Le smishing désigne l’hameçonnage diffusé par SMS : un message court, présenté comme provenant d’un organisme légitime, incite le destinataire à cliquer sur un lien piégé ou à rappeler un numéro contrôlé par des fraudeurs. La contraction de « SMS » et de « phishing » recouvre un éventail de scénarios qui va du faux avis de livraison au faux conseiller bancaire.
Comment opère une campagne de smishing
Une campagne de smishing repose sur l’envoi massif de messages contenant soit un lien vers une page frauduleuse, soit un numéro de téléphone à rappeler. La page imite l’interface d’un organisme connu — banque, transporteur, administration — et y collecte identifiants et codes de sécurité. Le numéro à rappeler aboutit sur un faux service client.
Le protocole SMS n’authentifie pas l’identité de l’expéditeur. Les fraudeurs peuvent afficher un nom alphanumérique de leur choix à la place du numéro émetteur, y compris celui d’une banque ou d’un service public. Les téléphones regroupant les messages par nom d’expéditeur, un SMS frauduleux peut ainsi s’insérer dans le fil de conversation où le destinataire reçoit habituellement ses alertes légitimes, ce qui renforce d’autant sa crédibilité.
Certaines campagnes remplacent par ailleurs le lien par un QR code, une déclinaison connue sous le nom de quishing ; d’autres passent par les messageries instantanées ou par RCS, le successeur du SMS. Le ressort relève dans tous les cas des techniques d’ingénierie sociale : un sentiment d’urgence entretenu par la menace de perdre l’accès à un service ou à un bien.
Les scénarios recensés par cybermalveillance.gouv.fr
La fiche réflexe consacrée à l’hameçonnage publiée par cybermalveillance.gouv.fr décrit plusieurs prétextes récurrents. Le faux avis de livraison en est un exemple caractéristique : un transporteur réclame des frais de douane ou de réexpédition, et le lien conduit à un formulaire de paiement frauduleux. Les faux messages bancaires jouent sur le registre de l’alerte : opération suspecte à confirmer ou carte prétendument bloquée.
Le dispositif national d’assistance aux victimes recense aussi les fausses amendes, les fausses vignettes Crit’Air et les messages usurpant le compte personnel de formation, qui invitent le titulaire à « récupérer » ses droits sous peine de les perdre. Les prétextes se renouvellent au fil de l’actualité autour d’une même mécanique de collecte de données.
Quand le SMS prépare l’appel téléphonique
Le smishing ne fonctionne pas toujours en circuit fermé. Le message sert souvent d’amorce à une escroquerie téléphonique : la victime qui compose le numéro tombe sur un prétendu conseiller, ou bien le SMS d’alerte est suivi peu après d’un appel du soi-disant service antifraude de la banque. Ce second temps relève du vishing, illustré par la fraude au faux conseiller bancaire : l’interlocuteur, crédibilisé par le SMS reçu en amont, obtient la validation d’opérations ou la communication de codes de sécurité.
Les outils d’IA générative facilitent la rédaction de messages sans faute et leur déclinaison en plusieurs langues, rapprochant le smishing du phishing augmenté par l’IA observé sur le courriel.
Ce que le smishing représente pour les banques et leurs clients
Un établissement financier est exposé sur deux fronts. Ses clients reçoivent des messages usurpant sa marque et son nom d’expéditeur ; même lorsque la fraude se déroule hors de son système d’information, il supporte le traitement des réclamations et des contestations d’opérations, ainsi qu’une atteinte à la confiance dans ses canaux de communication.
Ses collaborateurs sont visés eux aussi : des SMS attribués à un dirigeant ou au support informatique cherchent à obtenir un rappel ou un code d’authentification, un mode opératoire voisin de la fraude au président. Les codes à usage unique reçus par SMS constituent une cible de choix : des kits d’hameçonnage relaient en temps réel identifiants et code saisis vers le site légitime, contournant ainsi une authentification multifacteur fondée sur ces seuls codes.
Le canal mobile concentre une part croissante des interactions bancaires, donc de la surface d’attaque : les applications mobiles et leurs API font l’objet d’un ciblage spécifique. L’hameçonnage, toutes déclinaisons confondues, figure parmi les menaces les plus signalées par les particuliers sur la plateforme cybermalveillance.gouv.fr, comme le rappelle le panorama de l’évolution de la cybercriminalité en France.
Prévention : les recommandations publiées
Pour les particuliers
Face à un SMS inattendu, la fiche de cybermalveillance.gouv.fr conseille quelques réflexes simples :
- ne pas cliquer sur le lien ni rappeler le numéro contenu dans le message ;
- vérifier l’information en se connectant directement à l’application ou au site officiel de l’organisme concerné ;
- ne jamais communiquer de mot de passe ou de code de sécurité, données qu’aucune banque ne demande par SMS ;
- transférer le message frauduleux au 33700, dispositif national de signalement des SMS indésirables, puis le supprimer.
Pour les établissements
Côté banques et assurances, la prévention s’appuie sur la sensibilisation des collaborateurs comme des clients, à condition d’en mesurer les effets — l’efficacité de la sensibilisation cyber fait d’ailleurs débat parmi les équipes sécurité. La surveillance de l’usurpation de marque complète ce volet : repérer les noms de domaine, pages et expéditeurs SMS qui imitent l’établissement, puis engager les procédures de retrait auprès des hébergeurs et des opérateurs.
Sur le plan technique, les lignes directrices du NIST sur l’identité numérique distinguent les authentifiants résistants à l’hameçonnage, comme les clés FIDO et les passkeys, des codes à usage unique transmis par SMS, jugés vulnérables à l’interception et au relais. Le déploiement d’une authentification résistante au phishing, pour les clients comme pour les accès internes, prive ces campagnes du code de validation qu’elles cherchent à collecter.
Questions fréquentes sur le smishing
Que faire après avoir cliqué sur un lien reçu par SMS ?
Le clic seul entraîne rarement une compromission, mais toute donnée saisie sur la page doit être considérée comme volée. Cybermalveillance.gouv.fr recommande de changer sans attendre les mots de passe concernés, de prévenir sa banque si des coordonnées bancaires ont été communiquées et de faire opposition au besoin. Conserver le message peut servir de preuve en cas de dépôt de plainte.
Comment reconnaître un faux SMS de banque ou de livraison ?
Une demande pressante assortie d’une menace — compte bloqué, colis renvoyé — doit alerter, tout comme un lien raccourci ou un nom de domaine sans rapport avec l’organisme cité. Le nom d’expéditeur affiché n’offre aucune garantie, puisqu’il peut être usurpé. En cas de doute, la vérification passe par l’application ou le site officiel, jamais par le lien reçu.
À quoi sert le numéro 33700 ?
Soutenu par les opérateurs de téléphonie, le 33700 recueille les signalements de SMS et d’appels frauduleux ou indésirables. Transférer un message frauduleux à ce numéro alimente les dispositifs de blocage des numéros et des liens exploités par les fraudeurs. Le signalement peut aussi s’effectuer depuis le site 33700.fr.
Un code reçu par SMS suffit-il à protéger un compte bancaire ?
Ce type de code complique la tâche d’un fraudeur qui ne détiendrait que le mot de passe, mais il ne résiste pas à un scénario où la victime le saisit sur une fausse page ou le communique par téléphone. Les lignes directrices du NIST ne le considèrent pas comme résistant à l’hameçonnage, à la différence des passkeys et des clés de sécurité physiques.
