Un SMS vous annonce un colis bloqué, une amende impayée ou une opération bancaire suspecte ? Derrière ces messages apparemment ordinaires peut se cacher du smishing, une technique d’hameçonnage par SMS. Définition, exemples, signes d’alerte et bons réflexes : voici comment reconnaître cette fraude et réagir sans paniquer.
Smishing : quelle est la définition ?
Le smishing est une forme de phishing (ou hameçonnage) qui utilise les SMS pour tromper une personne. Le terme est une contraction de « SMS » et « phishing ». Le fraudeur se fait passer pour un organisme de confiance — banque, transporteur, administration ou entreprise — afin de pousser le destinataire à cliquer sur un lien, transmettre des informations confidentielles, effectuer un paiement ou rappeler un numéro.
Le message peut également arriver via certains services de messagerie téléphonique. Le principe reste identique : créer un sentiment de confiance ou d’urgence pour déclencher une action irréfléchie.
Comment fonctionne une arnaque par smishing ?
Étape 1 : recevoir un message qui paraît crédible
Le SMS évoque une situation familière : un colis en attente, un péage non réglé, une carte bancaire à sécuriser ou un compte à confirmer. Il peut utiliser un nom connu et parfois apparaître dans un fil de discussion déjà existant. L’identité affichée de l’expéditeur ne constitue donc pas une preuve suffisante.
Étape 2 : être poussé à agir immédiatement
Le texte annonce souvent une échéance courte, une suspension de compte ou de faibles frais à payer. Le lien mène à une page qui imite l’apparence d’un site officiel. L’objectif est de réduire le temps consacré à la vérification.
Étape 3 : divulguer des données ou autoriser une opération
Sur la fausse page, la victime peut saisir ses identifiants, son adresse, ses coordonnées bancaires ou un code de validation. Selon le scénario, elle peut aussi être invitée à installer une application ou à téléphoner à un faux conseiller.
Quels sont les exemples les plus courants de smishing ?
Le faux SMS de livraison de colis
« Votre colis ne peut pas être livré. Merci de confirmer votre adresse et de régler des frais de reprogrammation. » Ce type de message exploite l’habitude des achats en ligne. Le lien peut conduire à un faux site de transporteur.
Le faux SMS de péage ou d’amende
Le message prétend qu’un trajet ou une contravention reste à régler et menace de majoration. Avant tout paiement, consultez directement le site ou l’application officielle de l’organisme concerné, sans utiliser le lien du SMS.
La fausse alerte bancaire
Un SMS annonce un virement suspect et demande de cliquer pour le bloquer. Un fraudeur peut ensuite chercher à récupérer des codes d’authentification ou à faire valider une opération. Ne communiquez jamais vos codes de sécurité à une personne qui vous contacte à l’improviste.
Le message personnel inattendu
Des messages comme « Bonjour, vous êtes chez vous ? » peuvent servir à engager la conversation et à préparer une escroquerie. Un message inconnu n’est pas nécessairement frauduleux, mais évitez de divulguer des informations personnelles sans avoir identifié l’interlocuteur.
Comment reconnaître un SMS frauduleux ?
Plusieurs indices doivent éveiller la vigilance : un lien raccourci ou un nom de domaine inhabituel ; un message qui impose d’agir dans l’urgence ; une demande de carte bancaire ou de code de sécurité ; une formulation incohérente ; un expéditeur inconnu ; ou une démarche qui ne correspond à aucune action récente de votre part.
Attention : un SMS bien rédigé peut être frauduleux, et un nom d’expéditeur connu peut être usurpé. La présence du cadenas HTTPS sur une page ne prouve pas non plus qu’elle appartient à l’organisme annoncé.
Comment éviter le smishing ? 7 réflexes efficaces
1. Ne cliquez pas sur un lien inattendu dans un SMS, surtout lorsqu’il concerne un paiement ou un compte sensible.
2. Ouvrez vous-même l’application officielle ou saisissez l’adresse connue du service dans votre navigateur.
3. Ne transmettez jamais vos mots de passe, codes bancaires ou codes de connexion à la demande d’un message suspect.
4. Vérifiez une alerte bancaire en appelant votre banque au numéro figurant sur votre carte ou dans votre application.
5. Méfiez-vous des faibles montants demandés pour une livraison ou un péage : ils peuvent servir à collecter des données de carte.
6. Maintenez votre téléphone et ses applications à jour ; installez uniquement des applications de sources fiables.
7. Signalez les SMS suspects au 33700, plateforme française de lutte contre les spams vocaux et SMS, selon les modalités indiquées sur son site officiel.
J’ai cliqué sur un lien de smishing : que faire ?
Vous avez ouvert le lien sans rien renseigner
Fermez la page et ne téléchargez rien. Le simple fait d’ouvrir une page ne signifie pas automatiquement que vos données ont été dérobées. Si un fichier ou une application a été téléchargé, ne l’exécutez pas et faites vérifier votre appareil en cas de doute.
Vous avez saisi un mot de passe
Changez-le immédiatement depuis le site officiel. Modifiez également les mots de passe identiques utilisés sur d’autres services, activez l’authentification à deux facteurs et contrôlez les connexions récentes.
Vous avez transmis des données bancaires ou validé un paiement
Contactez votre banque immédiatement via ses coordonnées officielles. Elle pourra vous indiquer les mesures de sécurisation, d’opposition et de contestation adaptées. Conservez le SMS, l’adresse du site, les captures d’écran et les preuves d’opération.
Vous avez installé une application suspecte
Évitez de lui accorder de nouvelles autorisations. Faites analyser l’appareil avec une solution de sécurité adaptée et demandez une assistance spécialisée. En cas de suspicion de compromission, changez vos mots de passe depuis un autre appareil de confiance.
Comment signaler une tentative de smishing ?
En France, vous pouvez signaler les SMS indésirables au 33700 (https://www.33700.fr/). Pour obtenir des conseils et une orientation après une cyberescroquerie, consultez Cybermalveillance.gouv.fr (https://www.cybermalveillance.gouv.fr/). Si vous avez subi un préjudice, conservez les preuves et renseignez-vous sur les démarches de plainte adaptées. Prévenez également l’organisme dont le nom est usurpé, par ses canaux officiels.
Smishing, phishing, vishing et quishing : quelles différences ?
Le phishing est le terme générique pour l’hameçonnage. Le smishing utilise les SMS ; le vishing passe par la voix, généralement au téléphone ; le quishing utilise un QR code pour orienter vers un contenu ou un site frauduleux. Ces techniques peuvent se combiner : un SMS frauduleux peut inviter à appeler un faux conseiller ou à scanner un QR code.
FAQ : tout savoir sur le smishing
Que veut dire smishing en français ?
Le smishing signifie « hameçonnage par SMS ». C’est une escroquerie qui cherche à obtenir des données ou à provoquer une action frauduleuse au moyen d’un message téléphonique.
Quelle est la différence entre smishing et phishing ?
Le phishing englobe les tentatives d’hameçonnage, quel que soit le canal. Le smishing en est une forme spécifique qui repose sur les SMS.
Peut-on se faire pirater en répondant à un SMS ?
Une simple réponse ne signifie pas automatiquement qu’un téléphone est piraté. Elle peut toutefois confirmer qu’un numéro est actif et encourager d’autres tentatives. Ne partagez aucune information sensible.
Est-ce dangereux de cliquer sur un lien dans un SMS ?
Tout dépend de la destination et des actions effectuées. Le risque augmente si vous saisissez des identifiants, validez une opération ou installez un logiciel. Fermez immédiatement une page suspecte.
Quel numéro utiliser pour signaler un SMS frauduleux ?
En France, le dispositif 33700 permet de signaler les spams SMS et vocaux. Consultez 33700.fr pour suivre la procédure adaptée.
À retenir : le meilleur réflexe face au smishing
Le smishing mise sur la précipitation. Un message qui réclame une action urgente n’est pas une raison pour agir plus vite : c’est au contraire le moment de vérifier. Pour un paiement, une livraison ou une alerte bancaire, utilisez toujours les coordonnées et applications officielles.
Sources et ressources utiles
- Cybermalveillance.gouv.fr : https://www.cybermalveillance.gouv.fr/
- Plateforme de signalement 33700 : https://www.33700.fr/
- Service-Public.fr : https://www.service-public.fr/
