Qu'est-ce que le smishing ? Comment reconnaître et bloquer les SMS frauduleux

Qu'est-ce que le smishing ?

Le smishing (contraction de "SMS" et "phishing") est une arnaque qui consiste à envoyer des SMS frauduleux pour vous inciter à cliquer sur un lien malveillant, appeler un faux numéro, ou communiquer des informations personnelles et bancaires. C'est l'équivalent du phishing par email, mais par SMS — et c'est l'une des arnaques qui progresse le plus vite, car un SMS paraît plus immédiat, plus personnel et plus digne de confiance qu'un email.

Les SMS de smishing imitent presque toujours une marque ou une organisation à laquelle vous faites déjà confiance : votre banque, un livreur, une application de stationnement, un service des impôts, ou même un proche. L'objectif est toujours le même : vous faire agir vite, avant que vous n'ayez le temps de réfléchir.

Comment fonctionne le smishing ?

La plupart des attaques de smishing suivent le même schéma :

1. Vous recevez un SMS inattendu signalant un problème : des frais de livraison impayés, une connexion suspecte à votre compte bancaire, un stationnement impayé, un remboursement d'impôt en attente, ou un compte bloqué.
2. Le message crée un sentiment d'urgence — "agissez sous 24h", "votre compte sera suspendu", "dernier avis".
3. Il contient un lien vers un site qui ressemble au site officiel, mais qui est en réalité une copie destinée à voler vos identifiants ou vos coordonnées bancaires.
4. Certains messages demandent de répondre avant (souvent par "OUI" ou "STOP") pour que le lien devienne cliquable — une technique pour contourner les filtres anti-spam et, sur iPhone, pour activer un lien envoyé par un expéditeur inconnu dans iMessage.

Si vous saisissez vos informations sur le faux site, ou si vous appelez le numéro indiqué, les fraudeurs peuvent vider votre compte bancaire, ouvrir un crédit à votre nom, ou revendre vos données à d'autres criminels.

Exemples courants de smishing

• "Votre colis n'a pas pu être livré — payez des frais de réexpédition" (imitation d'un livreur)
• "Activité inhabituelle détectée sur votre compte — vérifiez maintenant" (imitation d'une banque)
• "Vous avez un stationnement impayé — payez pour éviter une amende" (imitation d'une application de stationnement)
• "Vous avez droit à un remboursement d'impôt — réclamez-le ici" (imitation d'une administration fiscale)
• "Le paiement de votre abonnement a échoué — mettez à jour votre carte" (imitation d'un service d'abonnement)

Tous ces exemples suivent le même schéma : un nom de confiance, un problème urgent, et un lien.

Smishing vs phishing : quelle différence ?

Le phishing (hameçonnage) est la catégorie générale des arnaques qui visent à vous soutirer des informations sensibles — par email, appel téléphonique, réseaux sociaux ou SMS. Le smishing est du phishing réalisé spécifiquement par SMS. Il est souvent plus efficace que le phishing par email, car les SMS sont ouverts plus souvent, paraissent plus personnels, et sont plus difficiles à filtrer — la plupart des gens se méfient des emails suspects mais font encore confiance aux SMS par défaut.

Comment reconnaître un SMS de smishing

• Une urgence inattendue. Une organisation légitime exige rarement une action immédiate par SMS.
• Un lien qui ne correspond pas au domaine officiel. Appuyez longuement sur le lien (sans l'ouvrir) pour prévisualiser l'URL réelle — repérez les mots en trop, les extensions inhabituelles ou les fautes dans le nom de la marque.
• Une demande de réponse avant que le lien fonctionne. Aucune entreprise légitime ne vous demande de répondre "Y" pour "activer" un lien.
• Des formules génériques et des fautes d'orthographe. "Cher client", des fautes de frappe, une ponctuation étrange sont des signaux d'alerte fréquents.
• Un numéro d'expéditeur qui ressemble à un numéro de mobile aléatoire, plutôt qu'à un numéro court ou à l'identifiant habituel de la marque.

En cas de doute, n'utilisez jamais le lien contenu dans le SMS. Ouvrez plutôt l'application officielle ou tapez directement l'adresse du site connu dans votre navigateur.

Que faire si vous recevez un SMS de smishing

1. Ne cliquez pas sur le lien et ne répondez pas.
2. N'appelez aucun numéro indiqué dans le message.
3. Signalez-le. En France, vous pouvez transférer le SMS suspect au 33700, le service gratuit de signalement des SMS frauduleux.
4. Supprimez le message une fois signalé.
5. Si vous avez déjà cliqué sur un lien ou saisi des informations, contactez immédiatement votre banque, changez vos mots de passe réutilisés, et surveillez vos comptes.

Comment se protéger durablement du smishing

• Ne cliquez jamais sur les liens contenus dans des SMS non sollicités — allez directement sur l'application ou le site officiel.
• Activez la protection anti-spam intégrée à votre téléphone si elle est disponible.
• Utilisez un filtre SMS dédié pour bloquer automatiquement le spam et le smishing avant qu'ils n'atteignent votre boîte de réception, comme Anti SPAM SMS. L'application pour iPhone inclut un filtre intelligent qui bloque tout SMS contenant un lien envoyé par un expéditeur inconnu. Une des règles les plus efficaces contre le smishing, puisque presque tous les SMS de smishing reposent sur un clic. En savoir plus sur la façon dont Anti SPAM SMS peut vous protéger.
• Protégez votre numéro autant que possible, car les numéros de téléphone divulgués ou revendus sont la principale source des campagnes de smishing.
• Parlez-en à vos proches, en particulier ceux qui connaissent moins bien ce type d'arnaque — le smishing cible de manière disproportionnée les personnes âgées et celles moins habituées à repérer les signaux d'alerte du phishing.