Vous venez de recevoir un SMS étrange.
Votre banque vous demande de « sécuriser votre compte », un transporteur affirme qu’un colis ne peut pas être livré, l’administration vous réclame un paiement urgent… ou un proche vous écrit soudainement depuis un nouveau numéro.
Premier réflexe : ne paniquez pas et ne cliquez sur rien.
Les SMS frauduleux sont conçus pour provoquer une réaction rapide. Les escrocs jouent sur la peur, l’urgence, la curiosité ou parfois même l’affection pour vous pousser à agir avant que vous ayez pris le temps de réfléchir.
Dans cet article, nous allons voir 7 réflexes simples à adopter lorsque vous recevez un SMS suspect, comment reconnaître les arnaques les plus courantes et surtout quoi faire si vous avez déjà cliqué.
À retenir : recevoir ou simplement lire un SMS suspect ne signifie pas que votre téléphone est infecté. Inutile de couper immédiatement le Wi-Fi ou la 4G/5G si vous n’avez cliqué sur rien et n’avez rien installé. Le principal danger apparaît lorsque vous suivez un lien, communiquez des informations ou installez quelque chose.
Qu’est-ce que le smishing ?
Le mot smishing est la contraction de « SMS » et « phishing ».
Il s’agit tout simplement d’une tentative d’hameçonnage réalisée par SMS ou par message mobile.
L’escroc se fait passer pour une personne ou un organisme de confiance afin de vous inciter à :
- cliquer sur un faux lien ;
- communiquer un mot de passe ;
- donner les informations de votre carte bancaire ;
- transmettre un code de validation reçu par SMS ;
- effectuer un paiement ;
- installer une application ;
- ou rappeler un numéro de téléphone.
Les fraudeurs peuvent notamment se faire passer pour :
- votre banque ;
- La Poste, Chronopost, Colissimo ou un autre transporteur ;
- les impôts ou une administration ;
- un service de paiement ;
- un site de commerce en ligne ;
- un opérateur téléphonique ;
- un membre de votre famille ou un ami.
SMS suspect : les 7 réflexes à adopter
1. Ne cliquez pas sur le lien
C’est la règle la plus importante.
Si vous ne vous attendiez pas à recevoir ce message, ne cliquez pas sur le lien qu’il contient, même si le SMS semble provenir d’une entreprise que vous connaissez.
Un lien frauduleux peut vous envoyer vers une copie presque parfaite du site de votre banque, d’un transporteur ou d’un service administratif.
L’objectif sera généralement de récupérer vos identifiants, vos coordonnées bancaires ou d’autres informations personnelles.
Évitez également de :
- répondre au SMS ;
- appeler le numéro indiqué dans le message ;
- télécharger une application proposée par le SMS ;
- ouvrir un document ou une pièce jointe inattendue.
Le bon réflexe : si le message prétend provenir d’un service que vous utilisez réellement, ouvrez directement son application officielle ou son site Internet comme vous le faites habituellement.
2. Ne faites pas confiance uniquement au nom de l’expéditeur
« Le SMS indique le nom de ma banque, donc il est forcément vrai. »
Malheureusement, non.
Le nom ou le numéro affiché sur votre téléphone ne suffit pas à prouver l’identité réelle de l’expéditeur.
Un fraudeur peut tenter de donner au message une apparence crédible en utilisant un nom connu, un numéro ressemblant à un numéro français ou une présentation très proche de celle d’un véritable service.
Même si le SMS apparaît au milieu d’autres messages qui semblent légitimes, ne prenez jamais cela comme une preuve suffisante.
Posez-vous plutôt quelques questions :
- Est-ce que j’attendais réellement ce message ?
- Ai-je effectivement commandé un colis ?
- Ma banque m’a-t-elle également envoyé une notification dans son application ?
- Le message me demande-t-il quelque chose d’inhabituel ?
- Pourquoi cette demande serait-elle aussi urgente ?
3. Vérifiez l’information par vous-même
Vous avez reçu un message indiquant qu’un problème existe ?
Ne vérifiez pas ce problème à partir des coordonnées contenues dans le SMS.
Par exemple, si le message prétend provenir de votre banque :
- fermez le SMS ;
- ouvrez vous-même l’application officielle de votre banque ;
- consultez vos comptes et vos notifications ;
- si nécessaire, contactez votre banque à l’aide d’un numéro que vous connaissez déjà ou qui figure sur son site officiel ou sur vos documents bancaires.
Pour un colis, faites la même chose : ouvrez le site ou l’application du commerçant auprès duquel vous avez réellement passé commande et vérifiez le suivi depuis votre espace client.
Pour les impôts ou une administration, connectez-vous directement à votre espace personnel sans passer par le lien contenu dans le SMS.
Cette petite habitude permet d’éviter énormément d’arnaques.
4. Ne communiquez jamais vos codes et mots de passe
Un SMS frauduleux peut vous demander :
- votre mot de passe ;
- votre code secret ;
- les informations de votre carte bancaire ;
- un code reçu par SMS ;
- un code de validation affiché dans votre application bancaire ;
- ou de valider une opération que vous n’avez pas vous-même initiée.
Ne communiquez jamais ce type d’information à une personne qui vous contacte par SMS ou par téléphone.
Un code à usage unique sert justement à prouver que c’est bien vous qui réalisez une opération. Si une personne vous demande de lui communiquer ce code, c’est un énorme signal d’alerte.
C’est également vrai si votre interlocuteur affirme travailler au « service sécurité », au « service fraude » ou au « service opposition » de votre banque.
5. Repérez les techniques utilisées pour vous faire agir trop vite
Les fraudeurs essaient souvent de provoquer une émotion forte.
Quelques exemples :
- « Votre compte sera bloqué dans 2 heures. »
- « Un paiement de 849 € vient d’être effectué. »
- « Votre colis sera retourné si vous ne payez pas 1,99 €. »
- « Dernier rappel avant majoration. »
- « Vous avez droit à un remboursement. »
- « Maman, j’ai cassé mon téléphone, voici mon nouveau numéro. »
Le but est toujours le même : vous empêcher de prendre le temps de réfléchir.
Autres indices possibles :
- une adresse Internet inhabituelle ;
- un nom de domaine légèrement modifié ;
- des lettres ou chiffres ajoutés ;
- une demande de paiement inattendue ;
- une demande d’informations personnelles ;
- une pression excessive ou une menace.
Les fautes d’orthographe étaient autrefois un bon indice, mais ce n’est plus suffisant aujourd’hui. De nombreux SMS frauduleux sont parfaitement rédigés.
Inversement, un message sans aucune faute n’est pas forcément légitime.
Même la présence de « https » ou d’un cadenas dans le navigateur ne garantit pas qu’un site est digne de confiance.
6. Conservez une preuve, signalez puis bloquez le numéro
Si vous pensez avoir reçu une tentative d’arnaque, prenez éventuellement une capture d’écran du message avant de le supprimer.
Essayez de conserver :
- le numéro ou le nom de l’expéditeur ;
- le contenu complet du message ;
- la date et l’heure ;
- l’adresse Internet éventuellement indiquée.
En France, un SMS frauduleux ou indésirable peut être signalé à la plateforme 33700.
Vous pouvez notamment transférer le SMS au 33700 ou utiliser le service de signalement proposé par la plateforme.
Une fois le signalement effectué, vous pouvez bloquer l’expéditeur.
Sur iPhone
Les versions récentes d’iOS disposent de fonctions permettant de filtrer les expéditeurs inconnus et les messages identifiés comme indésirables.
Selon votre version d’iOS, vous retrouverez ces options depuis l’application Messages, dans les fonctions de filtrage.
Vous pouvez également bloquer directement un correspondant depuis la conversation.
Sur Android avec Google Messages
Dans Google Messages, vous pouvez appuyer de manière prolongée sur une conversation puis utiliser l’option permettant de bloquer et signaler comme spam.
Google Messages propose également une protection contre le spam que vous pouvez activer dans les paramètres de l’application.
Attention : bloquer un numéro ne garantit pas que vous ne recevrez plus ce type d’arnaque. Les fraudeurs utilisent de nombreux numéros différents.
7. Si vous avez déjà cliqué, adaptez votre réaction à ce que vous avez fait
Vous avez cliqué sur le lien ?
Ne paniquez pas. Cliquer sur un lien ne signifie pas automatiquement que vos comptes ont été piratés.
La suite dépend surtout de ce que vous avez fait après avoir cliqué.
Vous avez uniquement ouvert la page
Si vous n’avez saisi aucune information, rien téléchargé et rien installé :
- fermez simplement la page ;
- ne retournez pas sur le site ;
- vérifiez qu’aucun téléchargement inattendu n’a été effectué ;
- assurez-vous que votre téléphone et vos applications sont à jour.
Vous avez communiqué un mot de passe
Changez immédiatement ce mot de passe depuis le véritable site ou l’application officielle.
Si vous utilisiez le même mot de passe sur plusieurs services, changez-le également sur ces autres comptes.
Profitez-en pour activer la double authentification lorsqu’elle est disponible.
Vous avez donné vos coordonnées bancaires
Contactez immédiatement votre banque à l’aide de ses coordonnées officielles.
Expliquez précisément les informations que vous avez communiquées et demandez-lui quelles mesures prendre. Si nécessaire, votre banque pourra notamment procéder à une opposition sur votre carte bancaire.
Surveillez également les opérations apparaissant sur votre compte.
Vous avez communiqué un code de validation bancaire
Contactez votre banque immédiatement.
Un code de validation peut permettre à un escroc de confirmer une opération bancaire en votre nom. Dans ce cas, chaque minute peut compter.
Vous avez installé une application ou un fichier inconnu
La situation mérite davantage de précautions.
Si votre téléphone commence à se comporter de manière inhabituelle ou si une application a été installée depuis un lien reçu par SMS :
- cessez d’utiliser l’application suspecte ;
- évitez d’effectuer des opérations sensibles avec le téléphone ;
- vous pouvez alors couper temporairement le Wi-Fi et les données mobiles ;
- demandez de l’aide à une personne compétente ou utilisez un service officiel d’assistance aux victimes de cybermalveillance.
La plateforme française 17Cyber peut notamment aider à identifier la situation et orienter vers les démarches adaptées.
Les arnaques par SMS les plus courantes
La fausse alerte bancaire
Vous recevez par exemple :
« Un paiement de 674 € vient d’être effectué. Si vous n’êtes pas à l’origine de cette opération, cliquez ici immédiatement. »
Le montant est suffisamment important pour vous inquiéter.
Mais plutôt que de cliquer, ouvrez votre application bancaire et regardez directement vos opérations.
Si vous avez encore un doute, contactez votre banque avec un numéro officiel.
Le faux colis en attente
Cette arnaque est extrêmement courante.
Le SMS peut vous annoncer :
- qu’un colis n’a pas pu être livré ;
- que l’adresse est incomplète ;
- que le colis est bloqué ;
- qu’il faut choisir une nouvelle date de livraison ;
- ou qu’une petite somme reste à payer.
Le faible montant demandé, parfois seulement quelques euros, doit vous inciter à sortir votre carte bancaire sans trop réfléchir.
Vérifiez plutôt vos commandes directement auprès du commerçant concerné.
La fausse amende ou le faux message administratif
Impôts, amendes, remboursement, carte Vitale, assurance maladie ou autres démarches administratives : les fraudeurs n’hésitent pas à utiliser le nom d’organismes publics.
Le message peut annoncer soit une bonne nouvelle :
« Vous avez droit à un remboursement de 187 €. »
… soit une mauvaise :
« Dernier rappel avant majoration de votre amende. »
Dans les deux cas, ne passez pas par le lien reçu.
Connectez-vous vous-même au site ou à l’application officielle correspondant au service concerné.
Le faux message d’un enfant ou d’un proche
Autre scénario désormais très connu :
« Bonjour maman, j’ai cassé mon téléphone. Voici mon nouveau numéro. Tu peux m’écrire sur WhatsApp ? »
Une conversation peut ensuite commencer et conduire progressivement à une demande d’argent.
Dans ce cas, appelez directement votre proche sur son ancien numéro ou contactez-le par un autre moyen que vous connaissez déjà.
Une question personnelle dont seul votre proche connaît la réponse peut également permettre de vérifier rapidement son identité.
Le faux code de validation
Un escroc peut également vous contacter en affirmant qu’un problème est en cours sur votre compte.
Quelques secondes plus tard, vous recevez un véritable code de validation.
L’escroc vous demande alors de lui dicter ce code pour « annuler l’opération ».
En réalité, il peut être en train d’essayer de se connecter à votre compte ou de valider une opération.
Ne communiquez jamais un code de sécurité reçu sur votre téléphone.
Comment reconnaître un lien Internet suspect ?
Il est préférable de ne pas ouvrir le lien du tout, mais certains détails peuvent déjà vous alerter dans le SMS.
Imaginez par exemple que le véritable site soit :
mabanque.fr
Un fraudeur pourrait utiliser :
- ma-banque-securite.fr ;
- mabanque-verification.com ;
- mabanqu3.fr ;
- securite.mabanque.exemple.com.
Le dernier exemple est particulièrement trompeur.
Ce qui compte réellement dans cette adresse est le nom de domaine situé juste avant l’extension : ici, exemple.com, et non « mabanque ».
Pour un utilisateur peu à l’aise avec ce genre de vérification, retenez surtout une chose :
vous n’avez pas besoin d’analyser le lien pour savoir quoi faire. Ne l’utilisez pas. Ouvrez directement le site ou l’application officielle.
Faut-il installer une application anti-spam ?
Il existe des applications capables d’identifier certains SMS ou appels indésirables.
Elles peuvent être utiles, mais elles ne sont pas indispensables pour tout le monde.
Avant d’en installer une, vérifiez notamment :
- les autorisations demandées ;
- la réputation de l’éditeur ;
- les informations auxquelles l’application aura accès ;
- sa politique de confidentialité ;
- et le prix éventuel de l’abonnement.
Certaines applications doivent analyser vos messages ou certaines métadonnées pour détecter les tentatives de fraude.
Pour beaucoup d’utilisateurs, commencer par les protections déjà intégrées à l’iPhone ou à Google Messages est donc une solution plus simple.
Et surtout, aucune application ne remplacera le réflexe le plus efficace : ne jamais agir dans l’urgence à partir d’un SMS inattendu.
Quelques habitudes pour éviter les arnaques par SMS
Vous pouvez également réduire les risques en adoptant quelques habitudes simples.
- Maintenez votre smartphone et vos applications à jour.
- Utilisez des mots de passe différents pour vos comptes importants.
- Utilisez un gestionnaire de mots de passe si vous avez du mal à les retenir.
- Activez la double authentification lorsque c’est possible.
- Préférez une application d’authentification ou une clé d’accès lorsqu’un service vous le propose.
- N’installez des applications que depuis les boutiques officielles.
- Ne communiquez jamais un code reçu par SMS à une autre personne.
- Expliquez également ces réflexes aux personnes moins à l’aise avec le numérique autour de vous.
En résumé : que faire lorsque vous recevez un SMS suspect ?
Si vous ne devez retenir que quelques règles de cet article, gardez celles-ci :
- Ne cliquez pas sur le lien.
- Ne répondez pas au message.
- N’appelez pas le numéro fourni dans le SMS.
- Vérifiez l’information directement dans l’application ou sur le site officiel.
- Ne communiquez jamais de mot de passe ou de code de validation.
- Signalez le SMS suspect au 33700 et bloquez l’expéditeur.
- Si vous avez déjà transmis des informations, agissez immédiatement en fonction de ce que vous avez communiqué.
Et rappelez-vous : un message qui vous presse d’agir immédiatement mérite justement que vous preniez quelques minutes pour réfléchir.
Dans la grande majorité des cas, vous pouvez vérifier la situation sans utiliser le moindre lien présent dans le SMS.
C’est un réflexe très simple, mais c’est probablement l’un des plus efficaces pour éviter les arnaques.
Et si tu lisais aussi ceci ?
FAQ – SMS suspect : les questions les plus fréquentes
Ne cliquez sur aucun lien, ne répondez pas au message et n’appelez pas le numéro indiqué. Si le SMS prétend provenir d’une banque, d’un transporteur ou d’une administration, vérifiez directement l’information depuis l’application officielle ou le site Internet que vous utilisez habituellement.
Non. Le simple fait de recevoir ou de lire un SMS suspect ne signifie pas que votre téléphone est infecté. Le risque apparaît surtout si vous cliquez sur un lien, téléchargez un fichier, installez une application ou communiquez des informations personnelles.
Si vous avez uniquement ouvert la page sans saisir d’informations ni installer quoi que ce soit, fermez-la et ne retournez pas sur le site. Vérifiez également qu’aucun téléchargement inattendu n’a été effectué. Si vous avez communiqué un mot de passe, des coordonnées bancaires ou un code de validation, agissez immédiatement pour sécuriser le compte concerné.
Ne vous fiez pas uniquement au nom ou au numéro affiché. Ouvrez directement l’application officielle de votre banque et vérifiez vos comptes et vos notifications. En cas de doute, contactez votre banque à l’aide d’un numéro officiel figurant sur son site, votre carte bancaire ou vos documents habituels.
Vous ne devez jamais communiquer à quelqu’un un code de validation ou un code à usage unique reçu par SMS. Ces codes servent généralement à confirmer une connexion ou une opération. Une personne qui vous demande de lui transmettre ce code doit être considérée avec une grande méfiance.
Vous pouvez signaler un SMS indésirable ou frauduleux auprès de la plateforme 33700. Selon votre téléphone, vous pouvez également utiliser les fonctions intégrées de votre application Messages pour signaler le message comme spam et bloquer l’expéditeur.
Oui, après avoir conservé une éventuelle capture d’écran et effectué le signalement, vous pouvez bloquer le numéro. Cela empêchera ce numéro précis de vous contacter à nouveau, mais cela ne bloque pas toutes les futures tentatives d’arnaque, car les fraudeurs utilisent régulièrement d’autres numéros.
Oui. Les fautes d’orthographe ne sont plus un critère suffisant pour reconnaître une fraude. Certains SMS malveillants sont aujourd’hui parfaitement rédigés. Il vaut mieux se méfier surtout de l’urgence imposée, des demandes inhabituelles, des liens inconnus et des demandes de paiement ou d’informations personnelles.
Contactez immédiatement votre banque en utilisant ses coordonnées officielles. Expliquez précisément les informations que vous avez fournies et suivez les instructions données. Surveillez également vos opérations bancaires et faites opposition si votre banque vous le recommande.
Pas forcément. Les protections intégrées aux smartphones et aux applications de messagerie suffisent déjà dans de nombreux cas. Le plus important reste d’adopter les bons réflexes : ne pas cliquer dans l’urgence, vérifier les informations par un canal officiel et ne jamais transmettre de codes ou de mots de passe.
Le mot de Sébastien
Recevoir un SMS suspect peut être stressant, surtout quand le message parle de votre banque, d’un colis, d’une amende ou d’un proche. Et c’est justement ce stress que les fraudeurs essaient d’utiliser contre nous.
Avec le temps, j’ai appris qu’il y a un réflexe très simple qui évite déjà beaucoup de problèmes : ne jamais agir dans l’urgence.
Si un SMS vous demande de cliquer, de payer, de rappeler un numéro ou de communiquer une information personnelle, prenez quelques minutes. Fermez le message, ouvrez vous-même l’application ou le site officiel concerné, puis vérifiez tranquillement ce qu’il en est.
Vous n’avez pas besoin de devenir un expert en cybersécurité pour éviter la majorité de ces arnaques. Quelques bons réflexes suffisent souvent : ne pas cliquer trop vite, ne jamais communiquer ses codes, vérifier par un autre moyen et demander de l’aide lorsqu’un doute persiste.
Et si vous avez déjà cliqué sur un lien, là encore, inutile de paniquer. L’important est surtout d’identifier ce que vous avez fait ensuite et d’agir rapidement si vous avez communiqué un mot de passe, des coordonnées bancaires ou un code de validation.
C’est exactement l’objectif d’Informatique Sans Stress : vous aider à comprendre ce qui se passe, savoir quoi faire et utiliser le numérique avec un peu plus de sérénité.
Et vous, avez-vous déjà reçu un SMS qui vous semblait suspect ? N’hésitez pas à partager votre expérience en commentaire. Cela peut aussi aider d’autres lecteurs à reconnaître plus facilement ce genre de tentative.