Votre téléphone vibre. Un SMS s'affiche : « Votre colis n'a pas pu être livré. Cliquez ici pour reprogrammer. » Ou encore : « Votre compte bancaire a été suspendu. Agissez maintenant. » Vous n'avez rien commandé. Vous n'avez reçu aucun courrier de votre banque. Pourtant, le message semble vrai.
Ce que vous venez de recevoir s'appelle du smishing – une arnaque par SMS conçue pour vous tromper. Ce guide vous explique exactement comment ça fonctionne, à quoi ressemblent ces messages, et surtout comment les déjouer.
Sommaire
- Comment fonctionne le smishing
- À quoi ressemble un SMS frauduleux
- Les signaux qui doivent vous alerter
- Vos réflexes : quoi faire face à un SMS suspect
- Si vous avez déjà répondu ou cliqué
- FAQ
- Sources officielles
Comment fonctionne le smishing
Le mot smishing est la contraction de « SMS » et de « phishing » (hameçonnage en anglais). C'est une technique utilisée par des escrocs pour vous soutirer des informations personnelles, des données bancaires ou de l'argent – le tout via un simple message texte sur votre téléphone.
Le mécanisme repose sur trois ressorts :
L'usurpation d'identité – L'escroc se fait passer pour un organisme que vous connaissez et en qui vous avez confiance : votre banque, la Sécurité sociale, La Poste, les impôts.
L'urgence fabriquée – Le message crée une pression immédiate : « Agissez sous 24 h », « Votre compte sera bloqué », « Des frais supplémentaires s'appliqueront ».
L'action piégée – Vous êtes invité à cliquer sur un lien, rappeler un numéro ou communiquer des informations. Chacune de ces actions mène au vol de vos données.
Une fois que vous avez cliqué, deux scénarios sont possibles. Soit vous atterrissez sur un faux site aux couleurs de l'organisme imité, qui collecte vos identifiants ou vos coordonnées bancaires. Soit le lien installe discrètement un logiciel malveillant sur votre téléphone, capable d'intercepter vos SMS, y compris les codes de validation envoyés par votre banque.
⚠️ Le piège : sur un écran de téléphone, l'adresse du site s'affiche souvent de façon tronquée. Vous ne voyez pas que l'URL est fausse – et c'est exactement ce que les escrocs exploitent.
Le smishing est plus difficile à détecter qu'un e-mail frauduleux. Les SMS sont courts, le ton lapidaire est habituel dans ce canal, et les fautes d'orthographe – signal classique d'alerte – sont plus rares. Comme le rappelle Cybermalveillance.gouv.fr, les escrocs ont précisément choisi ce canal parce qu'il suscite moins de méfiance que l'e-mail.
À quoi ressemble un SMS frauduleux
Les faux SMS imitent les communications que vous recevez déjà régulièrement. Voici les quatre formes les plus courantes en France.
Faux SMS de votre banque
Un SMS prétend que votre compte a été suspendu ou qu'une opération suspecte a été détectée. Il vous demande de cliquer pour « sécuriser » votre compte.
📱 Exemple de SMS frauduleux :
« [CREDIT-AGRI] Alerte sécurité : une connexion inhabituelle a été détectée sur votre espace client. Vérifiez immédiatement :
http://credit-agri-securite.net»
Ce type de message est analysé en détail dans notre article sur les faux SMS bancaires.
✅ Le bon réflexe : votre banque ne vous demandera jamais de cliquer sur un lien pour sécuriser votre compte. Appelez directement le numéro au dos de votre carte bancaire.
Faux SMS de livraison ou de colis
Vous recevez un message vous informant qu'un colis est bloqué et qu'il faut payer des frais de douane ou confirmer une adresse.
📱 Exemple de SMS frauduleux :
« La Poste : votre colis N°FR847291 est en attente. Des frais de douane de 1,99 € sont dus avant livraison. Réglez ici :
http://laposte-livraison-fr.com»
Ce scénario est très fréquent. Retrouvez tous les détails dans notre article sur les faux SMS de livraison.
⚠️ Le piège : le montant est volontairement faible (1 à 3 €) pour ne pas éveiller les soupçons. Mais le vrai objectif est de récupérer votre numéro de carte bancaire.
Faux SMS Ameli / Sécurité sociale
Le message vous annonce un remboursement en attente ou vous demande de mettre à jour votre carte Vitale.
📱 Exemple de SMS frauduleux :
« Ameli : vous avez un remboursement de 47,20 € en attente. Mettez à jour vos coordonnées bancaires pour recevoir votre virement :
http://ameli-remboursement.fr»
✅ Le bon réflexe : l'Assurance Maladie ne vous demande jamais vos coordonnées bancaires par SMS. Rendez-vous directement sur ameli.fr pour vérifier votre situation.
Faux SMS des impôts
Un remboursement fiscal vous est annoncé, ou une régularisation urgente est réclamée.
📱 Exemple de SMS frauduleux :
« DGFiP : un remboursement de 134,00 € vous est dû. Complétez votre dossier avant le 15 du mois :
http://impots-remboursement.gouv-fr.net»
⚠️ Le piège : l'URL contient le mot « gouv » pour paraître officielle, mais le vrai site des impôts est uniquement impots.gouv.fr. Tout autre domaine est frauduleux.
Les signaux qui doivent vous alerter
Voici les indices qui doivent immédiatement vous mettre en garde.
Checklist des signaux d'alerte :
Le message crée une urgence ou une menace (« sous 24 h », « votre compte sera bloqué »)
Un lien est inclus dans le SMS – surtout s'il est raccourci ou difficile à lire
On vous demande de rappeler un numéro que vous ne reconnaissez pas
Le message annonce un remboursement ou un gain inattendu
L'expéditeur est un numéro de téléphone ordinaire (pas un nom d'organisme)
On vous demande des informations bancaires, un mot de passe ou un code reçu par SMS
Le ton est alarmiste mais le message reste vague sur les détails
Tableau récapitulatif :
| Signal d'alerte | Ce que ça cache | Le bon réflexe |
|---|---|---|
| Lien vers un site inconnu | Faux site pour voler vos données | Ne cliquez pas – allez directement sur le site officiel |
| Urgence extrême (« 24 h ») | Pression pour vous faire agir sans réfléchir | Prenez le temps de vérifier par vous-même |
| Demande de code SMS | Vol de votre double authentification | Ne communiquez jamais un code reçu par SMS |
| Numéro à rappeler | Faux conseiller ou numéro surtaxé | Raccrochez et rappelez le numéro officiel |
| Remboursement inattendu | Appât pour récupérer vos coordonnées bancaires | Vérifiez sur l'espace officiel de l'organisme |
| Expéditeur inhabituel | Usurpation d'identité | Méfiez-vous même si le nom affiché semble connu |
✅ Le bon réflexe : c'est le signal le plus fiable – si un SMS vous demande d'agir vite, c'est précisément pour vous empêcher de vérifier. Ralentissez.
Vos réflexes : quoi faire face à un SMS suspect
Vous venez de recevoir un SMS qui vous semble douteux. Voici quoi faire, étape par étape.
Étape 1 – Ne cliquez sur rien
Ni sur le lien, ni sur un éventuel bouton. Même « se désabonner » peut être un piège.
Étape 2 – Vérifiez par vous-même
Contactez directement l'organisme mentionné dans le message – mais pas via les coordonnées du SMS. Utilisez le numéro au dos de votre carte bancaire, le site officiel que vous connaissez, ou votre espace personnel habituel.
Étape 3 – Signalez le message
Transférez le SMS au 33700 (service gratuit). Ce numéro, géré par les opérateurs téléphoniques français, permet de bloquer les expéditeurs frauduleux. Vous pouvez aussi signaler le message sur signal-spam.fr.
Étape 4 – Supprimez le SMS
Une fois signalé, supprimez le message de votre téléphone pour éviter tout clic accidentel ultérieur.
⚠️ Le piège : certains SMS de smishing ne contiennent pas de lien – ils vous demandent simplement de rappeler un numéro. Si vous appelez, vous tombez sur un faux conseiller qui va tenter de vous soutirer vos informations. Si un SMS vous incite à rappeler un numéro pour une prétendue alerte bancaire, consultez notre article sur le spoofing téléphonique avant de composer quoi que ce soit.
Si vous avez déjà répondu ou cliqué
Pas de panique. L'essentiel est d'agir vite – chaque minute compte.
Si vous avez communiqué des informations bancaires :
Appelez immédiatement votre banque pour faire opposition sur votre carte. Le numéro figure au dos de votre carte ou sur votre relevé de compte.
Vérifiez vos dernières opérations et signalez tout débit suspect à votre conseiller.
Conservez le SMS frauduleux comme preuve – ne le supprimez pas encore.
Si vous avez communiqué un mot de passe :
Changez ce mot de passe immédiatement sur le service concerné.
Changez-le aussi sur tous les autres sites où vous utilisez le même mot de passe.
Si vous avez cliqué sur un lien et que votre téléphone se comporte bizarrement :
Un logiciel malveillant a peut-être été installé. Contactez un technicien de confiance ou votre opérateur téléphonique.
Démarches officielles :
Signalez l'arnaque sur cybermalveillance.gouv.fr – le site vous guide selon votre situation.
Appelez Info Escroqueries au 0 805 805 817 (appel gratuit, lundi–vendredi 9h–18h30) pour être conseillé dans vos démarches.
Déposez plainte au commissariat ou à la gendarmerie, en apportant le SMS frauduleux et toute capture d'écran utile.
Signalez les opérations frauduleuses sur votre carte bancaire via la plateforme Perceval du ministère de l'Intérieur.
Si le smishing a été suivi d'un appel téléphonique d'un prétendu conseiller, consultez notre guide pour reconnaître une arnaque téléphonique – les techniques utilisées au téléphone sont différentes et méritent une attention particulière.
✅ Le bon réflexe : même si vous avez cliqué, vous n'êtes pas forcément victime d'un vol. Agir rapidement permet souvent de limiter les dégâts à zéro.
FAQ
Quelle est la différence entre phishing et smishing ?
Le phishing (hameçonnage) désigne l'arnaque par e-mail : vous recevez un faux message dans votre boîte mail qui vous redirige vers un faux site. Le smishing fonctionne exactement de la même façon, mais via SMS. Le canal change, le mécanisme reste identique : usurpation d'identité, urgence fabriquée, lien ou numéro piégé. Le smishing est souvent plus difficile à détecter car les SMS sont naturellement courts et moins formels que les e-mails.
Le smishing, c'est illégal ?
Oui, totalement. En France, le smishing peut être poursuivi sous plusieurs qualifications pénales. L'escroquerie (article 313-1 du Code pénal) est passible de 5 ans d'emprisonnement et 375 000 € d'amende. La collecte frauduleuse de données personnelles (article 226-18 du Code pénal) est également passible de 5 ans et 300 000 € d'amende. L'accès frauduleux à un système informatique (article 323-1 du Code pénal) peut entraîner jusqu'à 5 ans de prison. Les escrocs risquent donc de lourdes sanctions – ce qui ne les empêche pas d'opérer souvent depuis l'étranger.
Mon opérateur peut-il bloquer ces SMS ?
Partiellement. Les opérateurs français participent au dispositif 33700, qui permet de signaler et bloquer les expéditeurs frauduleux identifiés. Mais les escrocs changent régulièrement de numéros et d'expéditeurs, ce qui rend le blocage systématique impossible. Le meilleur filtre reste votre propre vigilance.
Un SMS peut-il infecter mon téléphone sans que je clique ?
Non. La simple réception d'un SMS ne suffit pas à infecter votre téléphone. C'est le clic sur un lien contenu dans le message qui peut déclencher le téléchargement d'un logiciel malveillant. Tant que vous ne cliquez pas et ne rappellez pas le numéro indiqué, vous ne risquez rien.
Comment savoir si un lien dans un SMS est frauduleux ?
Plusieurs indices : l'URL ne correspond pas exactement au site officiel de l'organisme (par exemple « ameli-remboursement.fr » au lieu de « ameli.fr »), le lien est raccourci (bit.ly, tinyurl…), ou le domaine contient des tirets et des mots supplémentaires. En cas de doute, ne cliquez jamais – allez directement sur le site officiel en le tapant vous-même dans votre navigateur.
Que faire si je reçois régulièrement des SMS frauduleux ?
Signalez chaque SMS suspect au 33700 en le transférant par SMS (service gratuit). Vous pouvez aussi vous inscrire sur Bloctel, la liste d'opposition au démarchage téléphonique, même si elle ne couvre pas tous les cas de smishing. Si vous recevez des SMS en réponse à des messages que vous n'avez jamais envoyés, votre numéro a peut-être été compromis – contactez votre opérateur.