Smishing : reconnaître et éviter les arnaques par SMS

Le smishing, contraction de « SMS » et « phishing » (hameçonnage), est une fraude menée au moyen de faux messages texte. Le message donne généralement l'impression de provenir d'un transporteur, d'une banque, d'une administration ou d'un service de paiement, et il vous pousse à cliquer sur un lien ou à communiquer des informations dans la précipitation. Dans cet article, nous expliquons comment reconnaître les messages de smishing et comment vous protéger.

Comment fonctionne le smishing ?

L'objectif de l'escroc est de vous faire agir sans réfléchir. Le message déclenche la panique, la curiosité ou l'excitation d'un prix, puis vous oriente vers une fausse page. Là, on vous demande un mot de passe, des coordonnées bancaires ou un code de vérification. Tout ce que vous saisissez parvient à l'escroc.

Les messages sont surtout envoyés en masse : l'expéditeur n'a donc pas besoin de savoir qui vous êtes. Si votre numéro figure dans une fuite ou dans une liste, un message peut aussi vous atteindre. Certains messages sont plus personnalisés et peuvent contenir votre nom ou des détails ressemblant à une vraie commande. C'est pourquoi le fait que « mon nom figure dans le message » n'est pas une preuve de fiabilité.

Scénarios de smishing courants

Les thèmes changent avec le temps, mais le schéma reste le même. Soyez attentif à ces situations :

• Avis de livraison : « Votre colis n'a pas pu être livré, mettez à jour votre adresse. »
• Alerte bancaire : « Une activité suspecte a été détectée sur votre compte, vérifiez maintenant. »
• Dette de paiement ou fiscale : « Vous avez un solde impayé et une pénalité sera appliquée. »
• Gains et concours : « Vous avez gagné un cadeau, cliquez pour le réclamer. »
• Avertissement de fermeture de compte : « Votre compte sera suspendu, connectez-vous maintenant. »
• Un SMS « faux numéro » d'un inconnu : le but est d'engager la conversation et de gagner votre confiance.

Ce qu'ils ont tous en commun : l'urgence, la menace ou une grosse récompense, et l'incitation à cliquer sur le lien du message.

Conseils pour repérer un message de smishing

Un seul signe ne suffit pas toujours ; plus vous en voyez, plus le risque est élevé :

1. Un message inattendu : méfiez-vous si un colis que vous n'avez pas commandé ou une banque que vous n'utilisez pas vous contacte.
2. Un langage urgent ou menaçant : des formules de pression comme « sous 24 heures », « immédiatement » ou « votre compte sera fermé ».
3. Un lien suspect : liens raccourcis, ou noms de domaine qui ressemblent à une adresse officielle avec quelques lettres modifiées.
4. Une demande d'informations : les organisations sérieuses ne demandent jamais de mots de passe, de numéros de carte ou de codes de vérification par SMS.
5. Des fautes de langue ou d'orthographe : pas toujours, mais des phrases bancales sont un indice.
6. Un expéditeur étrange : un numéro quelconque, ou un nom d'expéditeur qui imite un organisme officiel. Les noms d'expéditeur peuvent aussi être falsifiés, ils ne prouvent donc pas à eux seuls la fiabilité.

En cas de doute, ne répondez pas et ne cliquez pas sur le lien. Vérifiez la situation via l'application officielle de l'organisme ou en saisissant vous-même son adresse.

Que faire si vous avez cliqué ou donné des informations ?

Chacun peut se tromper ; l'important est d'agir vite :

1. Ne saisissez plus aucune information et fermez la page.
2. Si vous avez donné un mot de passe, changez-le immédiatement par un canal sûr. Si vous l'avez réutilisé ailleurs, changez-le aussi là-bas.
3. Si vous avez communiqué des coordonnées bancaires, appelez votre banque et faites bloquer la carte.
4. Si vous avez partagé un code de vérification, déconnectez les sessions du compte et revoyez ses paramètres de vérification en deux étapes.
5. Si vous avez installé une application sur votre téléphone, supprimez-la et analysez l'appareil avec un outil de confiance.
6. Signalez le message à votre banque, à votre opérateur ou à l'organisme concerné, puis supprimez-le.

Habitudes quotidiennes qui protègent du smishing

• Ouvrez l'application au lieu de cliquer sur les liens SMS. Consultez les avis de livraison ou de banque dans l'application officielle.
• Utilisez un gestionnaire de mots de passe. Il ne remplira pas votre mot de passe sur une fausse page, ce qui est déjà un signal d'alerte en soi.
• Utilisez une passkey ou une application d'authentification pour vos comptes critiques. Même si le mot de passe est volé, le compte ne s'ouvre pas. Pour comparer les méthodes, consultez notre article sur la vérification en deux étapes.
• Filtrez les numéros inconnus et le spam. Activez sur votre téléphone les options « filtrer les expéditeurs inconnus » et le signalement des spams.
• Parlez-en à votre entourage. Les membres plus âgés de la famille sont souvent visés ; passer en revue des exemples de messages ensemble aide beaucoup.
• Vérifiez le message. Contactez l'organisme sur un numéro officiel que vous connaissez déjà ; n'appelez pas le numéro indiqué dans le message.

Ne donnez pas votre numéro partout

L'une des raisons pour lesquelles les messages de smishing vous parviennent est que votre numéro figure dans de nombreuses listes et bases de données. Saisir votre vrai numéro dans chaque formulaire d'inscription facilite la réception de spams et de SMS d'hameçonnage. Nous avons traité ce sujet plus en détail dans pourquoi vous ne devriez pas partager votre numéro de téléphone partout.

Pour des essais rapides, un second compte ou des inscriptions de test, vous pouvez utiliser un numéro virtuel à usage unique au lieu de votre vrai numéro, afin que votre numéro principal ne finisse pas sur une liste marketing. Vous pouvez consulter les services et pays disponibles sur la page tarifaire. Gardez à l'esprit qu'un numéro virtuel n'est pas permanent et que certaines plateformes peuvent les restreindre ; suivez donc les conditions du service que vous utilisez. Ce n'est pas une réponse complète au smishing à elle seule : la vraie protection repose sur un comportement prudent et des méthodes de vérification solides.

Protéger votre famille et votre entourage

Le smishing fait le plus de victimes dans les moments d'inattention : une journée chargée, une vérification rapide du téléphone, ou une personne peu familière avec la technologie. C'est pourquoi la protection ne concerne pas seulement vous, mais aussi votre entourage.

• Fixez une règle simple avec votre famille, par exemple « montre-le-moi avant de cliquer sur un lien reçu par SMS ».
• Montrez à vos proches âgés des exemples de faux messages et expliquez qu'une banque ne demande jamais de codes, de mots de passe ou de coordonnées bancaires par SMS.
• Activez le filtrage des expéditeurs inconnus et les restrictions d'installation d'applications sur les téléphones des enfants.
• Quand vous recevez un message suspect, partagez une capture d'écran avec vos proches pour éviter que le même message piège quelqu'un d'autre.

En cas de doute sur un message, attendre cinq minutes ne coûte rien : un avis authentique apparaît généralement aussi dans l'application officielle.

Questions fréquemment posées

Quelle est la différence entre smishing et hameçonnage ?

L'hameçonnage (phishing) est le terme général, qui peut passer par l'e-mail, le téléphone, les réseaux sociaux, etc. Le smishing est la forme qui passe par le SMS (messages texte).

J'ai seulement cliqué sur le lien sans rien saisir. Suis-je en danger ?

La plupart du temps, un simple clic ne cause pas beaucoup de dégâts, mais des risques rares liés aux failles de l'appareil ou du navigateur existent. Fermez immédiatement la page, supprimez tout fichier téléchargé et gardez votre appareil à jour.

Le message semble venir du numéro d'un vrai organisme. Peut-il quand même être faux ?

Oui. Les noms d'expéditeur peuvent être imités, et parfois un faux message s'intercale même dans un vrai fil de discussion. Regardez le contenu et ce qui vous est demandé, et faites confiance à l'application officielle plutôt qu'au lien.

Où signaler les messages de smishing ?

Vous pouvez les signaler au numéro ou à l'application de signalement de spam de votre opérateur, à l'organisme concerné et à votre banque. L'option « signaler comme spam » de votre téléphone aide aussi. Pour plus d'informations, consultez notre page questions fréquemment posées.