Toll fraud 2026 : protège ta téléphonie IA de la fraude

Le toll fraud, c'est la fraude aux frais de télécommunication : des criminels font en sorte que ta ligne, ton standard téléphonique ou ton assistant téléphonique IA passe des appels coûteux – vers des numéros surtaxés ou des destinations internationales sur lesquels ils touchent une commission. Et c'est toi qui reçois la facture. Pour te protéger, trois leviers comptent avant tout : bloquer les pays de destination et les numéros spéciaux, vérifier chaque numéro avant de le composer (y compris les numéros de transfert) et plafonner techniquement les coûts, par exemple avec un crédit prépayé plutôt qu'une facture ouverte.

Cet article se concentre sur la fraude aux coûts et aux frais. Les conversations manipulées, le clonage vocal et l'injection de prompts sont traités dans l'article Sécurité de la téléphonie IA – se protéger de la fraude aux voice bots. Les deux sujets vont ensemble, mais les mesures de protection diffèrent.

Qu'est-ce que le toll fraud ?

Le toll fraud (fraude aux frais téléphoniques) désigne toute fraude dans laquelle quelqu'un déclenche, sans autorisation et via le compte d'un tiers, des appels ou des SMS payants afin de toucher une part des frais. Le titulaire du compte paie, le fraudeur encaisse grâce au partage de revenus sur des numéros de destination coûteux.

Le problème n'est pas nouveau, mais il n'a pas diminué. L'association professionnelle CFCA (Communications Fraud Control Association) a estimé les pertes mondiales dues à la fraude télécom à environ 38,95 milliards de dollars américains dans son Global Fraud Loss Survey 2023 (résumé par TNS). Dans sa documentation développeur, Twilio estime les pertes liées au seul International Revenue Share Fraud à environ 10 milliards de dollars par an.

En Allemagne aussi, l'abus de numéros fait partie du quotidien : selon un communiqué du 9 février 2026, l'Agence fédérale des réseaux (Bundesnetzagentur) a reçu 85 158 plaintes en 2025, désactivé environ 6 200 numéros et interdit la facturation et le recouvrement pour plus de 2 000 numéros. Parmi les sujets : piratage de routeurs, files d'attente coûteuses et fausses hotlines.

Quelles arnaques se cachent derrière la fraude téléphonique ?

Les trois arnaques principales sont l'IRSF (appels vers des numéros internationaux coûteux avec partage de revenus), le Wangiri (appels en absence qui incitent à rappeler un numéro cher) et le SMS pumping (SMS déclenchés en masse vers des numéros sur lesquels les fraudeurs touchent une part). Les trois reposent sur le même principe : chaque minute ou chaque message rapporte de l'argent au fraudeur.

Les fraudeurs louent des blocs de numéros dans des pays aux frais de terminaison élevés ou auprès de fournisseurs de numéros surtaxés internationaux. Ensuite, ils font passer le plus d'appels longs possible vers ces numéros – via des standards piratés, des comptes cloud compromis ou des systèmes automatisés qui composent sur demande. Les frais sont partagés entre opérateurs et titulaire du numéro. Twilio précise que ses clients sont responsables de toute l'utilisation de leur compte.

Wangiri – les appels « ping »

« Wangiri » vient du japonais et signifie à peu près « une sonnerie et on raccroche ». Le téléphone sonne brièvement, un numéro inconnu reste affiché. Si tu rappelles, tu tombes sur une destination chère et on te garde en ligne avec des annonces enregistrées. Sur sa page consacrée aux appels ping, la Bundesnetzagentur met en garde contre les indicatifs qui ressemblent à des indicatifs allemands – par exemple Madagascar (00261) et Coblence (0261).

SMS pumping (trafic artificiellement gonflé)

Ici, des bots attaquent des formulaires web qui envoient un code par SMS – inscription, connexion, demande de démo. Ils saisissent des milliers de numéros issus de tranches coûteuses ; chaque SMS te coûte de l'argent et le fraudeur touche sa part. Le guide de Twilio sur le SMS pumping le décrit comme un trafic factice généré pour gonfler les coûts.

Pourquoi la téléphonie IA est-elle une nouvelle porte d'entrée pour le toll fraud ?

La téléphonie IA est exposée au toll fraud parce qu'un agent vocal peut composer d'un simple clic, 24 h sur 24 et sans contrôle humain – n'importe quel numéro fourni par un formulaire, une API ou une liste CRM. Un humain hésiterait si on lui demandait d'appeler 40 fois de suite un numéro en Afrique de l'Est. Un système non protégé, non.

Points d'attaque typiques en téléphonie IA :

Formulaires de rappel et appels de démo : « Saisis ton numéro, notre IA te rappelle » est un argument de vente fort – et une invitation pour les bots à saisir des numéros de destination coûteux.
Codes par SMS ou par appel : la confirmation par code protège contre les numéros de tiers, mais génère elle-même des coûts. Sans limites, l'envoi de codes devient une cible de pumping.
API et automatisations : les ordres d'appel venant d'un CRM, de flux Zapier ou d'outils MCP passent sans que personne ne regarde le numéro. Une clé API volée suffit pour des centaines d'appels.
Transferts d'appel : beaucoup d'agents vocaux transfèrent vers un humain sur demande. Si le numéro de transfert est remplacé par un numéro surtaxé, chaque appelant y est connecté à tes frais.
Durée d'appel longue : les fraudeurs maintiennent la ligne ouverte avec des annonces enregistrées. Un agent IA poli sans limite de temps écoute patiemment – minute après minute.

Conséquence : la téléphonie IA a besoin des mêmes protections qu'un standard classique, mais appliquées de façon plus systématique, puisqu'il n'y a plus d'humain entre les deux.

Pièges de coûts typiques : numéros surtaxés, destinations internationales, transferts

En Allemagne, ces tranches de numéros sont particulièrement concernées par le toll fraud. Elles ont des usages légitimes, mais un agent vocal d'entreprise n'a pratiquement jamais besoin de les appeler :

Tranche (Allemagne)	Usage	Risque de toll fraud
0900	Services surtaxés (premium)	Tarifs à la minute élevés, reversés directement au fournisseur
0137 / 0138	Services d'appels de masse (p. ex. télévote)	Facturés par appel, faciles à déclencher en masse
0180 / 0181	Numéros de service et réseaux virtuels internationaux	Plus chers qu'un appel fixe normal
019x	Services en ligne et spéciaux	Rarement légitimes en B2B
0700	Numéros personnels	Renvoi possible vers n'importe quelle destination, même chère
118xx	Services de renseignements	Frais élevés, souvent avec mise en relation
International	Surtout les destinations aux frais de terminaison élevés	Cible principale de l'IRSF

La Bundesnetzagentur décrit le schéma sur sa page consacrée au piratage de routeurs : des criminels accèdent au routeur ou au standard et appellent des numéros étrangers, en (0)180 ou en (0)900. Souvent, personne ne s'en aperçoit avant que l'opérateur ne signale des connexions inhabituelles ou que la facture n'arrive.

Trois pièges sont souvent négligés :

Tranches mobiles et surtaxées dans des pays autorisés : même si un pays est activé, certaines tranches de numéros peuvent y être surtaxées.
Numéros de transfert et de rappel : on vérifie souvent seulement le numéro que l'agent compose – pas celui vers lequel il transfère.
Indicatifs trompeurs : un indicatif étranger qui ressemble à un indicatif local passe un contrôle visuel.

Comment te protéger du toll fraud ? La checklist

La protection la plus efficace contre le toll fraud consiste à n'activer que les pays de destination nécessaires, à bloquer par défaut les numéros spéciaux, à vérifier chaque numéro avant l'appel et à plafonner strictement les coûts avec des limites et un crédit prépayé. Aucune mesure ne suffit seule ; c'est la combinaison qui rend la fraude téléphonique peu rentable.

La checklist pour les entreprises qui utilisent la téléphonie IA ou des formulaires de rappel :

Risque → mesure : le toll fraud en un coup d'œil

Risque	Scénario typique	Mesure efficace
IRSF vers l'international	Un compte piraté compose des numéros étrangers coûteux	Liste blanche de pays, blocage des tranches surtaxées
Numéros surtaxés	L'agent doit appeler un 0900 ou un 118xx	Blocage des numéros spéciaux dans tous les pays
Transfert manipulé	La cible du transfert devient un numéro surtaxé	Vérifier les numéros de transfert comme les numéros composés
Abus de formulaire de rappel	Des bots saisissent des numéros de tiers ou coûteux	CAPTCHA, double opt-in par code, restriction par pays
SMS pumping	Envoi massif de codes de vérification	Limites par numéro, IP et jour
Wangiri	Rappel d'un numéro appât manqué	Ne jamais rappeler automatiquement les numéros étrangers inconnus
Clé API volée	Ordres d'appel automatisés sans contrôle	Scopes, validation humaine des listes d'appels
Coûts illimités	La facture révèle le dommage des semaines plus tard	Crédit prépayé, monitoring, blocage du compte

Que faire si tu es victime de fraude téléphonique ?

Si tu es victime de toll fraud, bloque immédiatement les accès concernés, change les mots de passe et les clés, conteste la facture et signale le cas aux autorités et à la police. Plus tu réagis vite, plus le dommage reste limité.

Pour le piratage de routeurs et de standards en Allemagne, la Bundesnetzagentur recommande concrètement :

Contester la facture : fais opposition sans attendre auprès de ton opérateur et demande un relevé détaillé des appels.
Vérifier le prélèvement : en cas de prélèvement, tu peux le faire annuler et ne payer que le montant non contesté.
Déposer une plainte : signale le cas à la Bundesnetzagentur avec la facture et le relevé. Elle peut désactiver des numéros et interdire facturation et recouvrement.
Porter plainte : auprès de la police, car la fraude téléphonique relève en général du pénal.

Pour la téléphonie cloud et les plateformes IA, signale aussi l'incident directement au fournisseur afin qu'il bloque compte, numéros et clés API. Vérifie ensuite que les pays, transferts et limites sont correctement réglés.

Comment fait anicall.io

anicall.io est un assistant téléphonique IA pour les entreprises de la région DACH (Allemagne, Autriche, Suisse), exploité par mysoftwarelab GmbH à Worms, en Allemagne. Comme nos agents vocaux composent eux-mêmes, la protection contre la fraude aux frais est intégrée et non optionnelle :

Protection de numérotation pour les numéros spéciaux : les numéros surtaxés, spéciaux, de service et d'urgence (p. ex. 0900, 0137/0138, 0180/0181, 019x, 0700, 118xx) ne sont jamais appelés – dans aucun pays. Tous les numéros classés premium ou à coûts partagés sont également bloqués.
Pays de destination par compte : par défaut l'Allemagne, l'Autriche et la Suisse. D'autres pays ne peuvent être activés qu'à partir d'une liste fixe (cœur de l'UE, Royaume-Uni, États-Unis, Canada).
Les transferts sont aussi vérifiés : le numéro de transfert en direct vers un humain passe le même contrôle que chaque numéro composé.
Rappel de démo seulement après confirmation par code : l'appel de démo sur la page d'accueil n'a lieu qu'une fois le numéro confirmé par code SMS ou vocal. Les appels n'ont lieu qu'à heures fixes et avec des plafonds.
Validation humaine : les listes d'appels issues de l'API, d'un CRM ou du MCP ne démarrent qu'après validation par un humain. Il existe aussi une liste « ne pas appeler » à l'échelle du compte.
Blocage du compte en cas de soupçon : les comptes peuvent être bloqués en cas de soupçon d'abus.
Tokens prépayés plutôt que facture ouverte : pas de frais fixes, pas d'abonnement. 1 token vaut 1 centime HT ; les appels entrants coûtent 13 tokens par minute, les appels sortants vers un fixe 16 et vers un mobile ou l'étranger 62 tokens. Quand le solde est épuisé, aucun nouvel appel ne démarre ; un appel en cours est limité au solde restant.

Un exemple de calcul tiré de la page des tarifs : 300 minutes entrantes par mois plus un numéro donnent 300 × 13 + 180 = 4 080 tokens, soit 40,80 € HT. Tu sais à l'avance ce qui peut arriver au pire. Pour la base de données, le chiffrement et les validations, consulte Sécurité & confidentialité ; la page du setter IA explique comment l'agent sortant appelle en toute légalité.

Questions fréquentes

Quelle est la différence entre toll fraud et IRSF ?

Le toll fraud est le terme générique pour la fraude aux frais en téléphonie. L'IRSF (International Revenue Share Fraud) en est la forme la plus courante : les fraudeurs font passer des appels vers des numéros internationaux coûteux et touchent une part des frais.

Qui paie en cas de toll fraud ?

En général, le titulaire de la ligne ou du compte par lequel les appels sont passés. Les fournisseurs de téléphonie comme Twilio rendent explicitement leurs clients responsables de toute l'utilisation. C'est pourquoi blocages et limites valent la peine avant qu'il ne se passe quoi que ce soit.

Bloquer les numéros 0900 suffit-il ?

Non. Le 0900 n'est qu'une des tranches coûteuses, et la majeure partie de l'IRSF passe par des destinations internationales. Il te faut aussi une liste blanche de pays, un contrôle des numéros de transfert et des limites.

Comment protéger un formulaire de rappel contre les abus ?

Combine protection anti-bots (p. ex. CAPTCHA), confirmation du numéro par code SMS ou vocal, restrictions par pays et limites par numéro, IP et jour. Ne rappelle qu'une fois le numéro confirmé et limite les plages horaires et la durée des appels.

Le prépayé protège-t-il vraiment contre la fraude téléphonique ?

Le prépayé n'empêche pas l'attaque, mais il plafonne le dommage maximal au crédit disponible. Avec une facture ouverte, le toll fraud n'apparaît souvent que des semaines plus tard – avec le prépayé, tout s'arrête au plus tard quand le solde est vide.

Teste la protection toi-même : essaie la démo en direct sur anicall.io : appelle la réception IA directement dans ton navigateur ou demande un appel de démo – qui n'a lieu qu'après confirmation de ton numéro par code. Ensuite, tu peux démarrer gratuitement sur anicall.io : le test de l'agent dans le navigateur ne coûte rien, et tu n'as besoin de tokens que pour de vrais appels. Les agents parlent actuellement allemand.