Smishing : comment reconnaître un lien SMS frauduleux

Le mot associe « SMS » et « phishing » (hameçonnage). C'est la version SMS du phishing par e-mail, et le cousin du vishing, l'arnaque par appel. Les escrocs profitent du fait que les administrations, les banques et les livreurs utilisent de plus en plus le SMS.

Cybermalveillance.gouv.fr distingue trois formes :

• Le lien vers un faux site qui demande vos données personnelles, bancaires ou vos mots de passe.
• Le lien qui pousse à installer une application ou une « mise à jour » piégée, capable de voler des mots de passe ou d'intercepter des codes de sécurité.
• Le SMS sans lien qui demande de rappeler un numéro, où un faux conseiller vous attend, parfois sur un numéro surtaxé.

Le détail, cas par cas (page ouverte, carte, code, mot de passe, application installée), est dans notre guide j'ai cliqué sur un lien dans un SMS : que faire ?

• Vous avez donné votre carte bancaire : faites opposition tout de suite auprès de votre banque ou du serveur interbancaire d'opposition (0 892 705 705, numéro surtaxé, 7 jours sur 7). Signalez une fraude à la carte sur la plateforme Perceval.
• Vous avez donné un mot de passe : changez-le sur le service concerné et partout où vous l'utilisiez. Pour un compte ameli, appelez le 3646.
• Gardez les preuves (le SMS, le numéro, les relevés) et portez plainte en cas de perte d'argent. Info Escroqueries conseille au 0 805 805 817 (gratuit).
• Signalez le SMS en le transférant au 33 700 sans ajouter de commentaire, ou sur 33700.fr. Voir où signaler une arnaque selon votre situation.

• Ne communiquez jamais d'informations sensibles à la suite d'un SMS.
• N'installez des applications que depuis les magasins officiels (App Store, Google Play).
• Activez le filtrage des expéditeurs inconnus de votre téléphone et les filtres de votre opérateur. Voir aussi bloquer les appels et messages indésirables.
• Ne rappelez pas un numéro inconnu donné dans un SMS : cherchez vous-même le numéro officiel. Si l'appel a déjà eu lieu, lisez appel frauduleux : que faire ?

En France, la CNIL encadre la prospection par SMS. Pour un particulier, l'envoi suppose son consentement préalable, chaque message doit permettre de savoir qui l'envoie, et il doit offrir un moyen simple et gratuit de ne plus en recevoir.

Un SMS qui respecte ces règles n'est pas forcément sûr pour autant : un escroc peut copier un nom d'expéditeur ou une mention de désinscription. À l'inverse, un SMS sans expéditeur identifiable, qui réclame un paiement par lien, doit vous alerter. Dans le doute, la règle reste la même : passer par l'application ou le site officiel.

• Sur Android, DYLETH analyse les SMS reçus et affiche une alerte expliquée en cas de risque. La liste « Messages vérifiés » montre chaque SMS avec une pastille rouge, orange ou verte, et une alerte vous prévient si un SMS vous demande de rappeler un numéro surtaxé ou signalé.
• Sur iPhone, un filtre SMS local range les messages d'arnaque dans « Indésirables ».
• Vérifier un message : coller ou partager sur Android et iPhone, capture d'écran sur iPhone seulement.

Le texte des messages vérifiés n'est pas conservé (sauf les 100 premiers caractères d'un SMS que vous signalez). Aucune publicité, aucune revente. L'application est gratuite. Télécharger DYLETH.

Qu'est-ce que le smishing ?

Le smishing, ou SMS phishing, est une arnaque par SMS. L'escroc se fait passer pour un livreur, une administration ou une banque et pousse à cliquer sur un lien frauduleux, à installer une application piégée ou à rappeler un faux conseiller.

Comment savoir si un lien reçu par SMS est frauduleux ?

Méfiez-vous d'un lien raccourci ou d'une adresse qui n'est pas exactement le domaine officiel, surtout si le message est urgent ou réclame un paiement. Le plus sûr est de ne pas cliquer et de passer par l'application ou le site officiel tapé vous-même.

J'ai cliqué sur un lien SMS frauduleux, que faire ?

Fermez la page sans rien saisir ni installer. Si vous avez donné votre carte, faites opposition tout de suite. Si vous avez donné un mot de passe, changez-le. Gardez les preuves et portez plainte en cas de perte d'argent.

Comment signaler un SMS frauduleux ?

Transférez le SMS au 33 700 sans ajouter de commentaire, ou signalez-le sur le site 33700.fr. Le signalement est gratuit.

Un vrai organisme peut-il m'envoyer un SMS ?

Oui, certains organismes envoient des SMS : ceux de l'Assurance Maladie viennent du 38 663 et commencent par « ASSURANCE MALADIE ». Mais aucun organisme sérieux ne demande par SMS vos coordonnées bancaires complètes ou votre mot de passe.