Usurpation de l’afficheur, STIR/SHAKEN et comment bloquer réellement les appels au Canada

Pourquoi le système canadien d’authentification des appels ne bloque aucun appel, ce qu’il fait à la place, et quelles mesures de blocage aident vraiment.

Dernière révision : 2026-07-26. Rédigé pour les lecteurs du Canada.

L’afficheur n’a jamais été conçu comme un dispositif de sécurité. Le numéro qui apparaît sur votre appareil est fourni par l’équipement de l’appelant et, pendant la majeure partie de l’histoire du réseau téléphonique, rien ne vérifiait que celui-ci avait le droit de l’utiliser. C’est cela, l’usurpation : non pas un piratage, mais un champ non vérifié rempli malhonnêtement.

STIR/SHAKEN authentifie. Il ne bloque pas.

C’est l’élément le plus important à comprendre au sujet de la protection contre les appels au Canada, et c’est l’inverse de ce que l’on suppose généralement.

STIR/SHAKEN — pour Secure Telephone Identity Revisited et Signature-based Handling of Asserted information using toKENs — a été imposé par le CRTC dans la décision 2021-123 et est en vigueur depuis le 30 novembre 2021. Selon ce cadre, votre fournisseur vérifie si un appelant a le droit d’utiliser le numéro qu’il présente, signe numériquement une attestation indiquant son degré de confiance, et transmet cette signature avec l’appel. Le fournisseur destinataire vérifie la signature. Un fournisseur ne peut signer que s’il détient un jeton de l’Administrateur canadien de la gouvernance des jetons sécurisés.

C’est la suite qui déçoit les attentes. Rien n’est bloqué. Le cadre produit un verdict, pas une action. Bell l’énonce clairement dans sa propre documentation destinée à la clientèle : STIR/SHAKEN ne bloque aucun appel et ne confère à Bell, ni à aucun autre fournisseur, le pouvoir de bloquer un appel en fonction de son niveau d’attestation. Les appareils compatibles peuvent afficher un indicateur de vérification. C’est là tout l’effet visible pour le consommateur.

L’attestation elle-même est aussi plus étroite qu’il n’y paraît. Une attestation complète signifie que le fournisseur connaît le client et confirme son droit d’utiliser ce numéro. Une attestation partielle signifie qu’il connaît le client mais ne peut se porter garant du numéro. Une attestation de passerelle signifie qu’il sait seulement par où l’appel est entré dans son réseau — ce qui correspond typiquement à un appel international. Un appel signé n’est pas un appel digne de confiance; c’est un appel dont quelqu’un accepte de garantir l’origine à un certain degré.

Les lacunes de couverture dont personne ne parle

Le CRTC a appliqué l’obligation aux seuls appels vocaux sur IP. Lorsqu’un réseau achemine encore du trafic par commutation TDM plus ancienne, ces appels échappent au cadre. Le Canada a par ailleurs mis en œuvre une version plus légère que celle des États-Unis et, en pratique, les appels réacheminés, transférés ou passant par certaines configurations de numéros sans frais peuvent ne pas conserver une attestation utilisable de bout en bout.

Ainsi, l’appel frauduleux qui vous préoccupe le plus — une opération internationale, acheminée par des intermédiaires, usurpant l’identité d’une banque canadienne — est précisément celui qui a le moins de chances d’arriver avec une attestation significative. L’authentification augmente le coût de l’usurpation à l’échelle du réseau. Elle n’empêche pas votre téléphone de sonner.

Ce qui bloque réellement des appels au Canada

Le blocage découle d’une autre série de décisions du CRTC, et des systèmes propres à votre fournisseur :

• Le blocage des numéros non conformes. En vertu de la Politique réglementaire de télécom et de conformité et enquêtes CRTC 2018-484, les fournisseurs bloquent les appels présentant des numéros qui ne pourraient pas être composés — des numéros mal formés comme 000-000-0000. Bell déclare en avoir bloqué des milliards depuis janvier 2020. C’est universel et cela ne demande rien de votre part.
• L’analytique des fournisseurs. Les fournisseurs canadiens exploitent leurs propres filtres approuvés par le CRTC. Bell utilise un système de blocage des appels frauduleux fondé sur l’intelligence artificielle depuis juillet 2020. Ces services varient d’un fournisseur à l’autre et certains exigent une adhésion : il vaut la peine de demander précisément quel filtrage est compris dans votre forfait.
• Le retraçage des appels. Depuis le 25 juin 2026, la décision CRTC 2026-52 oblige tous les fournisseurs de services de télécommunication à participer au retraçage des appels dès la réception d’une première demande. Les fournisseurs doivent conserver les données d’appel pendant au moins dix jours civils, répondre dans les deux jours ouvrables et indiquer le fournisseur signataire et le niveau d’attestation lorsque cela est techniquement possible. Cela n’empêche pas un appel de vous parvenir, mais c’est ainsi qu’une opération est repérée et coupée à la source.

Sur votre propre appareil

iPhone. Ouvrez Réglages, trouvez les réglages du Téléphone et activez « Silence appels inconnus ». Les appels provenant de numéros absents de vos contacts, de vos appels sortants récents ou des suggestions de Siri sont dirigés directement vers la messagerie vocale. Le chemin exact change selon les versions d’iOS : cherchez « Silence » dans les Réglages s’il n’est pas là où vous l’attendez. Sachez que l’outil est brutal : le rappel d’une clinique, d’un livreur ou d’un employeur potentiel sera lui aussi mis en sourdine.

Android. Dans l’application Téléphone, ouvrez les réglages et cherchez « Identification de l’appelant et spam », « Numéros bloqués » ou « Filtrage des appels » selon le fabricant et la version. L’application Téléphone de Google peut filtrer les appelants inconnus et les pourriels présumés. Samsung, Pixel et les autres versions placent ces réglages ailleurs.

Bloquer un numéro à la fois ne fonctionne pratiquement pas contre l’usurpation, et il vaut la peine d’expliquer pourquoi. Une opération d’usurpation n’appelle pas depuis le numéro que vous avez vu : elle l’a emprunté pour un appel et en empruntera un autre la prochaine fois. Bloquer ce numéro revient à bloquer le Canadien innocent qui le détient réellement. L’usurpation de voisinage — où le numéro affiché reprend votre indicatif régional et votre central pour paraître local — aggrave le problème, puisque vous risquez de bloquer un à un les numéros de votre propre collectivité. Mettre en sourdine les appelants inconnus comme catégorie est la stratégie qui résiste au problème; bloquer les numéros un par un n’en est pas une.

La règle pratique

Traitez le numéro affiché comme une affirmation, non comme une preuve — même lorsqu’un indicateur de vérification apparaît, et même lorsque le numéro en est un que vous reconnaissez. Si un appelant crée un sentiment d’urgence et réclame de l’argent, des identifiants, un numéro d’assurance sociale ou un accès à distance à un appareil, mettez fin à l’appel, trouvez vous-même le numéro de l’organisation sur son site officiel ou au verso de votre carte, et composez-le. Rien dans STIR/SHAKEN ne remplace cette habitude, et ce n’en fut jamais l’intention.