Smishing : comment reconnaître un SMS frauduleux et s'en protéger

Les faux SMS de livraison, de banque ou d'administration sont devenus l'une des fraudes les plus répandues en France. On parle de smishing : un hameçonnage transmis par SMS ou par messagerie, conçu pour vous faire cliquer avant de vous faire réfléchir. Les scénarios présentés sur cette page — colis bloqué, carte Vitale à renouveler, compte bancaire verrouillé, contravention à régler, enfant qui a changé de numéro — représentent la grande majorité des cas signalés. Mais la liste s'allonge en permanence : abonnements de streaming, titres de transport, compte formation, remboursements d'impôts.

Autrement dit, mémoriser une liste de marques ne suffit pas. Ce qui protège durablement, c'est de savoir repérer les mécanismes, identiques d'une arnaque à l'autre.

Les 3 mécanismes derrière tous les SMS frauduleux

L'urgence

« Dernier rappel », « avant majoration », « votre compte a été bloqué », « avant le 13/10 ». Le compte à rebours est artificiel : il existe uniquement pour vous empêcher de vérifier. Un message qui vous presse est un message dont il faut se méfier davantage, pas moins.

L'autorité

Le nom d'une banque, d'un transporteur ou d'un service de l'État suffit à désactiver la vigilance. Or ce nom ne coûte rien à copier : l'expéditeur affiché d'un SMS est falsifiable, et un message frauduleux peut même venir s'insérer dans un fil de discussion contenant de vrais messages de votre banque.

L'émotion

C'est le ressort de l'arnaque au faux proche. Un parent qui croit son enfant en difficulté ne vérifie pas : il répond. Les escrocs le savent et écrivent des messages volontairement sans prénom, pour qu'ils fonctionnent sur n'importe quel destinataire.

5 réflexes pour ne pas tomber dans le piège

1. Ne transmettez jamais de donnée sensible par SMS

Coordonnées bancaires, mot de passe, code de validation à usage unique, numéro de sécurité sociale, copie de pièce d'identité : aucun organisme sérieux ne réclame cela par message. Ni votre banque, ni l'Assurance Maladie, ni l'administration fiscale. Si un message le demande, la question est réglée : il est frauduleux.

2. Vérifiez l'information par vos propres moyens

Ne répondez pas au message, ne rappelez pas le numéro qu'il indique. Ouvrez l'application officielle de votre banque, tapez vous-même l'adresse du site concerné, ou appelez le numéro figurant au dos de votre carte bancaire ou sur un courrier reçu. Une amende réelle se retrouve sur amendes.gouv.fr ; un colis réel se suit sur le site du transporteur. Trente secondes de vérification indépendante annulent la totalité de l'arnaque.

3. Lisez l'adresse du lien avant de cliquer

C'est le contrôle le plus efficace, et le plus mal connu. Le vrai domaine d'une adresse se lit juste avant l'extension et le premier / — pas au début.

Comment lire une adresse : l'exemple à retenir

Dans secu-franconnect.ddns.net/.AMELI, le domaine réel est ddns.net, un service d'hébergement gratuit, et non AMELI. Ce qui compte, c'est le mot placé juste avant l'extension (.net,.com…) et le premier /.

Trois indices qui doivent vous arrêter net :

Une extension inhabituelle pour l'organisme cité : .biz, .info, .link, .xyz, .top. Un assurancemaladie.biz n'a rien à voir avec ameli.fr.
Un service public hors .gouv.fr. L'État français n'utilise pas d'autre extension. dossier-amendesgouv.com ou reglements-antai.fr sont frauduleux par construction, aussi crédibles paraissent-ils.
Un lien raccourci (is.gd, tinyurl, cutt.us, bit.ly) : il masque la destination réelle. Un organisme officiel n'a aucune raison de cacher où il vous envoie.

Retenez aussi que les SMS officiels des banques françaises ne contiennent pas de lien de connexion. Un lien dans un message bancaire est, à lui seul, un signal d'alerte.

4. N'installez jamais une application depuis un lien reçu

Une application légitime se télécharge depuis l'App Store, le Google Play Store ou le Galaxy Store, et nulle part ailleurs. Un lien qui propose d'installer un fichier, une « mise à jour de sécurité » ou un « certificat » cherche à déposer un logiciel espion sur votre téléphone — capable, ensuite, d'intercepter vos codes de validation bancaires.

5. Méfiez-vous du changement de canal

« Écris-moi sur WhatsApp », « rappelle-moi sur ce numéro » : demander à quitter le SMS n'est jamais anodin. Cela permet à l'escroc d'afficher une photo de profil crédible, de gérer plusieurs victimes en parallèle et d'échapper au filtrage des opérateurs. Face à un proche qui annonce un nouveau numéro, appelez-le sur son ancien numéro, ou vérifiez auprès d'un autre membre de la famille. Toujours avant, jamais après.

Que faire si vous avez déjà cliqué, répondu ou payé ?

Agissez vite, l'ordre compte.

1Contactez immédiatement votre banque si vous avez saisi des données bancaires, et faites opposition. Une fraude signalée sans délai est bien plus facile à faire annuler.
2Changez vos mots de passe depuis un autre appareil, en commençant par votre messagerie et vos comptes bancaires. Activez la double authentification là où elle est disponible.
3Signalez le message au 33700, la plateforme de signalement des SMS indésirables : transférez le SMS au 33700, puis envoyez le numéro de l'expéditeur au même destinataire. Le service est gratuit. 33700.fr
4Déclarez la fraude bancaire sur Perceval (service-public.fr) si votre carte a été débitée, et déposez plainte.
5Faites-vous accompagner sur cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes.

Un dernier point qui compte : être tombé dans le piège n'a rien d'une négligence. Ces messages sont conçus par des équipes qui testent leurs formulations sur des millions d'envois. Le seul vrai réflexe à garder, c'est de le signaler plutôt que de le taire.

Un doute sur un message ? Faites-le analyser

Collez le message suspect dans notre outil : Detect-arnaque examine le texte, les liens et le scénario, puis vous indique en quelques secondes s'il présente les caractéristiques d'une arnaque connue. Gratuit, sans inscription.

Analyser mon message

Questions fréquentes

Qu'est-ce que le smishing ?

Le smishing est une forme d'hameçonnage qui passe par SMS ou messagerie instantanée. Le terme combine « SMS » et « phishing ». L'escroc se fait passer pour une entité de confiance afin d'obtenir un clic, des données personnelles ou un paiement.

Comment savoir si un SMS est frauduleux ?

Vérifiez trois choses : le message crée-t-il un sentiment d'urgence ? Demande-t-il des informations sensibles ? L'adresse du lien correspond-elle exactement au domaine officiel de l'organisme cité ? Une seule réponse suspecte suffit à justifier une vérification indépendante.

Que se passe-t-il si je clique sur un lien frauduleux sans rien saisir ?

Le risque principal reste limité, mais pas nul. Ne saisissez aucune information sur la page, fermez-la, et surveillez vos comptes bancaires les jours suivants. Si un téléchargement s'est déclenché, ne l'ouvrez pas et supprimez le fichier.

Comment signaler un SMS frauduleux en France ?

Transférez-le au 33700, gratuitement. En cas de préjudice financier, signalez la fraude sur Perceval et déposez plainte.

Ma banque peut-elle m'envoyer un SMS avec un lien ?

Les banques françaises indiquent que leurs SMS officiels ne contiennent pas de lien de connexion et ne demandent jamais d'identifiants. En cas de doute, passez par l'application officielle ou le numéro figurant au dos de votre carte.

Partager ce guide à un proche

Une personne sur deux a déjà reçu ce type de message. Partagez avant qu'elle ne tombe dans le piège.

Envoyer ce guide sur WhatsApp

Telegram Facebook