Arnaques SMS et Smishing : Le guide pour ne plus jamais se faire piéger

On l'a tous reçu : ce fameux SMS alarmant. "Info ANTAI : Vous avez un retard de paiement", ou "Chronopost : Votre colis est bloqué en douane, payez 1,99€".

Cette pratique s'appelle le smishing (hameçonnage par SMS). En tant qu'experte en cybersécurité, c'est l'attaque que je vois faire le plus de dégâts dans les familles, car le SMS a une "autorité" psychologique plus forte que l'email.

Voici comment déconstruire cette mécanique et ne plus jamais se faire avoir.

La mécanique psychologique du Smishing

Les pirates ne sont pas (toujours) des génies en informatique. Ils sont surtout d'excellents psychologues. Tous les faux SMS reposent sur le même triptyque :

1. L'urgence : "Dernier avis", "Compte bloqué dans 24h", "Majoration immédiate". Le but est de couper votre esprit critique en créant du stress.
2. L'autorité ou l'attente : Ils usurpent l'État (Impôts, ANTAI, Ameli), une banque, ou utilisent un événement universel (tout le monde attend toujours un colis).
3. L'appel à l'action direct : Un lien cliquable, souvent raccourci (type bit.ly) ou camouflé.

Les 3 règles d'or pour ne pas se faire piéger

1. Ne cliquez JAMAIS sur un lien dans un SMS

C'est la seule règle qui vous sauvera à tous les coups. Les impôts, la CAF, Ameli ou votre banque ne vous enverront jamais de lien cliquable par SMS pour régler un problème ou vous connecter. Si vous avez un doute (ex: vous attendez vraiment un colis), ouvrez le navigateur de votre téléphone et tapez vous-même "laposte.fr" ou "chronopost.fr" pour y entrer votre numéro de suivi.

2. Scrutez l'expéditeur (mais ne lui faites pas confiance)

Les escrocs envoient souvent leurs messages depuis des numéros de portables classiques (06 ou 07). Une institution (Impôts, Banque) utilise toujours des numéros courts à 5 chiffres (ex: 38XXX) ou affiche un nom d'expéditeur officiel. Attention : il est techniquement possible de falsifier le nom de l'expéditeur (spoofing). Un SMS venant de "AMELI" peut être un faux. Revenez à la règle n°1.

3. Fuyez les demandes d'informations bancaires

L'objectif final d'un faux SMS est toujours de vous amener sur une fausse page web, copie conforme de la vraie, pour vous faire saisir :

• Vos identifiants
• Votre numéro de carte bancaire
• Le code de sécurité reçu par SMS pour valider un paiement

Aucune administration française ne vous demandera votre carte bancaire par SMS ou via un lien direct pour payer "1,99€ d'affranchissement".

Que faire si vous avez cliqué ?

Si vous avez juste cliqué sur le lien et fermé la page en voyant l'arnaque : respirez. Vous ne risquez rien. Les virus par simple clic sur smartphone sont extrêmement rares. Si vous avez rempli vos coordonnées bancaires :

1. Appelez immédiatement le numéro d'urgence au dos de votre carte bancaire pour faire opposition.
2. Allez porter plainte au commissariat (ou en ligne via Thisé).
3. Signalez le faux SMS en le transférant au 33700 (plateforme de lutte contre les spams vocaux et SMS).