Android alertera en décembre sur les renvois d’appel piégés

L’escroc se présente comme le service anti-fraude de la banque et fait taper à sa victime, sur le clavier du téléphone, une courte suite de symboles et de chiffres : sans le savoir, elle vient de renvoyer ses appels vers lui, ce qui lui permet, selon Google, de « voler les codes à usage unique » que la banque envoie pour valider une opération, et de prendre la main sur ses comptes. À partir de début décembre, un Pixel affichera un avertissement avant que ce renvoi ne prenne effet. C’est l’une des protections qu’Android a détaillées le 14 octobre, avec le masquage des données sensibles pendant un partage d’écran, un mode renforcé dans Google Messages et l’extension à d’autres marques des alertes sur les messages suspects ; Google y a aussi dressé un premier bilan de la vérification des appels de banque, lancée en juin.

Leur portée en France est très inégale. Certaines arrivent dans les semaines qui viennent sans restriction de pays annoncée ; d’autres dépendent du modèle de téléphone ; la plus ambitieuse, qui raccroche au nez des faux conseillers, ne fonctionne qu’avec des banques partenaires, et Google n’en cite aucune française.

516 millions d’euros détournés par manipulation en 2025

L’enjeu, en France, se mesure dans le dernier bilan de l’Observatoire de la sécurité des moyens de paiement, l’instance présidée par le premier sous-gouverneur de la Banque de France, publié le 7 septembre. Les fraudes par manipulation « repartent à la hausse et représentent 516 millions d’euros en 2025 (+ 34 % sur un an), soit 41,6 % de la fraude totale aux moyens de paiement ». Leur forme la plus fréquente est le faux conseiller bancaire, et elles passent surtout par le virement (376 millions d’euros).

La fiche de Cybermalveillance.gouv.fr, le dispositif public d’assistance aux victimes, décrit le scénario : l’escroc, déjà renseigné sur l’identité, l’adresse ou la carte de sa cible, prétend avoir repéré une fraude en cours, puis réclame les codes reçus par SMS ou une validation dans l’application bancaire. C’est précisément ce moment que visent les nouvelles protections.

Ce qui arrive, quand, et sur quels téléphones

Le calendrier et les appareils viennent des notes de bas de page du billet de Google, qui ne donne pas de liste de pays pour les nouveautés. Seules les pages d’aide déjà en ligne, citées plus bas, nomment la France.

Le renvoi d’appel, ou comment l’escroc reçoit vos codes

Le renvoi d’appel fait aboutir vos appels entrants sur un autre numéro. Il peut s’activer en tapant un code dit MMI, une suite de symboles et de chiffres composée sur le clavier comme un numéro. Google décrit l’usage qu’en font les escrocs : rediriger « en secret » les appels entrants vers un autre numéro pour voler les codes à usage unique et « prendre le contrôle de vos comptes ».

Deux mesures y répondent. Selon Google, Android empêche désormais les applications d’activer un renvoi discrètement, en arrière-plan ; et si un escroc pousse sa victime à taper elle-même le code, le système l’avertit « avant qu’il ne prenne effet ». Cette seconde protection sera disponible « à partir de début décembre sur les Pixel et d’autres appareils sélectionnés », selon la note de Google, qui ne précise ni les autres marques ni les pays.

Partage d’écran : Chrome cache enfin les champs sensibles

Un escroc qui obtient de sa victime qu’elle partage son écran voit ce qu’elle tape, mot de passe ou cryptogramme de carte compris : c’est le cas de figure que décrit Google. Android masquait déjà les informations sensibles dans les applications installées ; la protection s’étend à Chrome et à WebView, le composant qui affiche des pages web à l’intérieur des applications. Pendant un partage d’écran en direct, les champs de connexion et les écrans de paiement seront « automatiquement » masqués. Le déploiement a lieu ce mois-ci sur les appareils équipés d’Android 15 ou d’une version plus récente.

Le mode renforcé de Messages, contre une analyse dans le nuage

Le mode de protection renforcée de Google Messages est un réglage à activer soi-même, attendu « dans les prochaines semaines ». Il apporte trois choses.

• L’analyse des conversations par Gemini dans le nuage. Quand on échange avec un expéditeur inconnu, Messages pourra faire examiner le contexte de la conversation par les modèles Gemini hébergés par Google, pour repérer plus vite une arnaque qui s’installe lentement, au fil des messages. L’analyse se fait dans Private AI Compute, un espace de calcul isolé sur les serveurs de Google, où les données sont, selon l’entreprise, chiffrées et « inaccessibles à quiconque, y compris Google » : un engagement de Google, à lire comme tel, pour une fonction que l’on choisit d’activer. La note rattachée à ce passage rappelle que signaler un message comme indésirable envoie son contenu à Google pour analyse, et cite les Pixel 6 et suivants, les Galaxy S24 et suivants, les Galaxy Z Flip et Z Fold6 et suivants, et d’autres appareils Android compatibles.
• La vérification des liens inconnus par Gemini Nano, la version réduite du modèle qui tourne sur le téléphone lui-même, avant que l’on touche un lien vers un site trop récent pour figurer sur les listes noires. Elle est réservée aux Pixel 10 et suivants, aux Galaxy S26, Z Flip et Z Fold8 et à « d’autres appareils sélectionnés ».
• Des avertissements avant d’ouvrir un lien envoyé par un numéro absent des contacts, sur Android 6 et suivants. Google précise que cette fonction n’existait jusqu’ici que dans « certains pays » ou avec la protection avancée d’Android activée.

Par ailleurs, l’alerte qui signale un message suspect directement dans la notification d’une application de messagerie, lancée sur Pixel, va être étendue à « des centaines de millions » d’utilisateurs d’autres marques d’ici la fin de l’année. Sur Pixel, cette détection est déjà disponible en France, en français, et active par défaut ; le contenu des messages « reste privé et n’est pas envoyé à Google », sauf si on choisit de le partager.

Les douze marques concernées par l’extension des alertes de notification

HONOR, Infinix, iQOO, itel, JOVI, Motorola, OPPO, OnePlus, realme, TECNO, vivo et Xiaomi. Google précise que la disponibilité « varie selon le fabricant » ; ni modèles ni pays ne sont donnés.

Pendant l’appel, une détection déjà là mais désactivée

Une protection plus ancienne intervient au moment même de l’appel : la détection des arnaques pendant un appel, dans l’application Téléphone de Google. Elle fonctionne en France sur les Pixel 9 et suivants (les Pixel 9a et 10a n’en bénéficient qu’aux États-Unis), avec une carte SIM française. Elle analyse en arrière-plan les appels susceptibles d’être des arnaques et alerte par notification, son et vibration si le risque est élevé. Le traitement se fait entièrement sur le téléphone, selon Google, sans que l’audio ou sa transcription soient envoyés à ses serveurs. Mais elle est « désactivée par défaut » : il faut l’activer dans les réglages de l’application.

Couper les faux appels de banque : le Brésil d’abord

La parade la plus directe contre l’usurpation d’une banque ne fonctionne, à ce jour, avec aucune banque française connue. Avec les « appels financiers vérifiés », quand un appel semble venir d’une banque, Android interroge l’application de cette banque installée sur le téléphone pour savoir si elle appelle vraiment ; si elle ne confirme pas, le système raccroche et prévient l’utilisateur. Au Brésil, où la fédération des banques FEBRABAN, citée par Google, mesure une hausse de 195,7 % de ces usurpations en un an, Android dit avoir coupé depuis juin plus de 3 millions d’appels usurpant les numéros de Banco do Brasil et d’Itaú Unibanco. Ces appels imitaient des lignes qui ne servent qu’à recevoir des appels, et jamais à en passer.

C’est, à peu de chose près, l’une des priorités que s’est fixées l’Observatoire en septembre : « renforcer la sécurité des lignes téléphoniques bancaires qui ne sont destinées qu’à recevoir des appels (ex. centres d’opposition) », avec les opérateurs télécoms, et étudier un « numéro unique anti-fraude » pour joindre sa banque en cas de doute. Le dispositif de Google, lui, passe par l’application de la banque et non par le réseau : il faut que chaque établissement l’intègre. Google invite les banques intéressées à se manifester par un formulaire, dans sa documentation pour les développeurs ; il avait annoncé cette vérification en mai, sur Android 11 et suivants, avec Revolut, Itaú et Nubank. Google ne précise pas dans quels pays la vérification fonctionne pour les clients de Revolut.

Une parade contre l’usurpation, quand les escrocs ont changé de numéro

Cette vérification a une limite, que les constats français rendent visible. Elle se déclenche quand un appel « semble venir » d’une banque, selon les termes de Google, et vise l’usurpation de ses numéros. Or l’Observatoire constate que la coopération avec les opérateurs, qui a mieux sécurisé les numéros d’appel et les identifiants d’envoi des SMS, « contraint les fraudeurs à recourir à des numéros banalisés plus facilement identifiables (généralement des lignes mobiles en 06 ou 07) ». Un faux conseiller qui appelle d’un portable ordinaire n’usurpe aucun numéro bancaire ; c’est alors la vigilance de la victime, ou la détection pendant l’appel, qui doit prendre le relais.

L’usurpation n’a pas disparu pour autant : les signalements d’usurpation de numéro reçus par l’Arcep, le régulateur des télécoms, sont passés de 531 en 2023 à plus de 19 000 en 2025, première cause de signalement sur sa plateforme. Le régulateur a ouvert en janvier une enquête administrative sur le respect par les opérateurs de leur obligation d’authentifier les numéros.

Quant à l’efficacité revendiquée par Google, elle repose sur deux travaux qu’il a lui-même financés ou menés : une évaluation de Leviathan Security Group « commandée par Google », qui conclut qu’Android offre la meilleure protection intégrée face à l’iPhone, et un sondage YouGov réalisé auprès de 4 500 utilisateurs aux États-Unis, au Canada et en Australie. Aucun ne porte sur la France.

Ce que rien ne remplace

Pour le mode renforcé de Messages comme pour l’alerte sur les renvois d’appel, Google n’a donné ni liste de pays ni date précise pour la France. Une chose ne dépend d’aucune mise à jour : l’Observatoire rappelle qu’« une banque n’a jamais besoin de demander à son client quelque manœuvre que ce soit pour arrêter un paiement suspecté d’être frauduleux ». Taper un code dicté au téléphone, partager son écran, communiquer un code reçu par SMS ou valider une opération dans l’application : face à ces demandes, le bon réflexe est de raccrocher et de rappeler sa banque au numéro officiel, comme le conseille Cybermalveillance.gouv.fr.

Les citations des documents de Google sont traduites de l’anglais par la rédaction.

Les agents qui préparent les articles de L’Octet s’appuient sur un modèle d’Anthropic, entreprise concurrente de Google dans l’intelligence artificielle (Gemini).