Le phishing par SMS, ou smishing, désigne l’envoi de messages courts frauduleux qui usurpent l’identité d’un organisme connu pour inciter le destinataire à cliquer sur un lien ou à transmettre des données personnelles. Cette technique, longtemps marginale face au phishing par email, connaît une progression marquée dans les pays francophones, portée par l’usage massif du téléphone mobile et la confiance encore élevée accordée aux SMS.
Smishing et messageries instantanées : des canaux qui se combinent
Le smishing ne se limite plus au SMS classique. L’Arcep distingue désormais l’hameçonnage par SMS/MMS de celui mené via des messageries instantanées comme WhatsApp, Facebook Messenger, Telegram ou Instagram. Cette extension des canaux complique la détection.
A lire en complément : L'authentification à double facteur freine l'usurpation d'identité
Un SMS frauduleux peut contenir un lien qui redirige vers une conversation WhatsApp, où un faux conseiller poursuit l’échange. Le passage d’un canal à l’autre brouille les repères du destinataire, qui associe souvent la messagerie instantanée à ses contacts personnels.
La fraude ne transite plus par un seul canal, mais par une chaîne de messages croisés. Cette hybridation rend les filtres anti-spam des opérateurs moins efficaces, car une partie de l’arnaque se déroule hors du réseau SMS traditionnel.
A lire également : Les objets connectés représentent un nouveau défi de cybersécurité
Arnaque Wero et faux services de paiement : le smishing s’adapte aux nouveaux usages bancaires
Les fraudeurs ajustent leurs scénarios à mesure que de nouveaux services apparaissent. En 2026, 01net a signalé une arnaque au faux paiement Wero, le système de paiement instantané européen. Le SMS imite une notification de transaction et invite la cible à « confirmer » ou « annuler » un virement via un lien piégé.
Ce type de campagne illustre une règle constante du smishing : chaque nouveau service de paiement génère une nouvelle vague de SMS frauduleux. Les attaquants parient sur la méconnaissance du fonctionnement réel du service pour provoquer un clic réflexe.
Le schéma se retrouve avec les faux remboursements d’impôts, les faux colis en attente ou les fausses contraventions. Selectra a documenté des campagnes de faux SMS de remboursement d’impôts pendant l’été 2026. Le prétexte change, le mécanisme reste identique : urgence simulée, lien vers un site frauduleux, collecte de données bancaires.
SMS frauduleux dans les pays francophones hors France : Tunisie, Nouvelle-Calédonie, Belgique
Le phishing par SMS ne se concentre pas sur un seul pays. Les campagnes s’adaptent aux contextes administratifs locaux, ce qui les rend plus crédibles.
- En Tunisie, des faux SMS de contraventions routières redirigent vers de faux portails officiels. Les numéros d’envoi sont souvent étrangers, mais le contenu du message cite des références locales pour paraître légitime.
- En Nouvelle-Calédonie, le gouvernement a publié une alerte spécifique face à une vague de phishing par SMS ciblant les Calédoniens, avec des messages imitant des services administratifs du territoire.
- En Belgique et en Suisse romande, les scénarios les plus courants reprennent les mêmes thèmes qu’en France (livraison de colis, banque, impôts), mais adaptent les noms d’organismes et les numéros de téléphone.
La localisation du contenu est la clé du taux de réussite de ces campagnes. Un SMS qui cite un service administratif local et utilise un vocabulaire familier au destinataire a beaucoup plus de chances de provoquer un clic qu’un message générique.
Mécanisme technique du smishing : du clic au vol de données
Comprendre le fonctionnement technique d’une attaque par SMS aide à détecter les signaux d’alerte. Le processus suit généralement trois étapes.
Le message arrive sur le téléphone avec un expéditeur qui peut afficher un nom d’entreprise au lieu d’un numéro, grâce à la personnalisation des identifiants d’envoi SMS (technique dite de spoofing d’identifiant). Cette fonctionnalité, légitime pour les entreprises, est détournée par les fraudeurs.
Le lien contenu dans le SMS mène vers un site qui reproduit l’apparence d’un site officiel. L’URL utilise souvent un nom de domaine proche du vrai, avec une légère variation orthographique. La victime y saisit ses identifiants, ses coordonnées bancaires ou un code de validation reçu par SMS.
Dans certaines variantes plus élaborées, un faux conseiller bancaire appelle la victime dans les minutes qui suivent, en s’appuyant sur les informations déjà collectées pour paraître crédible. Cybermalveillance.gouv.fr a documenté cette combinaison smishing-vishing (appel vocal frauduleux), qui représente les pertes financières les plus lourdes par victime.
Signalement au 33700 et conservation des preuves : deux réflexes concrets face aux SMS frauduleux
Face à un SMS suspect, deux actions sont recommandées par Cybermalveillance.gouv.fr et l’Arcep.
La première consiste à transférer le SMS au 33700, la plateforme de signalement des SMS et appels indésirables. Ce transfert alimente une base de données partagée entre opérateurs, qui permet de bloquer les numéros émetteurs et de couper les liens frauduleux plus rapidement.
La seconde action, moins connue, est la conservation du message reçu. Supprimer immédiatement le SMS empêche le traitement du signalement et complique un éventuel dépôt de plainte. Garder le SMS (ou une capture d’écran incluant le numéro d’expéditeur, la date et le contenu) constitue une preuve exploitable.
- Ne pas cliquer sur le lien contenu dans le SMS, même pour « vérifier ».
- Transférer le message au 33700 avant de le supprimer.
- En cas de clic accidentel, changer immédiatement les mots de passe des comptes potentiellement compromis et contacter sa banque.
- Déposer plainte en ligne via la plateforme THESEE ou en commissariat si des données bancaires ont été communiquées.
Le smishing progresse parce qu’il exploite un canal perçu comme fiable et personnel. Les filtres anti-spam des messageries email, perfectionnés depuis des années, n’ont pas d’équivalent aussi mature sur le réseau SMS. Tant que cet écart persiste, le SMS restera un vecteur privilégié pour les campagnes de phishing dans l’espace francophone.
