Qu'est-ce que le smishing ? Comment détecter et éviter les arnaques par SMS

Votre téléphone vibre. Un SMS vous informe que votre colis n'a pas pu être livré, que votre compte bancaire a été bloqué ou qu'un remboursement d'impôt vous attend. Un lien est inclus pour résoudre le problème. C'est du smishing — et cliquer sur ce lien est exactement ce que le fraudeur espère.

Le smishing est devenu l'une des formes de cybercriminalité les plus répandues en France. Contrairement aux e-mails, les SMS créent un sentiment d'urgence immédiat, ce qui les rend redoutablement efficaces.

Qu'est-ce que le smishing exactement

Le smishing combine "SMS" et "phishing". C'est une attaque par ingénierie sociale réalisée via des messages texte. Le fraudeur se fait passer pour une entité de confiance — une banque, un transporteur, un organisme public — pour vous inciter à cliquer sur un lien malveillant ou à communiquer des informations personnelles.

L'objectif est toujours le même : voler vos identifiants, vos informations financières ou installer un logiciel malveillant sur votre appareil.

Les schémas de smishing les plus courants

Faux avis de livraison

"La Poste : votre colis n'a pas pu être livré. Confirmez votre adresse ici : [lien]"

Avec l'essor du commerce en ligne, les faux avis de livraison sont la tactique de smishing la plus répandue. Ils imitent La Poste, Colissimo, Chronopost, DHL et Amazon.

Fausses alertes bancaires

"BNP Paribas : activité inhabituelle détectée sur votre compte. Vérifiez maintenant : [lien]"

Ces messages exploitent la peur. Ils imitent la BNP Paribas, la Société Générale, le Crédit Agricole, la Banque Postale ou des services de paiement comme PayPal et Lydia.

Faux messages des impôts

"Direction générale des finances publiques : vous avez droit à un remboursement de 380 €. Réclamez-le : [lien]"

L'administration fiscale française ne communique jamais par SMS avec des liens. Elle utilise le portail impots.gouv.fr et le courrier postal.

Faux gains et lots

"Félicitations ! Vous avez gagné une carte cadeau de 500 €. Réclamez-la sous 24 heures : [lien]"

Si vous n'avez pas participé à un concours, vous n'avez rien gagné.

Fausse vérification de compte

"Votre compte WhatsApp nécessite une vérification immédiate. Cliquez ici : [lien]"

WhatsApp, votre banque ou tout service légitime ne vous demandera jamais de vérifier votre compte via un lien dans un SMS.

Comment identifier un SMS de smishing

Vérifiez le numéro de l'expéditeur

Les messages de smishing proviennent souvent de numéros de téléphone ordinaires ou étrangers. Si un message prétend venir de votre banque mais provient d'un numéro mobile classique, ce n'est pas votre banque.

Repérez le langage d'urgence

"Agissez immédiatement", "sous 24 heures", "de toute urgence" ou "votre compte sera suspendu" sont des tactiques de manipulation conçues pour vous empêcher de réfléchir.

Examinez le lien

Signal d'alerte	Exemple
Domaine mal orthographié	la-poste-livraison.com au lieu de laposte.fr
TLD suspect	bnp-paribas.xyz
Adresse IP	http://192.168.1.1/verify
Sous-domaines superflus	credit-agricole.fr.verifier-maintenant.net

Attention aux formules génériques

"Cher client" ou "Cher utilisateur" au lieu de votre vrai nom. Les organisations qui ont votre numéro de téléphone connaissent généralement aussi votre nom.

Que faire si vous recevez un SMS suspect

1. Ne cliquez sur aucun lien. Même pas pour "voir ce que c'est".
2. Ne répondez pas. Répondre confirme que votre numéro est actif.
3. Signalez le message. Transférez le SMS au 33700 (numéro de signalement des spams SMS en France).
4. Bloquez l'expéditeur. Utilisez la fonction de blocage de votre téléphone.
5. Contactez directement l'organisme concerné. Via l'application officielle ou le site web officiel.

Si vous avez déjà cliqué

1. Changez vos mots de passe immédiatement — surtout ceux des comptes concernés.
2. Activez l'authentification à deux facteurs.
3. Contactez votre banque si vous avez communiqué des informations financières.
4. Vérifiez vos comptes pour détecter d'éventuelles transactions non autorisées.
5. Effectuez une analyse de sécurité sur votre appareil.
6. Déposez plainte auprès de la police ou de la gendarmerie, et signalez sur la plateforme Cybermalveillance.gouv.fr.

Checklist de prévention du smishing

• Ne jamais cliquer sur les liens dans des SMS inattendus
• Vérifier les messages en contactant directement l'organisme via son application ou site officiel
• Activer le filtre anti-spam sur son téléphone
• Utiliser un gestionnaire de mots de passe
• Maintenir le système d'exploitation de son téléphone à jour
• Activer l'authentification à deux facteurs sur tous les comptes importants

Partagez des liens en toute confiance

Quand vous devez partager des informations sensibles via WhatsApp — un mot de passe, un lien privé, une note confidentielle — utilisez un service conçu pour le partage sécurisé. LOCK.PUB vous permet de créer des liens protégés par mot de passe, où le destinataire accède toujours au contenu via le domaine vérifié lock.pub.

Contrairement aux liens de smishing qui masquent leur vrai objectif, les liens LOCK.PUB ne demandent aucune donnée personnelle. Le destinataire entre le mot de passe partagé et voit uniquement le contenu que vous avez choisi de partager.

Créer un lien protégé -->