Contre-appel, double validation : pourquoi ça ne suffit plus

Pour vous protéger contre les fraudes, vous avez une procédure de vérification. Un contre-appel, un mot de code, ou même une double signature. Vous pensez être couvert. Vous l'êtes… contre l'attaquant d'hier ! Mais pas contre celui d'aujourd'hui. Voici pourquoi vos méthodes ne fonctionnent plus.

Une procédure de vérification produit une supposition, pas une preuve

Ne jetons pas le bébé avec l'eau du bain ! Vos procédures ne sont pas inutiles. Mais elles sont contournables, et un adversaire déterminé les aura cartographiées bien avant l'attaque. Pire : elles ont été conçues au calme. Mais elles doivent être exécutées à la perfection dans une situation de stress, sous la pression d'un manipulateur expert. 100% de vos salariés doivent les appliquer à la lettre, 100% du temps.

Bien sûr, le contre-appel, le mot de code ou la double validation ont une vraie valeur d'hygiène et de dissuasion. Ils écartent l'amateur. Ils font échouer une partie des tentatives. Mais c'est là toute l'asymétrie de cet affrontement : les défenseurs doivent être bons tout le temps et partout, l'attaquant n'a qu'à être bon qu'une fois, à un seul endroit.

Et il arrivera donc forcément qu'un humain sous pression conclue que “c'est probablement lui”, ou “c'est effectivement urgent et secret”, ou pire encore : “j'ai un doute, mais la conséquence si je me trompe est trop importante, je préfère ne pas prendre le risque de porter cette responsabilité”.

Il s'agit d'une supposition raisonnable. Mais pas d'une preuve indépendante que la demande vient bien de la bonne personne.

Et une supposition, ça ne tient pas. La fraude par manipulation a représenté 382 millions d'euros en France en 2024, soit 32 % du montant total de la fraude aux moyens de paiement (Observatoire de la sécurité des moyens de paiement, rapport 2024). Le facteur humain reste donc la cible privilégiée parce qu'il est le maillon le plus complexe de la procédure.

La France n'est pas seule à être frappée par ce phénomène. En mars 2018, la filiale néerlandaise du groupe Pathé a exécuté plusieurs versements pour 19,2 millions d'euros sur la foi d'e-mails usurpant la direction du groupe, sous prétexte d'une acquisition à Dubaï (jugement du tribunal d'Amsterdam, 31 octobre 2018). Ici aucun deepfake, aucune intrusion sophistiquée : simplement un nom de domaine suffisamment proche du vrai et l'usage du bon registre d'autorité. Et c'est ça le plus inquiétant : le canal importe peu. La technologie ne compte pas. Que l'attaquant approche sa victime par email, sur Whatsapp ou au téléphone ne change finalement rien : la cible, c'est la confiance humaine.

Face à ce constat, passons chaque parade au banc de l'adversaire :

La loi Naegelen : une demi-réponse au problème

La loi dite Naegelen (loi n° 2020-901 du 24 juillet 2020) a imposé aux opérateurs un mécanisme d'authentification des numéros (MAN), qui certifie le numéro présenté à l'appel.

Sur le papier c'est la réponse à l'usurpation de numéro. Plus possible pour l'attaquant de faire afficher le numéro du PDG à sa guise.

Malheureusement la mesure est utile mais incomplète : le MAN n'est opérationnel que progressivement (lignes fixes depuis octobre 2024, mobiles depuis janvier 2025) et ne couvre pas tous les cas. La faille reste d'ailleurs grande ouverte : les signalements d'usurpation de numéro sur la plateforme « J'alerte l'Arcep » sont passés de 531 en 2023 à plus de 19 000 en 2025, devenant le premier motif de plainte. A tel point que l'Arcep a ouvert en janvier 2026 une enquête sur l'ensemble des opérateurs.

Aux États-Unis, ou le dispositif Truth in Caller ID Act existe depuis 2009, le nombre d'escroqueries ou d'appel abusifs impliquants un numéro usurpé n'a pas diminué pour autant, au contraire : les plaintes mentionnant du spoofing ont explosé après l'entrée en vigueur de la loi : elles ont plus que doublé à la FCC entre 2015 et 2018 (en passant de 15 824 à 32 719) et plus que quadruplé du côté de la FTC (de 12 550 à 50 386).

Le contre-appel : la parade d'hier qui n'en n'est plus une

Le contre-appel, bien que nécessaire, n'est plus une garantie.

Certes, depuis que le numéro affiché lors d'un appel entrant est falsifiable (usurpation de numéro, ou spoofing en anglais) le contre-appel est devenu la norme. Et en effet, en rappelant même un numéro falsifié, l'on tombe bien sur la personne légitime : les attaquants peuvent donc truquer le numéro qui s'affiche mais le contre-appel arrivera toujours chez le vrai destinataire.

Du moins, c'était le cas il y a encore quelques années. Aujourd'hui, les techniques de SIM-swapping, recensées par l'ANSSI parmi les techniques d'ingénierie sociale avancées de son Panorama de la cybermenace 2025 (publié le 11 mars 2026), permettent de détourner la ligne du destinataire vers une carte SIM contrôlée par l'attaquant. Cela demande donc certes une attaque coordonnée un peu mieux préparée, mais sans grande difficultés techniques.

Et dans le pire des cas, même sans recourir au SIM-swapping, l'attaquant peut tout simplement désactiver la ligne légitime par une approche d'ingénierie sociale auprès de l'opérateur (cela est largement documenté) et le contre-appel échouera, laissant la victime seule face à la pression de l'escroc.

Côté humain, enfin, le contre-appel cède plus simplement encore : sous la pression de l'autorité, de l'urgence et de la confidentialité, il n'a souvent pas lieu du tout ! Ou bien il est désamorcé d'une simple excuse (“rappelle-moi sur cette ligne, je suis en déplacement”). La procédure existe bien sur le papier, mais elle ne s'exécute pas sur le moment. En mai 2024, dans une entreprise agroalimentaire du Finistère, une aide-comptable a ainsi viré environ 65 000 euros en passant outre l'ensemble des procédures internes (malgré un faux document qualifié de « grossier » par une source proche du dossier (France Bleu, mai 2024)). L'urgence et l'autorité supposée avaient suffi à court-circuiter le dispositif. Et si le préjudice peut sembler ici modeste, le mécanisme, lui, est exactement le même que pour un virement à sept chiffres.

C'est le paradoxe du contre-appel : on l'a conçu comme une parade et l'attaquant en a fait un canal supplémentaire à sa disposition.

Mot de code, double validation, visio : les autres options ne sont guère plus solides

Le mot de code dépend d'un humain qui doit penser à l'exiger sous la pression. En outre, il est partageable, parfois devinable, et il ne survit ni à l'urgence ni à l'autorité : “on verra ça après, là c'est vraiment urgent” suffit trop souvent à le faire sauter.

Un cas montre pourtant qu'une question peut effecivement sauver la mise : en juillet 2024, un cadre de Ferrari, sollicité par une voix clonée de son PDG sur WhatsApp, a coupé court en posant une question dont seul le vrai dirigeant connaissait la réponse (le titre d'un livre recommandé quelques jours plus tôt (Bloomberg, juillet 2024)). Mais ce qui a fonctionné ici n'est pas une procédure formelle, mais plutôt une mesure improvisée et imprévisible, posée par un cadre déjà méfiant. Un mot de code formalisé, lui, est connu, partagé, et donc plus facile à tomber entre les mains de l'attaquant. Ce qui a protégé Ferrari c'est de la vigilance individuelle.

Et malheureusement on ne bâtit pas une défense sur la chance qu'un collaborateur improvise la bonne question au bon moment.

La double validation additionne deux humains soumis aux mêmes biais. Deux suppositions ne font pas une preuve. Et elle se contourne par une collusion sociale fabriquée : “ le directeur général a déjà validé de son côté, on n'attend plus que toi” peut désamorcer le second contrôle avant qu'il ne s'exerce.

La vérification visuelle en visioconférence, elle, est tombée bien avant l'IA. Entre 2015 et 2017, des escrocs ont extorqué environ 55 millions d'euros à des entreprises et des personnalités fortunées via de simples appels téléphoniques.

Leur fait d'arme le plus surprenant ? Se faire passer, par visioconférence Skype, pour le ministre Jean-Yves Le Drian. Un simple masque en silicone et un faux décor de bureau ministériel ont suffit à rendre la demande crédible. Le tribunal correctionnel de Paris a condamné les deux principaux auteurs en 2020 (peines confirmées en appel). La leçon à retenir ici ? Voir son interlocuteur à l'écran n'a jamais constitué une preuve. Même avant l'IA. Et encore moins depuis !

Car l'IA n'a malheureusement fait qu'industrialiser ce qu'un homme masqué réussissait déjà artisanalement il y a presque 10 ans. C'est ce qu'a montré, en janvier 2024, l'exécution de 15 virements pour un total de 25,6 millions de dollars chez Arup après une visioconférence entièrement peuplée de deepfakes. (Autopsie de ce cas dans l'article dédié du dossier.)

Le point commun : toutes demandes à un humain de trancher dans l'instant et sous pression

Mettez les quatre parades côte à côte et leur point commun se révèle. Toutes demandent à un humain de vérifier dans l'instant et sous pression. Or l'instant et l'humain sont exactement les deux variables que l'attaquant contrôle : il choisit le moment (urgence fabriquée), il choisit l'état du vérificateur (autorité, stress, confidentialité), et il fournit lui-même grâce à l'IA les éléments de réassurance (une voix, un visage, un second « validateur »).

Ajoutons à cela que sur plusieurs centaines ou milliers de salariés, il peut avoir la chance de “bien” tomber (une victime plus fatiguée que d'habitude, déjà stressée, entrain de faire autre chose… en bref, tout ce que vos procédures de sécurité ne peuvent prendre en compte), et on comprend pourquoi la situation est aussi asymétrique, en défaveur du défenseur.

L'attaquant est en contrôle de tous les paramètres de vos défenses actuelles.

Et ce n'est pourtant pas un défaut de vos procédures. C'est tout simplement la limite structurelle de toute vérification qui se joue dans la tête de la victime au moment où l'ordre est donné. Parce que l'attaquant sait parfaitement comment neutraliser les consignes de sécurité qui ne vivent que dans la tête de vos collaborateurs : sous l'effet conjugué de l'autorité et de l'urgence, les fonctions cérébrales qui portent l'esprit critique sont les premières à décrocher, et la vérification est court-circuitée avant même de s'exercer. Autrement dit, l'ingénieur social ne contourne pas votre procédure : il neutralise la personne censée l'appliquer. C'est tout le sujet de « Ingénierie sociale à l'ère de l'IA : votre cerveau est la faille », où nous montrons pourquoi on ne forme pas un cerveau contre sa propre architecture. La conséquence, pour vos procédures, est sans appel : la vigilance dans l'instant ne peut pas tenir lieu de preuve.

Et le contrôle réglementaire le plus récent ne change rien à ce point précis. Le Verification of Payee (VoP), obligatoire dans la zone euro depuis le 9 octobre 2025 au titre du règlement (UE) 2024/886, vérifie ainsi la concordance entre le nom du bénéficiaire et son IBAN. Il sécurise où va l'argent. Il ne dit rien sur qui a ordonné le virement. Si l'ordre est faux mais le bénéficiaire « cohérent », il passe. C'est structurel.

La bascule : de la confiance à la preuve

La solution n'est pas une meilleure procédure. C'est un changement fondamental de la nature de la vérification.

Tant que la certitude repose sur un humain qui juge dans l'instant, elle restera une supposition. Plus ou moins bonne, mais jamais une preuve. Le seul moyen de sortir de ce régime, c'est de ne plus dépendre ni de l'instant, ni de la vigilance. C'est de disposer d'une preuve liée à l'instruction elle-même, vérifiable indépendamment avant l'exécution : une certitude que l'ordre émane à 100 % de la bonne personne.

C'est ce que nous appelons la preuve d'autorité humaine.

C'est précisément le chaînon manquant. Vos outils de gestion des accès prouvent qui a exécuté. Vos politiques d'autorisations décident si cette personne a le droit de le faire. Les dispositifs anti-fraude bancaires prouvent où va l'argent. Mais personne dans cette chaîne ne prouve qui a ordonné à cette personne habilitée de le faire. C'est cet espace, l'écart entre l'ordre donné et l'ordre exécuté, là où rien ne prouve de manière indépendante que l'ordre vient de la bonne personne, que comble la vérification de l'autorité humaine (Executive Instruction Verification).

La procédure suppose. L'attaquant exploite. La preuve tranche.

FAQ

Le contre-appel suffit-il contre un deepfake vocal ? Non. Le contre-appel échoue sur deux plans. Techniquement, le numéro affiché à un appel entrant est falsifiable, et le rappel sortant peut être détourné par SIM-swapping ou neutralisation temporaire du numéro auprès de l'opérateur ; le mécanisme d'authentification des numéros (loi Naegelen) corrige partiellement le premier point mais reste en déploiement progressif et imparfait depuis fin 2024. Et humainement, sous l'effet de l'urgence et de l'autorité, le rappel n'a de toute manière souvent pas lieu ou est redirigé. Le contre-appel reste utile comme mesure d'hygiène, mais il produit une supposition, pas une preuve.

Un mot de code protège-t-il de la fraude au président ? Faiblement. Le mot de code dépend d'un humain qui pense à l'exiger sous pression. Et il est partageable, parfois devinable, et il ne survit ni à l'urgence (“c'est urgent, on verra après”) ni à l'argument d'autorité. Il dissuade l'amateur mais il ne tient pas face à un attaquant compétent qui a préparé son scénario.

La double validation suffit-elle pour sécuriser un virement ? Non, pas à elle seule. Deux validateurs soumis aux mêmes biais d'autorité et d'urgence produisent deux suppositions mais toujours pas une preuve. La double validation se contourne par une collusion sociale fabriquée (“la direction a déjà validé de son côté”). Elle reste un bon contrôle de gestion, mais elle ne prouve toujours pas l'origine de l'ordre.

Le Verification of Payee (VoP) résout-il le problème ? Non, parce qu'il répond à une autre question. Obligatoire depuis le 9 octobre 2025, le VoP vérifie que le nom du bénéficiaire renseigné correspond à celui visible sur l'IBAN. Il contribue à sécuriser la destination des fonds, mais pas l'origine de l'instruction. Un ordre frauduleux vers un bénéficiaire cohérent passe le contrôle.

Comment vérifier qu'un ordre vient vraiment du dirigeant ? En cessant de le faire vérifier dans l'instant par un humain, et en s'appuyant plutôt sur une preuve liée à l'instruction elle-même, vérifiable indépendamment et avant l'exécution. C'est la logique de la vérification de l'autorité humaine (Executive Instruction Verification) : ne pas tenter de mieux juger sur le moment mais déplacer la preuve hors de ce moment.

Sources

• Observatoire de la sécurité des moyens de paiement (OSMP), Banque de France — Rapport 2024 (présenté le 9 septembre 2025) : fraude par manipulation à 382 M€, soit 32 % du montant total de la fraude ; mention du déploiement effectif fin 2024 / début 2025 du mécanisme d'authentification des numéros (MAN).

• Règlement (UE) 2024/886 — Verification of Payee, obligatoire dans la zone euro depuis le 9 octobre 2025 ; vérifie la concordance nom/IBAN du bénéficiaire.

• Loi dite Naegelen (loi n° 2020-901 du 24 juillet 2020) — fondement du mécanisme d'authentification des numéros (MAN) ; obligations d'authentification entrées en vigueur le 25 juillet 2023, déploiement opérationnel des lignes fixes en octobre 2024 puis des mobiles en janvier 2025.

• Affaire Pathé (mars 2018) — la filiale néerlandaise du groupe français a transféré 19,2 M€ sur la foi d'e-mails usurpant la direction du groupe (prétexte d'une acquisition à Dubaï) ; jugement du tribunal d'Amsterdam du 31 octobre 2018.

• Entreprise agroalimentaire du Finistère (mai 2024) — virement d'environ 65 000 € exécuté en contournant l'ensemble des procédures internes, malgré un faux document « grossier » (France Bleu / Radio France, mai 2024).

• Affaire Arup (janvier 2024, Hong Kong) — 15 virements, 25,6 M$ (200 M HKD) ; déclaration du directeur de l'information du groupe : aucun système interne compromis (rapporté par CNN, mai 2024).

• ANSSI — Panorama de la cybermenace 2025 (publié le 11 mars 2026 ; CERT-FR, réf. CERTFR-2026-CTI-002) : SIM-swapping cité parmi les techniques d'ingénierie sociale avancées.

• ARCEP — fiche pratique « Usurpation de numéro de téléphone fixe ou mobile » et données de signalement : l'affichage du numéro appelant est falsifiable (spoofing) ; signalements d'usurpation passés de 531 (2023) à plus de 19 000 (2025), premier motif de plainte, enquête ouverte sur les opérateurs en janvier 2026.

• Affaire Ferrari (juillet 2024) — un cadre a déjoué une voix clonée du PDG sur WhatsApp en posant une question dont seul le dirigeant connaissait la réponse (Bloomberg, 26 juillet 2024 ; MIT Sloan Management Review, 2025).

• Escroquerie au « faux Le Drian » (2015-2017) — usurpation du ministre par visioconférence Skype (masque en silicone), ~55 M€ extorqués à trois victimes ; condamnations des deux principaux auteurs par le tribunal correctionnel de Paris en 2020, confirmées en appel.

• Biais d'autorité et d'urgence : voir l'article dédié du dossier (renvois Stajano & Wilson, Communications of the ACM, 2011 ; Arnsten, Nature Reviews Neuroscience, 2009).