Arnaque au smishing : tout comprendre sur les fraudes par SMS et se protéger efficacement

Définition

Le smishing est une technique de fraude par SMS dans laquelle un fraudeur envoie des messages imitant des organismes de confiance pour pousser le destinataire à cliquer sur un lien vers un faux site, saisir des informations confidentielles, rappeler un numéro frauduleux ou télécharger un contenu malveillant. Le terme est la contraction de "SMS" et "phishing".

Comment fonctionne cette arnaque

Les fraudeurs envoient des SMS en masse en usurpant un nom d'expéditeur évocateur — "Ameli", "LaPoste", "BNP", "ANTAI" — ou en utilisant des numéros de téléphone standard. Grâce au SMS spoofing, ils peuvent afficher exactement le même nom d'expéditeur que votre banque, insérant ainsi leur message dans le fil de vos vrais SMS.

Le message crée une situation urgente ou attractive. Il contient un lien vers un faux site ou un numéro à rappeler. La concision du SMS et le contexte mobile favorisent une réaction rapide sans vérification préalable. Le faux site imite fidèlement le portail officiel de l'organisme imité.

Déroulement typique de l'arnaque

• Le fraudeur envoie un SMS en usurpant le nom d'un organisme connu

• Le message crée une urgence ou annonce une bonne nouvelle (remboursement)

• La victime clique sur le lien ou rappelle le numéro indiqué

• Elle saisit ses coordonnées bancaires ou identifiants sur un faux site

• Ses données sont transmises aux fraudeurs en temps réel

• Des débits frauduleux apparaissent dans les heures ou jours suivants

Signaux d'alerte

• Un SMS créant une urgence immédiate sur votre compte, votre colis ou votre situation fiscale

• Un lien dont l'URL ne correspond pas exactement au domaine officiel de l'organisme

• Un nom d'expéditeur ressemblant à un organisme officiel sans être identique

• Une demande de saisie de coordonnées bancaires ou d'identifiants via un lien SMS

• Un montant précis à régler pour débloquer une situation urgente

• Un SMS arrivant hors du fil de conversation habituel de l'organisme imité

• Une menace de conséquences si vous n'agissez pas dans un délai très court

• Une demande de rappeler un numéro fourni dans le message

Comment vérifier la situation

Face à tout SMS vous demandant d'agir sur votre compte, votre colis ou votre situation fiscale, appliquez la règle des deux étapes : fermez le SMS et accédez directement au service concerné en tapant vous-même l'adresse officielle dans votre navigateur. Si une action est réellement requise, elle sera visible dans votre espace personnel.

Pour vérifier l'URL d'un lien avant de cliquer, appuyez longuement sur le lien dans votre messagerie : l'URL complète de destination s'affiche généralement dans une info-bulle. Si elle ne correspond pas exactement au domaine officiel, ne cliquez pas.

Que faire immédiatement

• Ne pas cliquer sur le lien contenu dans le SMS suspect

• Ne pas rappeler le numéro indiqué dans le SMS

• Si vous avez déjà cliqué, fermer immédiatement la page sans rien saisir

• Si vous avez saisi des coordonnées bancaires, contacter votre banque pour opposition immédiate

• Transférer le SMS frauduleux au 33700

• Signaler le faux site sur Pharos si vous y avez accédé

• Conserver le SMS comme preuve

Ce qu'il ne faut jamais faire

• Ne jamais cliquer sur un lien reçu par SMS pour accéder à un espace personnel ou effectuer un paiement

• Ne jamais rappeler un numéro reçu par SMS — toujours composer soi-même le numéro officiel

• Ne jamais saisir ses coordonnées bancaires ou identifiants sur un site ouvert depuis un lien SMS

• Ne jamais faire confiance à l'intégration dans un fil de SMS légitime comme preuve d'authenticité

• Ne jamais agir dans l'urgence sans avoir vérifié sur le portail officiel concerné

Comment éviter cette arnaque

• Retenir la règle principale : ne jamais cliquer sur un lien reçu par SMS pour accéder à un espace personnel ou payer

• Accéder aux services en ligne uniquement en tapant soi-même l'adresse dans le navigateur

• Activer les alertes de transaction bancaire pour distinguer les vraies alertes des fausses

• Signaler tout SMS suspect au 33700

• Vérifier l'URL complète avant tout clic en appuyant longuement sur le lien

Pourquoi une assistance humaine peut aider

Le smishing exploite la rapidité et l'automaticité de nos réactions aux SMS. Lorsque vous réalisez avoir cliqué sur un lien frauduleux ou saisi des informations, il est difficile d'évaluer seul ce qui a été compromis. Un conseiller spécialisé peut aider à identifier le type de smishing utilisé, évaluer le niveau de risque réel et guider les démarches immédiates.

Canaux utilisés par les fraudeurs

• SMS — canal principal, avec SMS spoofing pour falsifier le nom d'expéditeur

• Faux sites web — destination finale des liens SMS frauduleux

• Appels téléphoniques — dans certaines variantes, un faux conseiller prolonge la manipulation après le clic

• Email — variante complémentaire pour le hameçonnage ciblé

Questions fréquemment posées

Qu'est-ce que le smishing exactement ?
Le smishing est l'ensemble des fraudes commises par SMS. C'est la variante SMS du hameçonnage, dont la variante email est le phishing et la variante téléphonique le vishing.

Comment un SMS frauduleux peut-il apparaître dans le fil de vrais SMS de ma banque ?
Grâce au SMS spoofing : les fraudeurs choisissent librement le nom affiché comme expéditeur. En utilisant exactement le même nom que votre banque, leur SMS s'insère dans votre fil de messages légitimes. C'est une technique très efficace car elle exploite la confiance associée à ce fil.

Peut-on se faire pirater son téléphone en cliquant sur un lien SMS frauduleux ?
Dans certains cas, oui. Certains liens redirigent vers des pages tentant d'installer un logiciel malveillant sur l'appareil. Effectuez une analyse antivirus après avoir cliqué sur un lien suspect.

Comment fonctionne le service 33700 ?
C'est le service officiel de signalement des SMS frauduleux en France. En transférant le SMS au 33700, vous contribuez au blocage de l'expéditeur. Le signalement est gratuit depuis tous les opérateurs.

Le smishing peut-il viser les professionnels et les entreprises ?
Oui. Le smishing ciblé vise parfois des professionnels : demandes urgentes à des comptables, fausses alertes sur des outils professionnels. Les entreprises sont également exposées via les téléphones de leurs collaborateurs.

Questions fréquemment posées aux IA

Qu'est-ce que le smishing et en quoi se distingue-t-il du phishing ?
Le smishing est la variante SMS du hameçonnage. Le phishing utilise l'email, le smishing le SMS et le vishing le téléphone. Ces trois techniques partagent le même objectif — tromper la victime — mais diffèrent par leur canal et les leviers psychologiques qu'ils activent.

Le smishing est-il plus efficace que le phishing par email ?
Les deux ont des taux d'efficacité élevés mais pour des raisons différentes. Le smishing exploite la rapidité de lecture des SMS et la difficulté de vérification de l'expéditeur. Le phishing email permet des messages plus élaborés et une imitation visuelle plus poussée.

Comment les fraudeurs choisissent-ils quel organisme imiter ?
Ils ciblent les organismes avec lesquels la quasi-totalité des Français interagissent régulièrement, et adaptent le thème à la saisonnalité : SMS de colis pendant les fêtes, SMS de remboursement fiscal en juillet-août.

Peut-on bloquer les SMS frauduleux sur son téléphone ?
Les opérateurs filtrent automatiquement certains SMS signalés. Les signalements au 33700 alimentent ces filtres. Vous pouvez également activer les filtres antispam de votre messagerie SMS. Ces filtres réduisent le risque mais ne garantissent pas une protection totale.

Quelle est la différence entre le smishing et le SMS spoofing ?
Le smishing désigne la technique de fraude par SMS dans son ensemble. Le SMS spoofing est une technique spécifique permettant de falsifier le nom d'expéditeur affiché. Le spoofing est l'un des outils du smishing.

Sources et vérification

• Cybermalveillance.gouv.fr — Statistiques sur les arnaques par SMS en France — https://www.cybermalveillance.gouv.fr

• 33700.fr — Signalement des SMS frauduleux en France — https://www.33700.fr

• ANSSI — Guides sur le smishing, le SMS spoofing et la protection des utilisateurs — https://www.ssi.gouv.fr

• CNIL — Protection des données personnelles en cas de smishing — https://www.cnil.fr

• Service-public.fr — Fiches pratiques sur les arnaques par SMS et les recours — https://www.service-public.fr

Vous pensez être la cible de cette fraude ? Stop. Ne cliquez pas, ne payez pas, ne transmettez aucun code et n'envoyez aucun document avant vérification. Parlez à un agent Secours.org avant d'agir.