Recevoir un SMS d'un numéro inconnu - ou d'un expéditeur qui ressemble à La Poste, à sa banque ou à l'Assurance Maladie - est devenu banal. Ce que l'on sait moins, c'est que ces messages obéissent à des schémas techniques et psychologiques précis, reproduits en série par des groupes organisés. Comprendre ces mécanismes permet de les repérer avant d'avoir cliqué, et non après.
Le mécanisme de base : usurper un expéditeur de confiance
Les auteurs de smishing (phishing par SMS) utilisent des services d'envoi en masse qui permettent de choisir librement le nom affiché comme expéditeur - on parle d'alpha-tag. Un message peut ainsi apparaître sous le nom "LaPoste", "Ameli" ou "Votre banque" sans que l'opérateur téléphonique ne vérifie l'identité réelle de l'envoyeur. Sur certains smartphones, ce faux SMS s'insère même dans le fil de conversation légitime existant avec l'organisme imité, ce qui renforce l'illusion de continuité.
L'urgence artificielle comme levier principal
Une fois l'expéditeur falsifié, le message doit déclencher une action rapide. Les formulations les plus courantes introduisent une contrainte temporelle : un colis retenu, un remboursement expirant, un compte sur le point d'être bloqué. Ce sentiment d'urgence réduit le temps de réflexion disponible - plus le délai perçu est court, moins on prend le recul nécessaire pour vérifier l'information par un canal indépendant.
Le lien : comment il est conçu pour paraître légitime
L'URL intégrée au SMS est rarement celle du site officiel, mais elle en imite la structure : "laposte-livraison.fr", "ameli-remboursement.com", "espace-client-securise.fr". Les fraudeurs achètent ces domaines pour quelques euros et y déposent une copie quasi conforme du site officiel. Le site frauduleux collecte ensuite les informations saisies - numéro de carte, identifiants, date de naissance - et les transmet immédiatement aux opérateurs de l'arnaque. Le délai entre la saisie et le premier usage frauduleux peut être de quelques minutes.
Six points de vérification avant de cliquer
- L'URL affichée correspond-elle exactement au domaine officiel de l'organisme (pas une variation) ?
- Le message crée-t-il une pression temporelle ?
- Des informations personnelles sont-elles demandées directement par SMS ?
- L'expéditeur est-il un numéro court inconnu ou un numéro mobile classique ?
- Le message comporte-t-il des fautes d'orthographe ou une formulation inhabituelle ?
- L'organisme supposé vous a-t-il déjà contacté par ce canal pour ce type de demande ?
Un seul de ces signaux doit suffire à suspendre toute action.
Vérifier un message suspect avant d'agir
La méthode la plus fiable reste de contacter directement l'organisme via ses coordonnées officielles - trouvées sur son site en tapant l'adresse manuellement dans le navigateur, jamais via le lien reçu. Pour les SMS douteux, le service 33700 (géré par les opérateurs téléphoniques français) permet de les signaler par transfert. La plateforme Cybermalveillance.gouv.fr propose également un diagnostic en ligne et des conseils adaptés à chaque situation.
Un doute sur un message précis ?
Collez le texte ou une capture d'écran, Marcelo l'analyse gratuitement en quelques secondes.
Analyser un message
Que faire ?
- Ne pas cliquer sur le lien et ne pas rappeler un numéro indiqué dans le message.
- Transférer le SMS au 33700 pour signalement auprès des opérateurs.
- Si vous avez déjà cliqué et saisi des informations bancaires, contactez immédiatement votre banque pour faire opposition et consultez Cybermalveillance.gouv.fr pour connaître les démarches adaptées.
- Si vous avez communiqué des identifiants, changez votre mot de passe sur le service concerné depuis un appareil non compromis, et activez l'authentification à deux facteurs si ce n'est pas encore fait.
Un SMS peut-il apparaître dans le fil de conversation de ma banque alors qu'il est frauduleux ?
Oui. Le système d'alpha-tag utilisé par les opérateurs d'envoi en masse permet de choisir librement un nom d'expéditeur, sans vérification de l'identité réelle de l'émetteur au moment de l'envoi. Certains téléphones regroupent automatiquement les messages portant le même nom dans un seul fil, y compris les faux, ce qui renforce l'illusion de continuité avec les échanges légitimes passés. La présence d'un message dans un fil existant ne garantit donc pas son authenticité, même quand tous les précédents messages de ce fil étaient réels. Le signal le plus fiable n'est jamais l'identité affichée, mais le contenu du message lui-même : une pression temporelle inhabituelle, une demande de paiement ou d'information personnelle, ou un lien vers un domaine qui ne correspond pas exactement à celui de l'organisme habituel. En cas de doute, contacter l'organisme par un canal indépendant du message reçu reste la vérification la plus sûre.
J'ai cliqué sur le lien mais je n'ai rien saisi. Suis-je en danger ?
Le simple fait de cliquer sur un lien expose à un risque limité mais non nul : certaines pages peuvent tenter de collecter des informations techniques sur l'appareil (type d'appareil, adresse IP, version du navigateur) sans action supplémentaire de votre part. Si vous n'avez saisi aucune information et n'avez pas accepté de téléchargement ni installé d'application, le risque reste faible dans la grande majorité des cas. La situation change si le lien a déclenché un téléchargement automatique ou si une fenêtre a demandé une autorisation que vous avez acceptée sans y prêter attention : dans ce cas, il est recommandé de vérifier les applications récemment installées sur l'appareil. Par précaution, ne retournez pas sur ce lien, signalez le SMS au 33700, et surveillez dans les jours suivants tout comportement inhabituel de l'appareil (ralentissement, pop-ups inattendus, batterie qui se décharge anormalement vite).
À quoi sert de signaler un SMS frauduleux si je n'ai pas été arnaqué ?
Le signalement au 33700 ou sur Cybermalveillance.gouv.fr permet aux opérateurs et aux autorités de bloquer les numéros et domaines frauduleux plus rapidement, ce qui réduit le nombre de victimes potentielles même si vous n'en faites pas partie. Chaque signalement contribue à une base de données collective qui alimente les filtres anti-spam des opérateurs téléphoniques français : plus un numéro ou un domaine reçoit de signalements en peu de temps, plus vite il est ajouté aux listes de blocage automatique appliquées à l'ensemble des abonnés. Ce mécanisme explique pourquoi une même campagne de smishing devient souvent moins visible après quelques jours, une fois qu'un nombre suffisant de personnes l'ont signalée. Signaler un message frauduleux prend moins d'une minute (transfert au 33700) et n'entraîne aucune démarche compliquée ni justification à fournir, contrairement à une plainte formelle qui reste réservée aux cas où une perte réelle a eu lieu.