Sécurité VoIP : protéger vos appels, numéros et données

La plupart des problèmes de sécurité téléphonique en entreprise ne ressemblent pas aux piratages des films. Il s’agit d’un mot de passe réutilisé sur le portail administrateur, d’un code de messagerie vocale resté à 0000, d’un conseiller opérateur convaincu de transférer votre numéro vers la carte SIM d’un tiers, ou d’un escroc qui appelle vos clients en affichant votre numéro. Chacun de ces risques peut être évité, et la plupart des correctifs prennent un après-midi.

Ce guide présente les menaces qui touchent réellement les petites et moyennes entreprises sur les lignes VoIP et mobiles, leurs signes et les mesures à prendre. Il se termine par une checklist et les questions à poser à tout fournisseur téléphonique. Les règles et dates ci-dessous proviennent des pages de la FCC, consultées le 19 octobre 2026. Ces informations générales ne constituent pas un avis juridique.

Pourquoi la VoIP exige une réflexion spécifique sur la sécurité

Un système téléphonique VoIP est un logiciel connecté à Internet. Il comporte des comptes utilisateurs, un portail administrateur, des applications sur les téléphones et ordinateurs, et des connexions au réseau téléphonique public. Aux risques traditionnels de la téléphonie, comme les appels frauduleux et l’ingénierie sociale, s’ajoutent ceux d’Internet, comme les mots de passe volés et les appareils mal sécurisés. Les solutions sont heureusement familières : connexion sécurisée, accès minimaux, surveillance et plan d’action.

1. Fraude aux communications téléphoniques

De quoi s’agit-il : quelqu’un accède à votre système ou compte téléphonique pour passer des appels à vos frais, généralement vers des numéros internationaux coûteux ou surtaxés, souvent la nuit ou le week-end, sans surveillance. La facture peut arriver avant que quiconque ne s’en aperçoive.

Comment les fraudeurs entrent : mot de passe administrateur deviné ou volé, messagerie vocale au code par défaut autorisant les appels sortants, PBX sur site exposé ou salarié trompé pour transférer un appelant vers une ligne extérieure. La FCC avertit les entreprises de ces méthodes depuis longtemps. Son guide « Ne vous laissez pas piéger par l’arnaque téléphonique 90# » décrit les appels incitant le personnel à composer des codes donnant accès à une ligne extérieure. Son guide sur le piratage de messagerie vocale désigne les codes par défaut comme une faiblesse courante et recommande de désactiver les fonctions inutilisées de notification à distance, standard automatique, renvoi d’appel et appel de notification externe (guide FCC sur l’arnaque 90#, tous deux consultés le 19 octobre 2026).

• Bloquez ce dont vous n’avez pas besoin : Désactivez les appels internationaux et surtaxés sauf si vous les utilisez. De nombreux fournisseurs permettent de n’autoriser que certains pays.
• Définissez des alertes et plafonds de dépenses : Demandez des alertes de consommation et une limite ferme sur les frais d’appel.
• Sécurisez la messagerie vocale : Utilisez des codes longs et uniques, sans fonction permettant d’appeler depuis la messagerie vocale.
• Formez l’accueil : Ne transférez jamais un inconnu vers une ligne extérieure et ne composez jamais un code à sa demande.

2. Prise de contrôle d’un compte

De quoi s’agit-il : quelqu’un se connecte à un compte utilisateur ou administrateur de votre système téléphonique. Un compte administrateur peut permettre de lire les SMS, écouter les enregistrements, modifier le routage, ajouter des utilisateurs ou exporter les contacts. Un simple compte utilisateur peut suffire à usurper l’identité du salarié auprès des clients.

• Connexion en deux étapes partout : Exigez un code d’application d’authentification pour chaque administrateur et, idéalement, chaque utilisateur. Les codes par SMS valent mieux que rien, mais sont moins sûrs à cause des échanges frauduleux de SIM présentés ci-dessous.
• Authentification unique lorsque possible : Si votre fournisseur prend en charge la connexion Google ou Microsoft, un seul endroit pour révoquer les accès est plus sûr que dix.
• Retirez les accès le jour du départ : Lorsqu’une personne quitte l’entreprise, supprimez son accès au système téléphonique, ses sessions d’application et tout routage vers son portable personnel.
• Moins d’administrateurs : Accordez les droits administrateur au minimum de personnes et revoyez la liste chaque trimestre.

3. Échanges frauduleux de SIM et portages non autorisés

De quoi s’agit-il : un criminel convainc un opérateur mobile de transférer votre numéro vers une carte SIM qu’il contrôle, ou vers un autre opérateur par un portage frauduleux. Vos appels et SMS, y compris les codes de connexion, lui parviennent alors. En entreprise, cela peut toucher le numéro du dirigeant, celui du site web ou celui associé au compte bancaire.

Le 15 novembre 2023, la FCC a adopté des règles imposant aux opérateurs mobiles d’authentifier leurs clients par des méthodes sûres avant un changement de SIM ou un portage sortant, et de les avertir immédiatement lorsqu’une demande est faite (communiqué de la FCC, consulté le 19 octobre 2026). La FCC a publié séparément les échéances de conformité : consultez son site pour connaître la situation actuelle. Dans tous les cas, vos propres protections restent importantes.

• Ajoutez un code de portage ou un verrouillage du numéro : La plupart des opérateurs américains permettent de définir un code de compte ou de transfert du numéro, et certains proposent un verrouillage. Renseignez-vous et activez les protections disponibles pour chaque ligne professionnelle, y compris le portable personnel du dirigeant.
• Remplacez les codes de connexion par SMS : Utilisez une application d’authentification ou une clé de sécurité pour la messagerie, la banque et le système téléphonique lui-même.
• Reconnaissez le signal d’alerte : Un téléphone qui affiche soudain « Aucun service » ou « SOS uniquement » dans un lieu normalement couvert peut indiquer que le numéro a été transféré. Appelez immédiatement votre opérateur depuis un autre téléphone.
• Gardez les documents de portage confidentiels : Les numéros de compte et codes de transfert sont les éléments recherchés par les voleurs. Protégez-les comme des mots de passe. Notre guide du portage explique leur rôle.

4. Usurpation du numéro d’appelant et STIR/SHAKEN

De quoi s’agit-il : l’appelant falsifie le numéro affiché. Les escrocs utilisent des numéros locaux pour inciter à décrocher et parfois le numéro d’une véritable entreprise pour tromper ses clients. Le guide de la FCC sur l’usurpation du numéro d’appelant explique qu’en vertu du Truth in Caller ID Act, transmettre une identité d’appelant trompeuse ou inexacte dans l’intention de frauder, de nuire ou d’obtenir indûment quelque chose de valeur est illégal, avec des sanctions pouvant atteindre US$10 000 par infraction. Toute substitution n’est pas illégale : un médecin qui appelle depuis son portable personnel en affichant le numéro du cabinet en fait un usage légitime (consulté le 19 octobre 2026).

STIR/SHAKEN est le cadre sectoriel permettant aux opérateurs de signer numériquement les appels pour attester que l’appelant est autorisé à utiliser le numéro affiché. La FCC a imposé son déploiement dans les parties Internet (IP) des réseaux avant le 30 juin 2021, avec un report au 30 juin 2023 pour les petits fournisseurs. Elle exige désormais de la plupart des fournisseurs, y compris les opérateurs passerelles et intermédiaires, qu’ils authentifient l’identité des appels acheminés (page FCC sur l’authentification du numéro d’appelant, consultée le 19 octobre 2026). Consultez notre définition de STIR/SHAKEN.

• Choisissez un fournisseur reconnu : Demandez comment il signe vos appels sortants et quel niveau d’attestation ils reçoivent. Les appels provenant de numéros dont le fournisseur peut se porter garant risquent moins d’être signalés comme indésirables.
• Enregistrez vos numéros pour les SMS : Les SMS professionnels sur numéros locaux nécessitent un enregistrement 10DLC, et les numéros gratuits doivent être vérifiés. Le trafic enregistré inspire davantage confiance. Consultez nos guides 10DLC et de vérification des numéros gratuits.
• Dites aux clients ce que vous ne demanderez jamais : Par exemple : « Nous ne vous appellerons jamais et ne vous enverrons jamais de SMS pour demander votre numéro de carte complet ou un code de connexion. » Indiquez-le sur votre site et dans les e-mails de commande.
• Surveillez les signalements : Si des clients signalent des appels « de votre part » que vous n’avez pas passés, informez la FCC et prévenez les clients. Vous ne pouvez pas empêcher la falsification de votre numéro, mais vous pouvez rendre l’arnaque moins crédible.

5. Écoute clandestine

De quoi s’agit-il : quelqu’un intercepte l’audio ou les données d’établissement d’un appel sur un réseau. C’est rare sur les systèmes hébergés modernes, car le risque principal venait du trafic non chiffré sur des réseaux partagés. Il reste utile de vérifier ce point.

• Renseignez-vous sur le chiffrement : Recherchez TLS pour la signalisation et SRTP pour l’audio, ainsi que le chiffrement des enregistrements et messages vocaux stockés.
• Séparez les réseaux du bureau : Placez les téléphones de bureau et le Wi-Fi invité sur des réseaux distincts, et changez les mots de passe par défaut des routeurs et téléphones.
• Soyez prudent avec le Wi-Fi public : Pour les appels sensibles, utilisez l’application du fournisseur avec les données mobiles ou un réseau de confiance.

6. Enregistrements, messagerie vocale et historique des messages

Un système téléphonique recueille de nombreuses données privées : enregistrements, messages vocaux, transcriptions et SMS contenant des adresses, détails de commande et parfois informations médicales ou de paiement. Le risque ne vient pas seulement de l’extérieur. Il vient aussi d’anciens salariés qui peuvent encore se connecter et d’enregistrements conservés des années sans raison.

• Enregistrez uniquement selon une politique définie : Connaissez les règles de consentement applicables à vos appelants. Notre guide du consentement à l’enregistrement présente la règle fédérale et les États exigeant l’accord de tous les participants.
• Fixez une durée de conservation : Supprimez selon un calendrier les enregistrements et messages vocaux devenus inutiles.
• Limitez les personnes autorisées à écouter : Tous les utilisateurs n’ont pas besoin de tous les enregistrements. Privilégiez les systèmes journalisant les écoutes et téléchargements.
• Ne recueillez jamais de numéro de carte par téléphone ou SMS : Dirigez plutôt les clients vers votre passage en caisse ou une page de paiement sécurisée.

7. Manipulation de votre propre équipe

L’attaque la moins coûteuse est un appel convaincant. « C’est le service informatique, j’ai besoin du code que nous venons de vous envoyer. » « Je suis le client, j’ai déménagé, veuillez modifier l’adresse de livraison et renvoyer la commande. » Des consignes préparées aident : décidez à l’avance ce que le personnel ne fera jamais lors d’un appel entrant, comme communiquer des codes, modifier des coordonnées de versement ou de livraison sans vérification ou transférer vers une ligne extérieure. Soutenez les salariés lorsqu’ils refusent.

Checklist de sécurité VoIP

• Connexion : Authentification en deux étapes pour tous les administrateurs et utilisateurs ; authentification unique si disponible ; aucun identifiant partagé.
• Personnel : Liste des administrateurs revue chaque trimestre ; accès des partants retirés le jour même ; accueil formé aux arnaques au transfert et aux codes.
• Numéros : Code de portage ou verrouillage sur chaque ligne, y compris les portables des dirigeants ; données de portage protégées comme des mots de passe.
• Appels : Appels internationaux et surtaxés désactivés sauf nécessité ; alertes et plafonds de dépenses activés.
• Messagerie vocale : Codes longs et uniques ; fonctions à distance inutilisées désactivées.
• Données : Politique d’enregistrement écrite ; durée de conservation définie ; accès limités et journalisés.
• SMS : Enregistrement 10DLC ou vérification du numéro gratuit terminé ; preuves de consentement conservées.
• Plan : Une page précisant qui appelle l’opérateur, qui contacte le fournisseur, comment prévenir les clients et où se trouvent les codes des comptes.

Questions à poser à tout fournisseur téléphonique

• Connexion : Proposez-vous l’authentification en deux étapes et l’authentification unique ? Puis-je les imposer à tous les utilisateurs ?
• Protection contre la fraude : Puis-je bloquer les appels internationaux ou surtaxés et définir des alertes ou plafonds de dépenses ?
• Chiffrement : La signalisation et l’audio sont-ils chiffrés en transit ? Les enregistrements et messages vocaux sont-ils chiffrés au repos ?
• Identité d’appelant : Comment signez-vous mes appels sortants avec STIR/SHAKEN ?
• Protection des numéros : Comment protégez-vous mes numéros contre les portages non autorisés ?
• Journaux : Puis-je voir qui s’est connecté, a modifié les réglages ou a accédé aux enregistrements ?
• Certifications : Quels audits indépendants, par exemple SOC 2, avez-vous obtenus et puis-je consulter le rapport ?

Comment Chargezen gère les éléments qui relèvent de lui

Chargezen n’est ni une ligne VoIP ni un PBX. Certains éléments ci-dessus, comme les téléphones de bureau et le routage des appels sortants vers l’étranger, ne font donc pas partie de son offre. Voici ce qu’il fait dans son périmètre :

• Votre numéro professionnel, pas les portables personnels : Les clients appellent et écrivent au numéro professionnel ; les collègues répondent depuis Finn ou le navigateur. Aucun numéro personnel de salarié n’est donc celui que connaissent les clients. Découvrez pourquoi c’est important.
• Connexion en deux étapes : Chaque collègue peut activer l’authentification en deux étapes pour sa propre connexion à Chargezen.
• L’enregistrement selon vos règles : Configurez chaque numéro selon votre politique. Les appelants entendent votre annonce avant le début de l’enregistrement, vous choisissez la durée de conservation, et chaque lecture ou téléchargement est journalisé avec son motif. Découvrez l’enregistrement des appels.
• Un numéro professionnel américain pour les appels et SMS : Obtenez un numéro américain local ou gratuit, recherchez les numéros disponibles par indicatif sur la page des numéros de téléphone, ou conservez votre numéro actuel. Chargezen dépose les dossiers d’enregistrement 10DLC ou de numéro gratuit nécessaires aux SMS. Découvrez le numéro professionnel.
• Les modifications attendent une approbation : Vous décidez de ce que Concierge fait seul et de ce qui attend une personne, comme les remboursements et les crédits. Découvrez les approbations.

Pour préciser ce que Chargezen ne fait pas : il ne vend ni lignes VoIP, ni téléphones de bureau, ni PBX. Il ne propose ni SVI ou menu téléphonique, ni groupes de sonnerie, ni renvoi d’appel ou sonnerie simultanée sur les téléphones personnels, ni routage selon les horaires d’ouverture, ni postes internes, ni numéros internationaux. Il fournit uniquement des numéros américains (+1) locaux et gratuits. Si vous avez besoin de ces fonctions, choisissez un système téléphonique conçu pour elles et utilisez Chargezen là où il convient.

Concierge Starter coûte US$20 par mois avec 20 000 crédits. Pro coûte US$199 par mois avec 199 000 crédits, ou US$1 990 par an. Les SMS coûtent US$0,02 par segment et les appels sont facturés à l’usage, sans frais par utilisateur. Consultez les tarifs.

Termes associés : STIR/SHAKEN, portabilité du numéro, consentement à l’enregistrement et 10DLC. Guides associés : choisir un fournisseur VoIP, comprendre les appels Wi-Fi et porter un numéro de téléphone.

Questions fréquentes

La VoIP est-elle moins sûre qu’une ligne fixe ?

Pas par nature. Un système VoIP hébergé bien géré, avec chiffrement et connexion en deux étapes, peut être plus sûr qu’un vieux PBX de bureau jamais mis à jour. Les risques diffèrent : la VoIP ajoute les risques de comptes liés à Internet, ce qui rend la sécurité de connexion plus importante.

Quelle attaque VoIP touche le plus souvent les petites entreprises ?

Les cas classiques sont la compromission de comptes ou de messageries vocales menant à une fraude aux communications, ainsi que la manipulation du personnel. Les échanges frauduleux de SIM ciblent le portable du dirigeant, souvent pour accéder à ses comptes bancaires et de messagerie.

Puis-je empêcher l’usurpation de mon numéro professionnel ?

Pas complètement. STIR/SHAKEN aide les opérateurs à repérer et signaler les appels falsifiés, mais vous ne pouvez pas empêcher quelqu’un de saisir votre numéro dans un outil d’usurpation. Prévenez les clients, signalez les faits à la FCC et dites ce que vous ne demanderez jamais.

STIR/SHAKEN bloque-t-il tous les appels automatisés ?

Non. Il vérifie si l’appelant est autorisé à utiliser le numéro affiché. Il ne détermine pas si l’appel est souhaité, et les appels traversant d’anciens réseaux non IP peuvent ne pas transmettre la signature.