Que faire quand un SMS semble provenir de sa banque ou d'un service public ?
Un message texte indiquant un colis bloqué, une connexion suspecte ou un remboursement en attente. Le destinataire clique sur le lien intégré, renseigne ses identifiants, et le compte est vidé. Ce scénario, connu sous le nom de phishing par SMS ou « smishing », repose sur un mécanisme simple : imiter un expéditeur légitime pour obtenir des données sensibles. Face à la banalisation de ces messages, il devient utile de connaître les signaux concrets qui permettent de les reconnaître, et surtout les limites de ces signaux.
Les indices techniques qui ne trompent pas (ou presque)
Le premier réflexe consiste à examiner le numéro de l'expéditeur. Une banque ou une administration française n’envoie jamais de SMS depuis un numéro mobile classique commençant par 06 ou 07. Les services officiels utilisent des expéditeurs alphanumériques (exemple : « BNP », « AMELI ») ou des numéros courts à 4 ou 5 chiffres. Un SMS provenant d’un numéro long ou d’un préfixe étranger constitue un premier signal d’alerte.
Deuxième indice : le contenu du message lui-même. Les messages frauduleux créent un sentiment d’urgence. Ils mentionnent une action à effectuer sous 24 heures, un compte bloqué ou une livraison en échec. Ils évitent le vouvoiement et utilisent souvent des formulations génériques. Un organisme réel connaît le nom de son client et ne demande jamais de « vérifier » un identifiant par un lien direct.
Troisième indice, le lien hypertexte. En maintenant le doigt appuyé sur le lien dans le message, il est possible de voir l’adresse réelle du site. Celle-ci ne correspondra pas au domaine officiel de l’organisme. Par exemple, un lien affichant « www.banque-securite.com » n’a rien à voir avec « www.banque.fr ». Les fraudeurs utilisent des noms de domaine proches, avec une lettre changée ou un suffixe inhabituel comme « .top » ou « .xyz ».
Ces indices restent toutefois limités. Des campagnes récentes utilisent des numéros courts légitimes usurpés, une technique appelée « spoofing ». Le message affiché peut alors paraître provenir du vrai service. Dans ce cas, les indices techniques ne suffisent plus, et c’est la nature de la demande qui doit éveiller l’attention.
Le réflexe du canal de retour : ne jamais répondre ni rappeler
La règle de base consiste à ne jamais cliquer sur le lien, mais aussi à ne pas répondre au SMS. Une réponse, même pour écrire « STOP » ou « qui êtes-vous ? », confirme au fraudeur que le numéro est actif. Cette confirmation peut entraîner une multiplication des messages frauduleux vers ce numéro. Il est également déconseillé de rappeler un numéro laissé dans le message, car il peut s’agir d’un numéro surtaxé.
Le bon réflexe est de contacter l’organisme concerné via un canal officiel indépendant. Pour une banque, cela signifie utiliser le numéro au dos de la carte bancaire ou l’application mobile officielle. Pour un service public, il faut passer par le site officiel, en tapant soi-même l’adresse dans le navigateur. Cette vérification prend quelques minutes et permet de confirmer si le message est authentique ou non. Dans la majorité des cas, le service confirme qu’il ne s’agit pas d’un de ses envois.
Une fois la fraude identifiée, le message peut être transféré au 33700, le numéro national de signalement des SMS frauduleux. Ce service, géré par les opérateurs, collecte les numéros et les signale. Le transfert se fait en envoyant le SMS suspect au 33700, sans modification. Cette action n’aboutit pas à un blocage immédiat du fraudeur, mais elle permet une analyse et un traitement par les autorités. Il ne faut pas attendre de réponse personnalisée après ce signalement.
Les cas où la vigilance ne suffit pas : les données déjà compromises
Le phishing par SMS ne se limite pas à la collecte d’identifiants de connexion. Certaines campagnes visent à installer un logiciel espion sur le téléphone. Le lien du message mène vers un fichier à télécharger, souvent déguisé en application de suivi de colis. Une fois installée, cette application peut lire les SMS du téléphone, y compris les codes de validation à usage unique envoyés par la banque. Dans ce cas, même une personne prudente qui n’a pas saisi ses identifiants peut subir un préjudice.
Un autre cas limite concerne les personnes ayant déjà cliqué sur un lien frauduleux. Si des identifiants ont été saisis, il est recommandé de modifier immédiatement le mot de passe du compte concerné, puis de contacter sa banque pour signaler l’incident. L’organisme peut alors bloquer les opérations suspectes et délivrer de nouveaux identifiants. Attendre ou espérer que rien ne se passe aggrave les risques.
La vigilance individuelle a donc ses limites face à des campagnes de plus en plus sophistiquées. Les fraudeurs adaptent leurs messages aux périodes de l’année (impôts, soldes, fêtes) et utilisent des données personnelles parfois issues de fuites antérieures. Un SMS qui cite le vrai nom du destinataire ou son adresse exacte ne prouve pas son authenticité. Dans le doute, l’abstention reste la règle : ne pas cliquer, ne pas répondre, ne pas transférer le message à des proches. Ces derniers pourraient, eux, être moins attentifs et tomber dans le piège.
