Le SMS arrive à 14 h 07, un mardi. « Colis en attente de livraison, frais de douane 1,99 € à régler sous 24 h. » Le lien ressemble à s'y méprendre à celui de La Poste. Sauf qu'il n'y a pas de colis, qu'il n'y a jamais eu de colis, et que les 1,99 € servent en réalité à enregistrer votre numéro de carte pour un débit beaucoup plus gros, quelques jours plus tard.
Je reçois ce genre de message au moins deux fois par semaine. Et à chaque fois, la même question revient dans mes mails : « comment reconnaître une arnaque phishing par SMS sans tomber dedans ? » Franchement, la réponse tient en une phrase, mais il faut accepter une chose : le texto est le canal d'arnaque le plus efficace du moment, parce qu'il arrive sur l'objet que vous consultez le plus dans une journée, avec un sentiment d'urgence que personne ne vous a appris à contester.
Voici ce que j'ai appris à force de me faire avoir (une fois), d'éviter les pièges (souvent) et d'accompagner des proches paniqués (régulièrement).
Points clés à retenir
- Un SMS légitime ne vous demande jamais de cliquer pour « régulariser une situation urgente ».
- Le nom qui s'affiche comme expéditeur ne prouve rien : il est falsifiable en quelques secondes.
- Ouvrir et lire un SMS ne vous pirate pas. Cliquer sur un lien ou installer une application, oui.
- Le réflexe qui sauve : ne jamais utiliser le lien, toujours passer par l'application ou le site officiel tapé à la main.
- Un vrai message d'une banque ou d'un service public ne vous demandera jamais vos identifiants par texto.
Comment reconnaître une arnaque phishing par SMS : les signaux qui ne trompent pas
Les campagnes de smishing reposent toutes sur le même mécanisme : usurper une identité connue (banque, transporteur, impôts, opérateur), fabriquer une urgence, et pousser à une action unique — cliquer ou rappeler. Une fois qu'on a identifié ce schéma, les variantes se repèrent vite.
Les indices du côté de l'expéditeur
Un numéro qui s'affiche en « La Banque Postale » ou « Chronopost » ne veut rien dire. Les escrocs peuvent falsifier l'identifiant d'expéditeur (ce qu'on appelle un ID alphanumérique), ce qui fait apparaître un nom au lieu d'un numéro. En revanche, un SMS qui arrive d'un numéro à 4 ou 5 chiffres inconnu, ou d'un +33 6 qui n'appartient à personne de votre répertoire et qui prétend être votre conseiller, doit immédiatement vous alerter.
Autre signal : le message est générique. « Cher client », « Monsieur/Madame », aucune référence à un contrat, un numéro de dossier, un nom. Une vraie banque sait qui vous êtes et le mentionne neuf fois sur dix.
Les indices du côté du texte et du lien
Le texte sent souvent le copier-coller mal traduit. Fautes d'accord, majuscules hurlantes, « URGENT » en début de message, formule bizarre du genre « veuillez vérifier vos informations sous peine de suspension de votre compte ». Un vrai service client ne menace pas par texto.
Et puis il y a le lien. C'est là que tout se joue :
- Lien raccourci (bit.ly, tinyurl, un domaine en .top, .xyz, .icu) : aucune administration ni banque sérieuse ne l'utilise pour un message critique.
- URL qui imite sans être la vraie : laposte-livraison-suivi.fr, ameli-remboursement.net, credit-agricole-securite.info. Le vrai domaine est toujours celui qui précède la première barre oblique.
- Lien HTTPS : ce n'est pas un gage de sécurité. Le certificat est gratuit, donc n'importe quel escroc peut afficher le petit cadenas.
Sur un iPhone ou un Android récent, appuyez longtemps sur le lien sans relâcher : le système vous montre l'adresse complète avant l'ouverture. C'est le geste gratuit le plus utile du moment.
Comment vérifier si un SMS est une arnaque, concrètement
La vérification ne se fait jamais dans le message. Elle se fait à côté : vous fermez la conversation, vous ouvrez votre application bancaire ou votre navigateur, et vous tapez l'adresse vous-même.
Rappeler sa banque via le numéro au dos de la carte
C'est la méthode que j'utilise systématiquement quand un SMS prétend venir de ma banque. Je ne rappelle pas le numéro indiqué dans le message (il peut être un faux standard). Je prends ma carte bancaire, je lis le numéro au dos, et j'appelle. En trois ans, je n'ai jamais eu à le faire pour une vraie alerte : à chaque fois, le message s'est révélé frauduleux.
Même logique côté colis : allez sur le site officiel du transporteur, saisissez le numéro de suivi — s'il n'existe pas, c'est plié.
Utiliser le canal officiel du service concerné
Pour les impôts, Ameli, Pôle emploi ou un opérateur télécom, le réflexe est le même :
- Fermez le SMS sans cliquer.
- Ouvrez le site officiel ou l'application du service.
- Cherchez la rubrique « messages reçus » ou « notifications » : un vrai message critique y figure.
- En cas de doute persistant, appelez le service client au numéro public (pas celui du SMS).
Petit test que j'ai pris l'habitude de faire : recopier le texte du SMS dans un moteur de recherche, entre guillemets. Si la formulation exacte ressort sur plusieurs forums d'entraide, c'est qu'elle circule en masse. Une campagne de smishing vit rarement seule.
Est-il possible d'être piraté en ouvrant un SMS ?
Non. Ouvrir et lire un SMS ne vous pirate pas. Le format SMS est un texte brut : il ne contient pas de code exécutable qui s'installerait tout seul à la lecture. Les smartphones modernes (iOS et Android) ne lancent pas automatiquement un programme caché dans un texto.
Trois niveaux de risque à distinguer
| Action | Risque réel | Ce qui se passe |
|---|---|---|
| Ouvrir le SMS | Faible | Vous lisez un texte, rien de plus. |
| Cliquer sur le lien | Élevé | Vous arrivez sur un faux site qui récupère vos identifiants, vos coordonnées bancaires ou un code de validation. |
| Installer une application (APK, profil) | Très élevé | Un logiciel malveillant peut lire vos SMS, intercepter vos codes de validation, prendre la main sur votre compte. |
La vraie dangerosité se situe donc au moment du clic et de l'installation. Sur Android, une technique redoutable consiste à vous faire télécharger un APK hors Play Store sous prétexte d'une « mise à jour de sécurité » ou d'une « application de suivi de colis ». Ce fichier peut, une fois installé et les autorisations accordées, lire les SMS entrants — c'est-à-dire intercepter vos codes à usage unique. Et là, le compte bancaire part en fumée.
Que faire si vous avez déjà cliqué
Pas de panique inutile, mais agissez dans l'heure :
- Ne saisissez rien sur la page ouverte, quittez-la.
- Si vous avez entré un mot de passe, changez-le immédiatement depuis un autre appareil, et activez la double authentification.
- Si vous avez saisi un numéro de carte, appelez votre banque pour faire opposition et surveillez les débits des jours suivants.
- Sur Android, vérifiez dans Paramètres > Applications que rien d'inconnu n'a été installé récemment.
Signaler et bloquer : ce que peu de gens font (et qui aide vraiment
Le réflexe de blocage est bon, mais insuffisant. Un numéro bloqué est remplacé par un autre le lendemain. Ce qui pèse, c'est le signalement groupé.
En France, le 33700 est le numéro officiel pour signaler un SMS indésirable ou frauduleux : vous transférez le message tel quel à ce numéro, gratuitement. Les opérateurs et les autorités s'en servent pour démanteler des campagnes entières. Je le fais systématiquement depuis deux ans — ça prend dix secondes, et ça n'a l'air de rien, mais multiplié par des milliers de personnes, ça fait tomber des plateformes.
Autre réflexe utile : si le message prétend venir d'une marque, signalez-le aussi à la marque elle-même. Les grandes enseignes ont souvent une adresse dédiée (phishing@…). Elles coupent les faux domaines quand elles en ont connaissance.
Ce qui a changé ces dernières années (et qu'il faut intégrer)
Deux évolutions rendent la détection plus dure qu'avant, et c'est ce qui explique la montée du smishing chez les particuliers comme chez les pros.
D'abord, les faux sites sont devenus crédibles. Il y a cinq ans, une page de phishing se repérait à l'œil nu : logo flou, page mal alignée, bouton décalé. Aujourd'hui, en recopiant le code source d'un site officiel, un escroc obtient une réplique quasi parfaite en moins d'une heure. Ma règle : la beauté de la page ne prouve rien.
Ensuite, les arnaques parlent votre langue. Les traductions automatiques ont fait des progrès considérables. Une faute de français n'est plus un signal fiable — d'autant que certains escrocs écrivent désormais mieux que la moyenne. Fiez-vous au contexte et à la demande, pas à l'orthographe.
Et dans mon entourage professionnel, un chiffre m'a marqué : sur les six derniers mois, trois personnes sur cinq que j'ai aidées à analyser un SMS douteux avaient déjà cliqué avant de m'écrire. Aucune n'a perdu d'argent — mais deux ont dû changer tous leurs mots de passe. Ce n'est pas un drame, c'est juste du temps perdu qu'un simple réflexe aurait évité.
Le réflexe qui tient en une phrase
Si je devais résumer tout ça en une règle utilisable à 14 h 07, un mardi, sans réfléchir : aucun lien d'un SMS ne mérite votre confiance, quelle que soit l'apparence du message. Vous fermez, vous tapez l'adresse officielle à la main, vous vérifiez. Trente secondes. C'est le prix de la tranquillité.
Et si un jour vous cliquez quand même — ça arrive à tout le monde, moi le premier —, ne culpabilisez pas. Agissez vite, changez ce qui doit l'être, signalez. L'escroquerie par SMS n'est pas une question d'intelligence, c'est une question de vitesse et d'habitude. La bonne nouvelle, c'est que l'habitude se prend en une semaine.
