Arnaque Google Business Profile : Google vous appelle, est-ce un piège ?

Un numéro inconnu, une voix pressée : « Bonjour, c'est Google, au sujet de votre fiche ». Face à l'arnaque Google Business Profile, un fait change tout : en France, rien dans la documentation de Google n'indique que ces appels automatisés existent. Son aide officielle les réserve à « certaines régions » et à « certaines langues », et ne détaille que les États-Unis. Un seul test tranche de toute façon, partout : Google ne demande jamais votre code de validation, ni un code à usage unique, ni un paiement.

Cet article donne les trois preuves de cette absence, la marche à suivre si vous avez déjà donné un code, les cinq signes du faux appel et le réglage qui coupe ces appels.

Pages d'aide Google Business Profile relevées en français le 27 octobre 2026, textes de loi lus sur Légifrance dans leur version en vigueur à cette date. Les passages entre guillemets sont des citations de ces sources. Aucun chiffre de volumétrie n'est avancé : il n'existe pas, à notre connaissance, de relevé officiel français sur ce type d'appel.

Arnaque Google Business Profile : en France, l'appel est presque toujours faux

Le dispositif existe, et c'est ce qui sème le doute. La page d'aide À propos des appels et messages automatisés de Google à votre établissement décrit bien des appels, des SMS et des messages WhatsApp envoyés par Google au numéro validé d'une fiche. Mais la même page pose une limite que personne ne cite.

Trois éléments, tous relevés sur cette page le 27 octobre 2026, dessinent le même constat.

• Google écrit que ces appels et messages « ne sont actuellement possibles que dans certaines régions et dans certaines langues ».
• La seule zone géographique détaillée est les États-Unis, où le service couvre tous les États sauf l'Indiana, la Louisiane, le Minnesota, le Montana et le Nebraska. La France n'est pas mentionnée.
• Le tableau des mots-clés permettant d'arrêter ces messages couvre sept langues. Le français n'y figure pas.

Le tableau des commandes d'arrêt, où le français manque

Voici ce tableau tel qu'il figure sur la page d'aide, avec la ligne que nous y avons ajoutée.

Si Google envoyait des messages automatisés à des commerçants français, il leur donnerait le mot à répondre pour les arrêter. Rien dans sa documentation n'indique donc que ces appels soient déployés en France. Un appel « de Google » reçu dans un atelier de Haute-Corrèze est, très probablement, frauduleux.

Ce que Google fait au téléphone, là où le dispositif est déployé

Savoir à quoi ressemble le vrai aide à reconnaître le faux. Dans les zones couvertes, Google peut appeler ou écrire pour valider des informations de la fiche, par exemple les horaires affichés ou la disponibilité d'un service. Il peut aussi appeler au nom de clients, pour prendre un rendez-vous ou confirmer le prix d'un produit.

La page précise que « ces appels sont surveillés et enregistrés pour des raisons d'assurance qualité ». Elle précise surtout que « Google ne vous demandera jamais d'effectuer un paiement ni de fournir des informations de carte de crédit » ni « les mots de passe de vos comptes ».

La page Se protéger contre les appels et les messages frauduleux ajoute quatre repères techniques utiles.

• Les appels automatisés proviennent d'un ensemble de numéros dédiés, et non d'un portable quelconque.
• Seuls les établissements dont le numéro de téléphone est public sur la fiche sont susceptibles de recevoir ces appels.
• Sur WhatsApp et sur les messages RCS — la nouvelle génération de SMS, celle qui affiche un nom et un logo d'expéditeur au lieu d'un simple numéro — le compte officiel se reconnaît à la coche bleue de validation.
• Si quelqu'un prétend appeler de la part de Google, la consigne de Google est de raccrocher, sans appuyer sur aucune touche.

Cette consigne vient de Google lui-même : un appel légitime ne vous demandera jamais de décider quoi que ce soit dans l'instant.

La règle qui ne trompe jamais : le code de validation

S'il ne fallait retenir qu'une chose, ce serait celle-ci, et elle est écrite par Google. Sur la page Valider votre établissement sur Google, on lit : « Google ne vous demandera jamais votre code de validation. » La même page ajoute : « Ne communiquez le code de validation à personne, même à ceux qui gèrent votre fiche d'établissement. »

Beaucoup de dirigeants parlent de « code de vérification » ; le terme officiel de l'aide française est « code de validation », et c'est le même objet. La page Protéger votre fiche d'établissement Google étend la règle aux codes temporaires : « Google ne vous demandera jamais de mot de passe à usage unique (OTP) ni votre code secret. » Elle rappelle aussi que Google ne demande pas de payer pour maintenir ou rétablir une fiche.

Pourquoi ce code est-il le nerf de l'affaire ? Parce qu'il prouve que vous êtes bien l'établissement, et permet donc d'en prendre le contrôle. Selon les cas, Google retient l'un de ces modes de validation : téléphone ou SMS, e-mail, appel vidéo en direct, courrier postal, parfois un enregistrement vidéo, parfois une validation instantanée via la Search Console. Vous ne choisissez pas : « Les méthodes de validation sont déterminées automatiquement par Google et ne peuvent pas être modifiées. »

Un escroc qui obtient le code peut lancer une revendication de votre fiche et se glisser à votre place. Il ne pirate pas Google : il vous fait signer à sa place, en six chiffres, au téléphone.

Le déroulé de l'appel, réplique par réplique

La mise en scène varie peu. Voici ce qui se dit, et ce qu'il faut répondre.

Le dernier moment est le plus dangereux, parce que le code arrive vraiment : c'est l'appelant qui en a déclenché l'envoi depuis Google, et il reste en ligne pendant qu'il tombe.

J'ai donné le code : la marche à suivre dans l'ordre

Si c'est arrivé, le réflexe n'est ni la panique ni l'attente. C'est une série de vérifications dans un ordre précis, parce que chaque minute compte avant que l'intrus ne verrouille la porte derrière lui.

1. Regardez qui a accès à votre fiche. Depuis votre fiche, sélectionnez Plus, puis Paramètres de la fiche d'établissement, puis Utilisateurs et accès. La page Gérer les propriétaires et les administrateurs détaille les deux rôles, propriétaire et administrateur, l'un des propriétaires étant le propriétaire principal.
2. Supprimez tout utilisateur inconnu. Sélectionnez l'utilisateur, puis Supprimer l'utilisateur. Si l'option est grisée, c'est que vous n'avez qu'un rôle d'administrateur : seuls les propriétaires peuvent retirer un autre propriétaire.
3. Sécurisez le compte Google associé. Changez le mot de passe et activez la validation en deux étapes, que Google recommande explicitement pour protéger une fiche.
4. Relisez votre fiche ligne à ligne. Numéro de téléphone, adresse du site, adresse postale, horaires, catégorie : ce sont les cinq premières choses qu'un intrus modifie, et le numéro vient en tête.
5. Signalez l'appel à Google, via son formulaire de signalement d'un tiers, en joignant la date, l'heure et le numéro appelant.

Si vous avez perdu la propriété de la fiche

La procédure passe par business.google.com/add, puis par le bouton Demander l'accès et un formulaire. D'après la page Demander la propriété d'une fiche d'établissement, le propriétaire en place « dispose de trois jours pour vous répondre ». Sans réponse, vous ouvrez l'e-mail de confirmation, sélectionnez « Voir la demande » puis « Valider » — une option qui n'est pas toujours disponible.

Une subtilité explique pourquoi certaines reprises de contrôle traînent. D'après la page sur les propriétaires et administrateurs, un utilisateur nouvellement ajouté doit attendre sept jours avant de pouvoir supprimer la fiche, retirer d'autres utilisateurs ou transférer la propriété principale.

Si vous avez payé, ou reçu un message suspect

La fiche réflexe Que faire en cas de phishing ou hameçonnage de Cybermalveillance.gouv.fr donne l'ordre des gestes : faire opposition immédiatement auprès de votre banque, conserver les preuves, porter plainte, puis changer les mots de passe concernés. Elle renvoie ensuite vers les canaux de signalement.

• Un SMS frauduleux se transmet au 33700, gratuitement.
• Un conseil immédiat s'obtient auprès d'Info Escroqueries, au 0 805 805 817.
• Un site ou un contenu frauduleux se signale sur la plateforme Pharos, à l'adresse internet-signalement.gouv.fr.
• Un accompagnement pas à pas est proposé par le service public 17Cyber, en ligne.

Sur le même principe, méfiez-vous des SMS et e-mails annonçant la suppression de votre fiche avec un lien de recours. Aucun recours Google ne passe par un lien reçu par message : il se lance depuis votre tableau de bord, et nulle part ailleurs.

Les cinq signes qui distinguent un appel Google d'une arnaque

Cette grille tient sur une feuille, à punaiser près du poste téléphonique. Chaque ligne repose sur une affirmation des pages d'aide citées plus haut.

À lire avec la réserve du premier chapitre : en France, la colonne de gauche décrit un dispositif que la documentation de Google ne mentionne pas. La dernière ligne reste la plus utile en pratique, parce qu'un appel réellement passé par Google laisse une trace vérifiable dans votre interface de gestion.

Le test tient donc en trois gestes : raccrocher, ouvrir soi-même sa fiche depuis son compte Google, et regarder s'il s'y passe quelque chose. Pour un état des lieux plus large de votre présence en ligne, notre audit complet vous le donne sans qu'on vous téléphone pour vous l'annoncer.

Les scénarios d'arnaque Google Business Profile les plus courants

Les argumentaires varient peu, parce qu'ils fonctionnent sur deux ressorts : la peur de disparaître et l'urgence.

1. « Votre fiche va être supprimée dans 48 heures. » La suppression immédiate par téléphone n'existe pas. Les suspensions réelles passent par le compte et par une procédure de recours.
2. « Votre fiche n'est pas validée, je vous envoie un code. » C'est la version la plus dangereuse, parce qu'elle paraît administrative.
3. « Google Business Profile devient payant pour les professionnels. » La page Ajouter ou revendiquer votre fiche d'établissement est explicite : « Vous pouvez ajouter ou revendiquer votre établissement sans frais. »
4. « Nous vous garantissons la première position sur Google. » Personne ne vend une position dans les résultats naturels.
5. « Nous sommes partenaires agréés Google. » L'aide de Google met en garde contre ceux qui disent travailler « avec Google » ou « pour Google » pour vendre des services de marketing en ligne.
6. « Passez votre fiche en version IA avant la fin du mois. » La formule suit l'actualité et change chaque année ; le mécanisme reste le même.

Un indice secondaire aide à trancher : le vocabulaire. Beaucoup d'appels frauduleux parlent encore de « Google My Business », une appellation remplacée depuis par « fiche d'établissement ».

Le cas documenté du faux « badge Google Verified »

Un exemple français récent montre le dispositif complet. Mis à jour le 22 septembre 2026, l'article de Damien Bancal sur ZATAZ documente un faux « Badge Google Verified » vendu 269 €, démarché depuis le numéro mobile 07 57 95 83 22, sur un site qui reprend l'identité visuelle de Google.

Le même site proposait un catalogue entier de prestations aux noms crédibles, jusqu'à plus de deux mille euros pour une « formule privilège ». ZATAZ précise que les arguments commerciaux relevés sur ce site ne valent pas validation de leur existence ni de leur légitimité. C'est une enquête de presse spécialisée, pas une décision de justice.

Le discours est professionnel, le vocabulaire est juste, le site est soigné — et le produit vendu n'existe pas, parce qu'aucun badge payant de ce type n'existe chez Google.

L'extorsion aux faux avis négatifs, l'autre famille d'arnaques

Le téléphone n'est pas le seul front, et cette variante frappe durement un restaurant ou un garage. Google lui consacre une page dédiée, Signaler les escroqueries par extorsion liées à des avis négatifs, que presque personne ne connaît.

Le schéma est en deux temps : « une augmentation soudaine du nombre d'avis 1 et 2 étoiles », puis une demande d'argent, de biens ou de services en échange de leur retrait. Google demande de « rassembler immédiatement toutes les preuves », en quatre catégories.

• Les captures d'écran de la tentative d'extorsion, avec date, heure et coordonnées de l'expéditeur.
• Les liens vers les avis suspects.
• Les informations sur les personnes ou groupes malveillants.
• Les informations contextuelles, dont la chronologie des faits.

Deux consignes complètent le dispositif : « N'échangez pas avec les personnes malveillantes et ne leur envoyez pas d'argent », et n'essayez pas de régler la situation seul en proposant de l'argent ou des services. Le signalement se fait ensuite via le formulaire d'extorsion dédié.

La logique est la même que pour l'appel téléphonique : on ne négocie pas, on documente et on signale. Pour la gestion normale d'une fiche et les suspensions, nous avons publié un guide à part sur la protection d'une fiche Google Business Profile.

Ce que Google peut ajouter à votre fiche, et comment le refuser

Reste une question légitime, posée par les dirigeants qui ont entendu parler du dispositif américain. Quand une entreprise répond à un appel ou à un message automatisé de Google, les informations données peuvent servir à modifier la fiche ou à y publier quelque chose en son nom. L'aide le formule ainsi : « Chaque fois que Google utilise des informations issues de votre conversation pour publier un post en votre nom, vous recevez une notification par e-mail à ce sujet. »

Trois garde-fous existent. Les publications en votre nom ne concernent que les fiches validées. Les modifications issues de ces échanges sont marquées « En attente » le temps d'un examen qui peut aller jusqu'à cinq jours ouvrés. Vous pouvez examiner ces ajouts et les supprimer à tout moment.

Le chemin exact du réglage

Il part de votre tableau de bord sur business.google.com. La page Gérer les paramètres avancés de votre fiche donne les deux premières étapes, la page sur les appels et messages automatisés donne les suivantes.

1. Connectez-vous à votre compte et ouvrez votre fiche d'établissement.
2. Sélectionnez Plus, puis Paramètres de la fiche d'établissement, puis Paramètres avancés.
3. Ouvrez la section consacrée aux appels et messages automatiques de Google.
4. Activez ou désactivez séparément les trois options : Réservations et demandes de renseignements des clients, Actualiser la fiche, Publier sur la fiche en votre nom.
5. Vérifiez au passage le réglage Numéro de téléphone, qui permet d'afficher ou de masquer votre numéro sur la fiche.

Une condition préalable, écrite noir sur blanc : « Si vous n'avez pas validé votre établissement, vous devez le faire pour désactiver cette fonctionnalité. » Google indique aussi que vous pouvez demander, pendant l'appel lui-même, à ne plus être appelé.

Le réglage du numéro public mérite une seconde de réflexion. Le masquer vous met à l'abri des appels automatisés comme des appels frauduleux, puisque seuls les établissements au numéro public sont appelés. Mais il prive aussi vos clients du bouton d'appel, ce qui est rarement une bonne affaire pour un artisan ou un restaurant.

Ce que le réglage ne coupe pas

Dernière précision, et elle compte. Google écrit qu'après désactivation, vous pouvez « occasionnellement recevoir des appels non automatisés de Google » pour valider des informations. Le réglage réduit le bruit ; il ne remplace jamais la règle du code.

Pourquoi votre fiche intéresse les escrocs : le cas du numéro surtaxé

Pourquoi se donner tant de mal pour une fiche gratuite ? Parce que, pour beaucoup de clients, votre fiche est le premier et parfois le seul point de contact avec vous.

En septembre 2024, le numéro affiché sur la fiche Google du restaurant La Boucherie à Langon, en Gironde, a été remplacé par un numéro surtaxé, le 0 893 02 55 10. Une voix artificielle faisait patienter les appelants pendant que les frais couraient. Le personnel n'a pas réussi à corriger le numéro depuis ses propres accès, l'anomalie n'apparaissait que sur Google, et le bon numéro n'a été rétabli que le 13 novembre 2024.

L'affaire a été rapportée par la presse locale, Le Républicain Sud-Gironde, puis reprise par Presse-citron le 18 janvier 2025, qui cite des surcoûts de 5 à 9 € par appel rapportés par la direction du restaurant. Ce sont des sources de presse, pas une publication officielle.

L'épisode se transpose partout : pendant deux mois, les clients qui appelaient ce restaurant n'appelaient plus le restaurant.

Ce qui a changé sur les numéros depuis le 1er janvier 2026

Un vieux conseil mérite une mise à jour, parce que le paysage téléphonique français a bougé. Par sa décision n° 2025-2215 du 27 novembre 2025, rendue publique le 2 décembre, l'Arcep « demande aux opérateurs de masquer le numéro mobile non authentifié d'un appel provenant de l'étranger ». La mesure est entrée en vigueur le 1er janvier 2026, avec un report au 1er janvier 2028 à Saint-Martin.

L'expression « numéro masqué » change donc de sens : elle signifie désormais soit que « l'appelant a souhaité masquer son numéro d'appelant », soit que « le numéro d'appelant n'a pas pu être authentifié pour des raisons techniques ».

La conséquence est concrète. Usurper l'affichage d'un numéro depuis l'étranger est devenu difficile, et le démarchage frauduleux se replie sur de vrais numéros mobiles français en 06 ou 07, exactement le profil du numéro relevé par ZATAZ.

La loi ne vous protège pas comme un particulier

Beaucoup de dirigeants se croient couverts par la réforme du démarchage téléphonique, et c'est une erreur coûteuse. Le chapitre sur le consentement au démarchage téléphonique du code de la consommation interdit bien d'appeler sans accord préalable, depuis le 11 août 2026, par l'effet de l'article 13 de la loi n° 2025-594 du 30 juin 2025.

Le mot employé par le texte est « consommateur ». Une entreprise démarchée dans le cadre de son activité n'entre pas dans cette définition, et un appel commercial reçu sur la ligne de votre atelier reste donc licite dans son principe.

Deux protections vous restent. La première est l'interdiction des pratiques commerciales trompeuses : se présenter comme partenaire de Google, inventer une pénalité ou une suspension, c'est se placer sous ce régime.

La seconde est l'article L. 221-3 du code de la consommation, avec une limite rarement dite. Le texte étend les protections du consommateur « aux contrats conclus hors établissement entre deux professionnels », c'est-à-dire signés en présence d'un commercial venu chez vous. Un contrat conclu de bout en bout au téléphone est un contrat à distance, et n'entre pas dans ce texte.

Quand il s'applique, il ouvre quatorze jours de rétractation au professionnel qui emploie au maximum cinq salariés, si l'objet du contrat n'entre pas dans le champ de son activité principale. Sur cette seconde condition, la jurisprudence penche plutôt de votre côté pour une prestation web : la Cour de cassation a approuvé des juges ayant retenu que « la communication commerciale et la publicité via un site Internet n'entraient pas dans le champ de l'activité principale » d'une architecte, qui a donc pu se rétracter.

Rien n'est acquis d'avance, l'appréciation se faisant au cas par cas, mais ne renoncez pas sans poser la question. Notre article sur le démarchage et la reconnaissance d'un vrai partenaire web détaille ce point.

Ce qu'un prestataire honnête vous dira

Un professionnel du référencement ne vous demande jamais un code reçu par SMS, parce qu'il n'en a pas besoin : il vous demande de l'ajouter comme administrateur depuis votre propre compte, ce qui laisse une trace et se révoque en deux clics.

Il ne promet pas de position, il ne menace pas de suppression, et il accepte d'envoyer par écrit ce qu'il vient de dire au téléphone. Il vous laisse aussi propriétaire de votre fiche, ce que recommande l'aide de Google lorsqu'un tiers intervient.

Pour comparer une proposition reçue avec ce que recouvre une prestation de référencement naturel, envoyez-nous le document par le formulaire de contact. Nous répondons sous 48 heures ouvrées, et nous vous dirons ce que vaut la proposition, y compris si ce n'est pas la nôtre.

Nous intervenons depuis Ussel, en Haute-Corrèze, et nous nous déplaçons chez nos clients ; la page agence web à Ussel détaille notre façon de travailler.

Questions fréquentes

Google peut-il vraiment appeler mon entreprise en France ?

Rien ne l'indique. L'aide officielle décrit des appels et messages automatisés adressés au numéro validé d'une fiche, mais précise qu'ils « ne sont actuellement possibles que dans certaines régions et dans certaines langues ». Elle ne détaille que les États-Unis, et n'inclut pas le français dans la liste des mots-clés d'arrêt. En France, considérez donc un appel « de Google » au sujet de votre fiche comme suspect par défaut.

J'ai donné mon code, que faire ?

Vérifiez immédiatement la liste des utilisateurs de votre fiche dans les paramètres, supprimez tout compte inconnu, changez le mot de passe du compte Google et activez la validation en deux étapes. Contrôlez ensuite le numéro de téléphone et l'adresse du site affichés sur la fiche, qui sont les premières cibles. En cas de paiement, faites opposition auprès de votre banque et portez plainte.

Comment récupérer une fiche dont quelqu'un a pris le contrôle ?

Lancez une demande de transfert depuis business.google.com/add, en sélectionnant votre établissement puis Demander l'accès. Le propriétaire en place « dispose de trois jours pour vous répondre ». Sans réponse de sa part, l'e-mail de confirmation vous propose parfois de revendiquer la fiche vous-même. Notez qu'un utilisateur nouvellement ajouté doit attendre sept jours avant de pouvoir retirer d'autres utilisateurs.

Comment signaler une arnaque au nom de Google ?

Pour un faux appel ou un tiers qui ne respecte pas les règles, Google met à disposition un formulaire de signalement dédié, accessible depuis sa page sur les appels frauduleux. Un SMS se transmet au 33700, un site frauduleux se signale sur la plateforme Pharos, et Info Escroqueries répond au 0 805 805 817. En cas de paiement, déposez plainte en commissariat ou en gendarmerie.

Faut-il payer pour apparaître sur Google ?

Non. La page d'aide consacrée à la création d'une fiche est explicite : « Vous pouvez ajouter ou revendiquer votre établissement sans frais. » Google précise qu'il ne demande pas de paiement pour maintenir ou rétablir une fiche. Ce qui se paie, c'est le travail d'un professionnel sur votre site et vos contenus, jamais la fiche elle-même.

Comment bloquer ces appels de Google ?

Le réglage se trouve dans votre tableau de bord, en passant par Plus, puis Paramètres de la fiche d'établissement, puis Paramètres avancés. Trois options s'y désactivent séparément, et votre fiche doit être validée pour y accéder. Vous pouvez également demander à ne plus être appelé pendant l'appel lui-même. Attention : Google prévient qu'après désactivation, vous pouvez « occasionnellement recevoir des appels non automatisés ».

Arnaque Google Business Profile : trois réflexes à installer aujourd'hui

Le paysage s'est brouillé, mais la défense reste simple. Le premier réflexe est la règle du code : aucun code de validation, aucun code à usage unique, aucun mot de passe, jamais, quel que soit le ton de l'appelant. Le deuxième est la vérification indépendante : on raccroche, on ouvre sa fiche depuis son propre compte, et on regarde s'il s'y passe réellement quelque chose.

Le troisième est le partage de ces deux règles avec toutes les personnes qui décrochent le téléphone chez vous. Imprimez la grille des cinq signes et punaisez-la près du poste. Une arnaque Google Business Profile ne réussit presque jamais face à un dirigeant averti ; elle réussit face à un apprenti seul au comptoir un samedi matin.

Si votre visibilité locale repose sur une fiche que personne ne surveille vraiment, c'est ce point-là qu'il faut traiter, pas l'appel de ce matin. Nous pouvons regarder votre fiche, votre site et vos pages avec vous, et vous dire où est le vrai risque : demandez votre devis gratuit, sans engagement et sans appel surprise.