’émetteur. Un centre d’appels frauduleux peut donc inscrire n’importe quel numéro dans ce champ, sans accéder au téléphone, à la carte SIM ou au compte de la personne dont il emprunte l’identité.

Il faut distinguer cette pratique du vol de ligne, appelé « SIM swapping », dans lequel un fraudeur obtient une nouvelle carte SIM au nom de sa victime. Dans le cas du spoofing, la ligne de la victime continue de fonctionner normalement. Le signe le plus courant est la réception d’appels de personnes inconnues qui affirment avoir été contactées.

Les numéros commençant par 06 ou 07 inspirent davantage confiance qu’un numéro étranger. De nombreux appels frauduleux sont émis depuis l’étranger avec des numéros mobiles français usurpés. Jusqu’à récemment, les opérateurs ne pouvaient pas toujours les distinguer des appels légitimes passés par des abonnés français en déplacement hors du pays.

La loi du 24 juillet 2020 encadrant le démarchage téléphonique, dite loi Naegelen, a imposé aux opérateurs un mécanisme d’authentification du numéro d’appelant, désigné par le sigle MAN. Son fonctionnement repose sur une signature numérique : l’opérateur de départ certifie que le numéro affiché correspond bien à la ligne qui émet l’appel, et l’opérateur d’arrivée vérifie ce certificat avant de présenter l’appel.

Par sa décision du 27 novembre 2025 modifiant le plan national de numérotation, l’Arcep a renforcé ce dispositif. Depuis le 1er janvier 2026, un appel provenant de l’étranger et présentant un numéro mobile français qui n’a pas pu être authentifié doit s’afficher en « numéro masqué ». Cette mention signifie désormais soit que l’appelant a choisi de cacher son numéro, soit que ce numéro n’a pas pu être vérifié. Le territoire de Saint-Martin bénéficie d’un report au 1er janvier 2028.

La décision impose également un délai minimum de 45 jours avant qu’un numéro résilié soit attribué à un nouvel abonné, afin de limiter les confusions. Elle prévoit aussi des numéros dédiés aux appels automatisés d’intérêt général, comme certaines alertes. Ces principes de traçabilité rejoignent ceux déjà appliqués aux communications entre machines, dites M2M, où chaque équipement connecté doit être identifié de façon fiable sur le réseau.

Pour l’utilisateur, le premier changement est visible à l’écran. Un appel qui affiche un numéro mobile français a désormais plus de chances d’être authentique. À l’inverse, un appel en « numéro masqué » mérite une vigilance accrue, sans être forcément frauduleux.

Une personne dont le numéro est usurpé ne peut pas empêcher l’usurpation elle-même, et elle n’est pas responsable des appels passés à son insu. Elle peut en revanche signaler la situation sur la plateforme « J’alerte l’Arcep » et prévenir son opérateur. Le 33700, service gratuit, permet par ailleurs de signaler les appels et SMS suspects reçus. Les opérateurs s’appuient sur ces remontées pour identifier les émetteurs et, le cas échéant, fermer les numéros concernés.

Une règle de prudence reste valable : aucune banque ni administration ne demande de codes de validation ou d’identifiants par téléphone. En cas de doute, il est recommandé de raccrocher et de rappeler l’organisme à son numéro officiel. Il est également conseillé de ne jamais communiquer d’informations personnelles à un interlocuteur dont l’identité n’a pas été vérifiée.

Les entreprises sont doublement concernées. Leur numéro de standard ou de service client peut être usurpé pour tromper leurs propres clients, ce qui fragilise la confiance. Elles doivent aussi vérifier que leurs campagnes d’appels sortants respectent les nouvelles règles : selon une analyse du cabinet Lexing Avocats, la possibilité de « choisir » librement le numéro affiché laisse place à un régime d’autorisation formalisé et contrôlable. Un prestataire qui appelle pour le compte d’une marque doit ainsi pouvoir justifier de son droit à utiliser le numéro présenté.

En pratique, plusieurs réflexes s’imposent : informer les clients des canaux officiels, surveiller les plaintes inhabituelles, signaler rapidement toute usurpation et interroger son opérateur sur la prise en charge de l’authentification des appels. Des opérateurs virtuels proposent aux entreprises des offres de téléphonie en marque blanche intégrant ces mécanismes de vérification.

Le dispositif ne supprime pas toutes les fraudes. Les escrocs opérant depuis la France, ou exploitant des failles résiduelles, restent actifs, et les accords d’authentification entre opérateurs français et étrangers ne sont pas encore généralisés. La sécurité repose aussi sur l’identification de l’abonné lui-même, assurée par la puce SIM ou eSIM, dont la protection contre le vol de ligne constitue un sujet distinct. Les prochains bilans de l’Arcep permettront de mesurer l’effet réel de ces mesures sur le volume des signalements.