En bref : le smishing (hameçonnage par SMS) a explosé en France ces dernières années, alimenté par les fuites de données massives. Faux colis, faux conseiller bancaire, faux CPF ou faux impôts : les scénarios sont rodés. La bonne nouvelle ? Quelques réflexes simples suffisent le plus souvent à déjouer ces pièges.

Le smishing, c’est quoi ?

Le terme « smishing » désigne l’hameçonnage (phishing) par SMS. Le principe est toujours le même : un message urgent vous pousse à cliquer sur un lien ou à rappeler un numéro, afin de vous soutirer vos identifiants, vos coordonnées bancaires ou de l’argent. Le canal SMS est prisé des escrocs car il inspire confiance et se lit dans l’instant.

Cette forme d’arnaque s’est fortement développée en France, portée par des fuites de données de grande ampleur qui fournissent aux fraudeurs des numéros et parfois des informations personnelles rendant leurs messages plus crédibles.

Les scénarios les plus fréquents

Quelques mises en scène reviennent sans cesse :

• Le faux colis : un SMS prétend qu’une livraison est bloquée et réclame des « frais » ou une mise à jour d’adresse via un lien. Le formulaire piège vise vos données bancaires.
• Le faux conseiller bancaire : par SMS puis par téléphone, un escroc se fait passer pour votre banque et vous demande de « sécuriser » un paiement ou de valider une opération. Cette fraude a représenté un préjudice de l’ordre de 380 millions d’euros en 2024.
• Le faux CPF : on vous affirme que vos droits à la formation vont « expirer » ou qu’il faut les « débloquer ». C’est faux : les droits CPF ne disparaissent pas ainsi, et le démarchage commercial autour du CPF est interdit par la loi depuis 2022.
• Les faux impôts ou fausses amendes : un message évoque un remboursement à réclamer ou une contravention à régler en urgence, toujours via un lien frauduleux.

Le point commun de toutes ces arnaques : un sentiment d’urgence destiné à court-circuiter votre réflexion.

Comment les repérer

Plusieurs signaux doivent alerter :

• Un lien à cliquer, souvent raccourci ou avec une adresse qui ne correspond pas au site officiel de l’organisme ;
• Un ton alarmiste ou pressant : « dernier avertissement », « compte suspendu », « réagissez sous 24 h » ;
• Une demande d’informations sensibles : numéro de carte, code reçu par SMS, identifiants ;
• Des fautes d’orthographe ou une formulation maladroite ;
• Un expéditeur inconnu ou un numéro qui usurpe celui d’un organisme connu.

Règle d’or : un organisme officiel, une banque ou une administration ne vous demandera jamais vos codes complets, votre mot de passe ou de valider une opération par un lien reçu par SMS.

Les bons réflexes

Face à un message ou un appel douteux :

• Ne cliquez pas sur le lien et ne rappelez pas le numéro indiqué dans le message ;
• Ne communiquez aucune donnée bancaire ni aucun code de sécurité ;
• Vérifiez par vous-même : connectez-vous à votre espace habituel ou appelez le numéro officiel figurant au dos de votre carte ou sur le site de l’organisme ;
• Prenez le temps : l’urgence est l’arme préférée des escrocs ;
• Parlez-en autour de vous, notamment aux personnes plus vulnérables aux appels frauduleux.

Où signaler ?

Signaler ne coûte rien et aide à faire tomber les campagnes d’arnaques :

• 33700 : transférez gratuitement le SMS suspect à ce numéro dédié à la lutte contre les messages frauduleux ;
• cybermalveillance.gouv.fr : pour être orienté, obtenir de l’aide et signaler un incident ;
• internet-signalement.gouv.fr (plateforme PHAROS) : pour signaler des contenus et comportements illicites ;
• L’application ou le service Signal Spam, pour remonter les messages indésirables.

Que faire si vous avez été piégé ?

Si vous avez communiqué des informations bancaires ou cliqué sur un lien : contactez immédiatement votre banque pour faire opposition, changez sans attendre les mots de passe qui pourraient être compromis, puis surveillez attentivement vos comptes pendant plusieurs semaines. Signalez enfin l’incident sur cybermalveillance.gouv.fr et, en cas de préjudice financier, déposez plainte. Agir vite limite fortement les conséquences.

Ce qu’il faut retenir

• Le smishing (arnaque par SMS) explose, alimenté par les fuites de données ; les scénarios types sont le faux colis, le faux conseiller bancaire, le faux CPF et les faux impôts.
• Un message qui crée l’urgence, contient un lien et réclame des données sensibles doit toujours éveiller les soupçons.
• Ne cliquez pas, ne communiquez aucun code, et vérifiez toujours par le canal officiel de l’organisme.
• Signalez au 33700, sur cybermalveillance.gouv.fr et via PHAROS (internet-signalement.gouv.fr).
• En cas de piège : opposition bancaire immédiate, changement des mots de passe, surveillance des comptes et signalement.