Reconnaître un SMS frauduleux

Le smishing, en deux mots

Le smishing est l'hameçonnage par SMS : un message se fait passer pour un organisme que vous connaissez — transporteur, banque, administration, opérateur — et vous pousse à cliquer sur un lien. Au bout du lien, une page qui imite le vrai site et réclame vos identifiants, votre numéro de carte ou un petit paiement.

Le SMS est devenu le canal privilégié pour une raison simple : on le lit presque toujours, on le lit vite, et souvent sur un petit écran où l'adresse complète d'un lien n'est pas visible. Un e-mail douteux se repère au premier coup d'œil ; un SMS douteux, beaucoup moins.

Les sept signaux qui doivent vous arrêter

L'urgence fabriquée d'abord. « Sous 24 h », « dernier avis », « votre compte sera suspendu » : la pression temporelle est là pour vous empêcher de réfléchir, et c'est le marqueur le plus constant de toutes les arnaques.

Le lien, ensuite, et c'est le point décisif. Regardez ce qui précède immédiatement le premier « / » après le nom de domaine : c'est le vrai site. « laposte.fr.suivi-colis.net » n'est pas La Poste, c'est « suivi-colis.net ». Méfiez-vous aussi des raccourcisseurs qui masquent la destination, et des domaines exotiques accolés à une marque française.

Une petite somme réclamée, aussi. Deux euros de frais de douane, un euro de réexpédition : le montant est dérisoire exprès, pour que vous ne vous méfiiez pas. L'objectif n'est presque jamais cette somme, mais votre numéro de carte.

Viennent ensuite l'expéditeur incohérent — un numéro mobile en 06 ou 07 pour un organisme qui utilise normalement un nom d'expéditeur —, la demande d'informations qu'un organisme légitime possède déjà, l'absence de tout élément personnalisé (aucun numéro de dossier, aucun nom), et enfin le contexte qui ne colle pas : un colis que vous n'attendez pas, un remboursement que vous n'avez pas demandé.

Le réflexe qui marche à tous les coups

Ne partez jamais du message. Si le SMS prétend venir de votre banque, ouvrez votre application bancaire ; s'il parle d'un colis, allez sur le site du transporteur en tapant vous-même l'adresse ; s'il évoque une amende, passez par antai.gouv.fr. Si la demande est réelle, vous la retrouverez là. Sinon, vous avez votre réponse.

Cette règle unique neutralise la quasi-totalité des arnaques par message, parce qu'elle coupe le seul chemin dont l'escroc dispose : le lien qu'il vous a fourni. Elle a l'avantage de fonctionner même quand l'imitation est parfaite.

Que faire du message

Ne cliquez pas, ne répondez pas — même « STOP », qui confirmerait que votre numéro est actif — et ne rappelez pas le numéro indiqué. Transférez ensuite le SMS au 33700, le service national de signalement des messages indésirables et frauduleux, puis supprimez-le.

Si le message usurpe l'identité d'une marque ou d'une administration, vous pouvez aussi le signaler sur signal.conso.gouv.fr, et retrouver les conseils officiels sur cybermalveillance.gouv.fr. Ces signalements alimentent les listes utilisées par les opérateurs pour couper les campagnes en cours.

Quand le doute persiste

Certains messages sont réellement ambigus : un vrai colis en attente, une vraie échéance fiscale, une vraie relance bancaire. C'est précisément là que les campagnes frauduleuses font mouche, parce qu'elles jouent sur une coïncidence plausible.

Quand un message vous fait hésiter, le plus simple est de le faire lire par un outil plutôt que de trancher seul. Allociao accepte le texte collé, une capture d'écran, un lien seul ou un QR code, et détaille les signaux qu'il a repérés plutôt que de rendre un simple verdict. Tout se passe sur l'appareil : rien n'est envoyé à un serveur, et l'application ne demande jamais l'accès à vos SMS.

FAQ

Comment savoir si un SMS est une arnaque ?

Vérifiez trois choses : l'urgence du ton, la vraie adresse du lien (ce qui précède le premier « / » après le nom de domaine) et la cohérence du contexte. Puis appliquez la règle unique : ne passez jamais par le lien du message, allez vous-même sur le site officiel. Si la demande est réelle, vous l'y retrouverez.

Faut-il répondre STOP à un SMS frauduleux ?

Non. « STOP » est prévu pour la publicité légale ; face à un escroc, il confirme seulement que votre numéro est actif et lu, ce qui vous vaudra davantage de messages. Ne répondez rien, transférez au 33700 et supprimez.

Est-ce dangereux d'ouvrir un SMS frauduleux ?

Ouvrir et lire le message ne présente pas de risque en soi. Le danger commence au clic sur le lien, à la saisie d'informations sur la page d'arrivée, ou à l'installation d'une application proposée par cette page.

Où signaler un SMS frauduleux en France ?

Transférez-le au 33700, le service national de signalement des SMS indésirables et frauduleux. Vous pouvez aussi signaler l'usurpation sur signal.conso.gouv.fr, et consulter cybermalveillance.gouv.fr.

Comment faire vérifier un message dont je ne suis pas sûr ?

Vous pouvez le soumettre à Allociao : collez le texte du SMS, le lien, l'e-mail ou même une capture d'écran, et l'application vous explique signal par signal ce qu'elle a repéré. L'analyse se fait sur votre téléphone, sans que le message parte sur un serveur. C'est gratuit et sans compte.

Sources

• 33700.fr
• cybermalveillance.gouv.fr
• signal.conso.gouv.fr