Le smishing : ce qu’est un faux SMS et comment le reconnaître

Ce que veut dire smishing

Le mot mélange SMS et phishing, le terme anglais pour les faux messages qui cherchent à pêcher les informations de celui qui les reçoit. Seul le canal change, et le réflexe reste le même que face à n’importe quel faux message qui vise vos informations. Cybermalveillance.gouv.fr décrit le smishing comme l’envoi d’un message court qui incite la victime à communiquer des données personnelles, des coordonnées de carte bancaire ou des identifiants de connexion.

Comme un SMS tient en quelques lignes, l’arnaque est courte : une alerte, un délai, un lien. Le détail manquant, celui qui paraîtrait bizarre dans un e-mail, passe tout seul dans un SMS, et c’est une des raisons pour lesquelles le format fonctionne aussi bien.

Le SMS n’est pas non plus le seul cas. Cybermalveillance.gouv.fr signale que certains messages ne contiennent aucun lien et incitent la victime à appeler un numéro, sous prétexte de faire opposition à une opération bancaire frauduleuse ou d’annuler un achat. Le message sert alors juste à amorcer un appel, et la suite ressemble beaucoup à ce que décrit notre article sur le vishing.

Les histoires les plus utilisées dans un SMS

Les sujets reviennent parce qu’ils collent à presque tout le monde en même temps. Un colis en attente, des frais de livraison à régler, une amende, un compte en ligne ou bancaire bloqué, une carte Vitale à mettre à jour, un compte de formation à réactiver. Le message n’a pas besoin de savoir quel colis est le vôtre. Il lui suffit que vous en attendiez un.

Dans son bilan de l’hameçonnage en 2025, Cybermalveillance.gouv.fr cite les fausses notifications de livraison réclamant un ou deux euros, les faux messages qui reprennent l’identité de l’Agence nationale de traitement automatisé des infractions et du site des amendes, et, nouveauté de 2025, les messages qui réclament le paiement d’un prétendu trajet d’autoroute impayé. Les entreprises et les administrations dont le nom est repris dans ces SMS ne sont pas à l’origine des messages : elles sont visées, elles aussi.

Les petites sommes baissent la garde. La page peut demander une carte et quelques données personnelles pour encaisser un ou deux euros, alors que ce qui compte vraiment, ce sont les informations qui serviront plus tard. Un montant faible, un délai court et un sujet du quotidien sont les outils habituels de l’ingénierie sociale, c’est-à-dire de la conversation et de la pression qui poussent quelqu’un à agir avant de vérifier.

Cet exemple est inventé. Il reprend une situation qui existe vraiment, sans copier le message, la charte ni le numéro d’une entreprise réelle.

Pourquoi le SMS peut sembler vrai

Certains téléphones regroupent les messages par nom d’expéditeur, si bien qu’un faux SMS peut se ranger dans la même conversation que les vrais messages d’une entreprise. Se trouver dans ce fil ne prouve rien : cela veut seulement dire que le nom affiché correspondait.

Le numéro à l’écran ne vaut pas mieux comme preuve. Les informations présentées par l’expéditeur peuvent être falsifiées, et Cybermalveillance.gouv.fr relève dans son rapport d’activité 2025 une augmentation de 517 % des demandes d’assistance liées à l’usurpation de numéro de téléphone. Un texte bien écrit et votre prénom dans le message ne prouvent rien non plus, parce que les deux coûtent presque rien à produire.

Ce qui vaut la peine d’être lu, c’est la forme de la demande. Regardez si le message crée un délai court, s’il ne propose qu’une seule façon de régler le problème, et si cette façon passe par un lien du message plutôt que par un compte que vous avez déjà.

Pourquoi les filtres et le blocage n’arrêtent pas tout

Les opérateurs et les fabricants de téléphones filtrent une partie de ces messages, et cela vaut la peine d’activer ce qui existe sur votre appareil. Les applications de messages permettent en général de bloquer un expéditeur et de marquer un message comme indésirable, et certains téléphones savent ranger à part les messages venant de numéros inconnus. Les deux réduisent le volume.

Aucun des deux n’est un mur. Les campagnes changent de numéro en permanence, donc bloquer un expéditeur arrête ce numéro et rien d’autre. Des messages envoyés par des applications de messagerie ou par des passerelles internet arrivent aussi sous une forme que le filtre ne connaît pas. En 2025, Cybermalveillance.gouv.fr signale d’ailleurs des campagnes d’hameçonnage passant par une application de messagerie, en dehors du SMS classique.

Traitez donc le filtre comme quelque chose qui réduit le nombre de fois où vous devez décider, pas comme quelque chose qui décide à votre place. Un message qui est passé n’est pas plus vrai parce qu’il est passé, et la vérification qui compte se fait toujours en dehors du message.

Vérifier une livraison ou un prélèvement ailleurs que dans le SMS

Pour une livraison, ouvrez l’application ou tapez le site du commerçant chez qui vous avez acheté, ou celui du transporteur, et regardez la commande déjà enregistrée. Pour une banque ou une carte, ouvrez l’application officielle et lisez les opérations et les alertes qui s’y trouvent. Ne recopiez pas un numéro de suivi, un numéro de téléphone ou une adresse depuis le SMS suspect pour lancer cette recherche : un numéro de suivi inventé pour l’arnaque ne vous ramènera qu’à l’arnaque.

Le même réflexe vaut pour une amende ou un dossier administratif. Un dossier réel se retrouve en vous connectant vous-même à votre espace personnel sur le site en .gouv.fr concerné. Si rien n’apparaît dans le compte officiel, ne payez pas pour débloquer ou régulariser quoi que ce soit. Il n’existe pas de vraie somme due qui ne puisse se régler que par un lien reçu dans un SMS.

Si le message vous demande d’installer une application, que ce soit pour sécuriser un compte, libérer une livraison ou mettre à jour un outil bancaire, ne l’installez pas. Les applications s’installent depuis la boutique officielle de votre téléphone, jamais depuis un lien arrivé par message. Un logiciel installé comme cela peut donner à l’expéditeur un accès à votre téléphone, et de là à tout ce que vous y ouvrez.

Ne répondez pas, bloquez, signalez au 33700

Ne répondez pas, même pour dire que vous avez repéré l’arnaque ou pour demander qu’on vous laisse tranquille, et n’appelez pas le numéro indiqué, parce que ce numéro fait partie du montage. Une réponse confirme que la ligne est active et en attire d’autres.

Transférez ensuite le message au 33700, la plateforme de signalement des SMS et appels indésirables portée par les opérateurs. Le transfert est gratuit : vous recevez un SMS automatique en retour, auquel vous répondez en indiquant le numéro de l’expéditeur. Le site permet aussi de signaler par formulaire ou par capture d’écran, et les signalements sont transmis chaque jour aux opérateurs. Pour un appel frauduleux, le principe est le même : un SMS au 33700 avec la mention spam vocal suivie du numéro qui vous a appelé.

Bloquez enfin l’expéditeur dans votre application de messages et marquez le message comme indésirable. Si vous voulez être guidé sur la suite, 17Cyber, proposé par la police nationale, la gendarmerie nationale et Cybermalveillance.gouv.fr, pose quelques questions et indique les démarches. Info Escroqueries répond au 0 805 805 817, du lundi au vendredi de 9 h à 18 h 30, appel et service gratuits.

Si vous avez déjà cliqué sur le lien

Fermez la page. Si vous n’avez rien tapé, il n’y a presque certainement rien à craindre, et il n’y a aucune raison d’y retourner pour vérifier. Ce qui compte, c’est de savoir si vous avez saisi quelque chose ou payé.

1. Si vous avez saisi des données de carte, faites opposition tout de suite. Par l’application de votre banque, par le numéro imprimé au dos de la carte, ou par le serveur interbancaire d’opposition au 0 892 705 705, joignable 24 heures sur 24, et gardez le numéro d’enregistrement. Demandez aussi une nouvelle carte.
2. Si de l’argent est parti autrement, appelez votre banque immédiatement, dites que c’est une fraude et demandez ce qui est possible pour ce moyen de paiement. Pour une opération que vous n’avez pas autorisée, service-public.gouv.fr rappelle que la banque doit rembourser immédiatement, au plus tard à la fin du premier jour ouvrable suivant votre contestation, et que le délai pour contester est de 13 mois. Pour un virement que vous avez validé vous-même, même trompé, l’argent ne peut pas être repris sans l’accord de celui qui l’a reçu, donc tout se joue sur la rapidité.
3. Si vous avez tapé un mot de passe, changez-le sur le site officiel, et changez-le partout où vous utilisiez le même. Activez la double authentification, pour que le mot de passe seul ne suffise plus.
4. Gardez les preuves avant de supprimer quoi que ce soit. Faites une capture du SMS, notez l’adresse ouverte par le lien et l’heure d’arrivée du message, conservez les justificatifs. Un signalement est plus utile avec ces éléments, et une contestation bancaire les demande souvent.
5. Signalez et portez plainte. Le SMS se transfère au 33700. Si votre carte a servi alors qu’elle est restée en votre possession et que l’opposition est faite, signalez les achats frauduleux sur Perceval, qui vous renvoie un récépissé utile pour la banque, sans remplacer une plainte. La plainte se dépose en commissariat ou en brigade de gendarmerie, et une partie des escroqueries en ligne peut se déposer sur THESEE. Si un faux site marchand est en cause, signalez-le sur SignalConso, le service de la répression des fraudes.

Si le SMS a été suivi d’un appel de quelqu’un qui se présente comme le service antifraude de la banque, lisez comment fonctionne un appel frauduleux avant de rappeler qui que ce soit. Les deux moitiés sont souvent montées par les mêmes personnes.

Questions fréquentes sur le smishing