Smishing, c’est quoi ? Quand un SMS frauduleux cherche à te piéger

En bref : le smishing, c’est de l’hameçonnage par SMS

Le mot vient de « SMS » et de « phishing », l’hameçonnage. Un escroc t’envoie un message qui imite un service connu pour que tu cliques sur un lien, rappelles un numéro ou donnes des informations personnelles.

Un SMS frauduleux n’infecte pas ton téléphone tout seul : le piège ne se referme que si tu touches le lien et que tu saisis quelque chose sur la page qui s’ouvre. Et il ne te vise pas personnellement : il part en masse. Ça arrive à des personnes très attentives, surtout un jour de fatigue : un SMS se lit vite, souvent debout, et une phrase comme « dernier avis » donne envie de régler le problème tout de suite.

Comment le piège se déroule, étape par étape

Le schéma se répète d’un message à l’autre. Le connaître t’aide à le voir venir :

• Le message arrive avec un prétexte crédible : un compte à vérifier, un paiement refusé, un remboursement, une amende, un colis.
• Il te propose une sortie facile : un lien à toucher ou un numéro à rappeler.
• Le lien ouvre une page qui copie un vrai site, avec le même logo et les mêmes couleurs, et un formulaire de connexion ou de paiement.
• Tout ce que tu tapes (identifiant, mot de passe, numéro de carte, code reçu par SMS) est récupéré par l’escroc.

Les signes qui doivent t’alerter

Un seul signe ne prouve rien, mais plusieurs ensemble doivent te faire lever le pied :

• un ton pressant : « dernier avis », « sous quelques heures », « action requise » ;
• un lien raccourci, ou une adresse pleine de tirets qui ressemble vaguement à un nom connu ;
• un expéditeur que tu ne connais pas, ou un simple numéro de mobile ;
• un texte impersonnel, sans ton nom ni aucun détail que seul le vrai service connaîtrait ;
• une demande de te connecter, de payer ou de rappeler un numéro ;
• des fautes, des majuscules étranges ou un style qui sonne bizarrement.

Exemple fictif d’un faux message de compte suspendu

Exemple fictif : « Information importante : votre compte sera suspendu aujourd’hui. Confirmez vos informations ici : https://verif-compte-exemple.invalid/ouvrir »

Ici : aucun nom, une menace de sanction, un domaine sans rien d’officiel. Un vrai service ne te demande pas de confirmer tes identifiants par un lien reçu par SMS. Les marques imitées sont elles-mêmes victimes de l’usurpation.

Les réflexes qui protègent

• Ne clique pas, ne rappelle pas et ne réponds pas, même pour dire « ce n’est pas moi ».
• Si tu te demandes s’il y a un vrai problème, ouvre toi-même l’application officielle ou tape l’adresse du site à la main.
• Transfère le SMS au 33700, puis supprime-le et bloque l’expéditeur.
• Ne donne jamais un code reçu par SMS à quelqu’un qui te le demande : ce code sert à valider une opération à ton nom.

Si tu as déjà cliqué ou répondu

Si tu as seulement ouvert la page, ferme-la : en général, il ne s’est rien passé de grave. Si tu as tapé un mot de passe, change-le sans attendre. Si tu as saisi des données bancaires ou un code, préviens ta banque immédiatement. Garde une capture du message.

Où signaler un faux SMS

Transfère le SMS au 33700. Pour un site frauduleux, une plateforme officielle de signalement du ministère de l’Intérieur existe. Si tu as perdu de l’argent, ta banque passe en premier ; Cybermalveillance.gouv.fr peut t’orienter.

Ce qu’Alix peut faire pour toi

Je suis une IA : si tu me recopies un SMS (sans cliquer), je peux te dire ce qui ressemble à un piège connu. C’est un indice d’alerte, jamais une certitude, et je ne remplace ni ta banque, ni la police, ni un professionnel.