Smishing (Hameçonnage par SMS) : Arnaque par SMS expliquée
Le smishing, contraction de SMS et phishing, représente l'une des menaces de cybercriminalité qui connaît la croissance la plus rapide, la Commission fédérale du commerce signalant une augmentation de 146 % des signalements de fraude basée sur les SMS entre 2020 et 2023. Ces attaques exploitent l'immédiateté et la confiance associées à la messagerie texte, les victimes perdant en moyenne 800 $ par incident. Contrairement à l'hameçonnage par courrier électronique qui est souvent filtré, les messages texte ont un taux d'ouverture de 98 % et sont lus dans les trois minutes suivant la réception, ce qui en fait des vecteurs d'attaque exceptionnellement efficaces. Les arnaqueurs envoient des messages texte frauduleux se faisant passer pour des banques, des services de livraison, des agences gouvernementales ou des employeurs pour créer une urgence et la panique. Ces messages contiennent généralement des liens malveillants menant à des sites Web falsifiés conçus pour recueillir les identifiants de connexion, les numéros de carte de crédit, les numéros de sécurité sociale ou d'autres informations sensibles. Le Centre de plaintes Internet du Federal Bureau of Investigation a reçu plus de 52 000 plaintes de smishing en 2023 seul, les pertes totales dépassant 42 millions de dollars. Ce qui rend le smishing particulièrement dangereux est sa capacité à contourner les mesures de sécurité traditionnelles. Les appareils mobiles manquent souvent des filtres de spam robustes et des logiciels de sécurité présents sur les ordinateurs, et les utilisateurs font généralement plus confiance aux messages texte qu'aux courriers électroniques. Les attaquants exploitent la technologie d'usurpation d'identité pour que les messages semblent provenir de numéros de téléphone légitimes ou de codes courts d'entreprises, et ils exploitent des déclencheurs psychologiques tels que la peur de la fermeture de compte, les échecs de livraison de colis ou les problèmes fiscaux pour inciter à une action immédiate sans réflexion critique.
Tactiques courantes
- •Arnaque à la livraison de colis où les fraudeurs envoient des textes affirmant qu'un colis est retardé, non livré ou nécessite une action immédiate, avec des liens vers des sites FedEx, UPS, USPS ou Amazon contrefaits conçus pour voler les informations de paiement ou les identifiants de connexion.
- •Alertes de sécurité de compte bancaire qui prétendent à tort à une activité suspecte, à des comptes verrouillés ou à une vérification requise, utilisant des numéros usurpés correspondant à la banque réelle de la victime pour paraître légitime et diriger les utilisateurs vers des sites de récupération d'identifiants.
- •Messages d'usurpation d'identité fiscale ou gouvernementale affirmant des impôts non payés, la suspension de la sécurité sociale, l'éligibilité aux paiements de relance ou des menaces de mandat qui exigent un paiement immédiat par cartes-cadeaux, virements bancaires ou cryptomonnaies pour résoudre des problèmes fabriqués.
- •Attaques de contournement d'authentification à deux facteurs où les arnaqueurs envoient des codes semblant provenir de services légitimes, trompant les victimes pour qu'elles transmettent les codes d'authentification qui accordent l'accès aux comptes réels dans les minutes suivant l'interception.
- •Notifications de prix et de loteries prétendant à tort à des gains de loterie, des récompenses en cartes-cadeaux ou des prix de concours qui exigent que les victimes paient des frais de traitement, fournissent des détails bancaires ou cliquent sur des liens malveillants pour réclamer des gains inexistants.
- •Arnaque à l'emploi et à la paie ciblant les employés avec de faux messages des départements RH ou des cadres demandant des informations W-2, des changements de dépôt direct ou des virements urgents, souvent programmés pendant les périodes chargées quand la vérification est moins probable.
Comment l'identifier
- Messages texte inattendus provenant de numéros ou de codes courts inconnus prétendant représenter des entreprises familières, surtout si vous n'avez pas de transactions en attente, de livraisons ou de problèmes de compte avec cette organisation.
- Langage urgent créant une pression temporelle artificielle telle que « répondre dans les 24 heures », « action immédiate requise » ou « le compte sera fermé » conçu pour contourner votre scepticisme naturel et forcer des décisions hâtives.
- URL raccourcies ou liens suspects qui ne correspondent pas au domaine officiel du prétendu expéditeur, utilisant souvent bit.ly, tinyurl.com ou des variations mal orthographiées de sites Web d'entreprises légitimes.
- Demandes d'informations sensibles par texte, y compris les mots de passe, les numéros de sécurité sociale, les détails de carte de crédit ou les numéros d'identification personnels de compte, que les organisations légitimes ne demandent jamais par SMS.
- Salutations génériques comme « Cher client » ou « Titulaire de compte » au lieu de votre nom réel, indiquant des messages d'arnaque distribués en masse plutôt que des communications personnalisées d'entreprises qui connaissent votre identité.
- Erreurs de grammaire et d'orthographe, formatage inhabituel ou phrasé maladroit qui diffère du style de communication professionnel des organisations légitimes, indiquant souvent une traduction à partir d'opérations d'arnaque étrangères.
Comment se protéger
- Ne cliquez jamais sur les liens dans les messages texte non sollicités, même s'ils semblent légitimes ; à la place, tapez manuellement le site Web officiel de l'entreprise dans votre navigateur ou utilisez son application officielle pour vérifier directement l'état de votre compte.
- Activez l'authentification multifacteur utilisant les applications d'authentification plutôt que les codes SMS lorsque possible, car l'authentification à deux facteurs basée sur SMS reste vulnérable aux échanges de carte SIM et aux attaques d'interception par des criminels sophistiqués.
- Vérifiez les messages suspects en contactant l'organisation directement en utilisant les numéros de téléphone du site Web officiel ou du verso de votre carte de crédit, ne jamais utiliser les informations de contact fournies dans le texte suspect lui-même.
- Signalez les tentatives de smishing à votre opérateur mobile en transférant les textes suspects au 7726 (SPAM), ce qui aide les fournisseurs à identifier et bloquer les messages d'arnaque tout en contribuant à des bases de données plus larges de prévention de la fraude.
- Installez un logiciel de sécurité mobile qui comprend une protection anti-hameçonnage et mettez à jour régulièrement le système d'exploitation de votre téléphone pour corriger les vulnérabilités que les attaques de smishing exploitent pour installer des malwares ou des logiciels espions.
- Enregistrez votre numéro de téléphone auprès du registre national de non-appel et soyez particulièrement prudent avec tout texte prétendant avoir besoin de codes de vérification, car les entreprises légitimes ne vous demanderont jamais de partager les codes d'authentification par aucune méthode de communication.
Cas réels
Un résident de Chicago a reçu un texte semblant provenir de USPS déclarant que son colis n'était pas livrable en raison d'une adresse incorrecte et fournissant un lien pour mettre à jour les informations de livraison. Le lien menait à un site Web USPS contrefait convaincant qui demandait ses informations de carte de crédit pour des frais de relivrais de 3,49 $. Après avoir entré ses informations, les arnaqueurs ont immédiatement effectué 2 400 $ de charges frauduleuses et ont vendu ses informations de carte sur le darknet, entraînant des mois de complications d'usurpation d'identité.
Un petit entrepreneur au Texas a reçu un texte semblant provenir du code court officiel de sa banque avertissant d'une activité suspecte du compte et lui ordonnant de vérifier son identité immédiatement en cliquant sur un lien. Le faux site bancaire a capturé son nom d'utilisateur, son mot de passe et les réponses à ses questions de sécurité. En 45 minutes, les arnaqueurs ont lancé des virements totalisant 18 000 $ vers des comptes à l'étranger avant que l'entrepreneur ne découvre la fraude en consultant son application bancaire légitime.
Un couple âgé en Floride a reçu des textes affirmant qu'il devait 847 $ d'impôts non payés et faisait face à une arrestation dans les 72 heures à moins de payer immédiatement par cartes-cadeaux. Le message comprenait un numéro de rappel vers un faux agent des impôts qui les a pressés lors d'un appel téléphonique de trois heures d'acheter 5 000 $ en cartes iTunes et Google Play, en dictant les numéros de carte par téléphone avant que le couple ne réalise qu'aucune agence gouvernementale légitime n'accepte les paiements par cartes-cadeaux.
Questions fréquentes
Comment puis-je savoir si un message texte prétendant provenir de ma banque ou d'une société de livraison est en réalité une arnaque ?
Que dois-je faire si j'ai accidentellement cliqué sur un lien dans un SMS de smishing et saisi mes identifiants ou informations personnelles ?
Pourquoi les messages texte sont-ils plus dangereux que le phishing par email, et comment les escrocs rendent-ils leurs messages crédibles ?
Comment me protéger contre les attaques de smishing sans manquer les messages légitimes des entreprises avec lesquelles je fais réellement affaire ?
Si un escroc a accédé à mon compte en utilisant un code d'authentification à deux facteurs volé, puis-je récupérer mon compte et l'empêcher de l'utiliser à nouveau ?
Où signaler — France
Canaux officiels de votre région pour signaler cette escroquerie.
Cybermalveillance.gouv.fr
CybercriminalitéPlateforme officielle d'assistance aux victimes d'actes de cybermalveillance.
Pharos (signalement)
SignalementSignalement officiel des contenus et comportements illicites en ligne.
Info Escroqueries
Numéro vertNuméro vert national pour les victimes d'escroqueries (du lundi au vendredi).
DGCCRF SignalConso
Protection des consommateursSignalement des problèmes rencontrés avec une entreprise.
Vous pensez avoir rencontré cette arnaque ?
How to cite this guide
Use this when referencing ScamLens content in articles, research, AI responses, or social media.
According to ScamLens (scamlens.org), smishing (hameçonnage par sms) : arnaque par sms expliquée is described at https://scamlens.org/fr/encyclopedia/smishing-sms-phishing.