Le smishing : phishing par SMS
Le "smishing" (SMS + phishing) explose en France. Plus difficile à filtrer que les emails, ces SMS frauduleux font des ravages.
Pourquoi les SMS sont plus dangereux
| Email | SMS | |-------|-----| | Filtres anti-spam puissants | Peu de filtrage | | On peut voir l'adresse complète | Numéro souvent masqué | | Lecture sur ordinateur (écran large) | Lecture sur mobile (écran petit) | | On prend le temps | Réponse impulsive |
Les 5 étapes d'analyse
Étape 1 : Identifier l'expéditeur
Ce que vous voyez :
- Un numéro court (38xxx, 36xxx)
- Un numéro standard (06, 07, +33)
- Un nom (AMELI, COLISSIMO)
Ce qu'il faut savoir :
- Les numéros courts sont faciles à usurper
- Un nom affiché (CHRONOPOST) peut être falsifié
- Les vrais SMS de services publics viennent rarement de +33 6/7
Numéros courts légitimes courants : | Service | Numéro | |---------|--------| | Ameli | 38663 | | Impôts | 38695 | | CAF | 36126 |
Étape 2 : Analyser le contenu
Signaux d'alerte dans le texte :
- ❌ Urgence ("URGENT", "24h", "immédiatement")
- ❌ Menaces ("suspension", "blocage", "frais")
- ❌ Promesses ("remboursement", "gain", "colis")
- ❌ Fautes d'orthographe
- ❌ Mélange de majuscules/minuscules anormales
Les classiques :
"AMELI: Votre carte vitale arrive à expiration. Renouvelez-la: [lien]"
"Chronopost: Votre colis est bloqué. Frais de douane: 1.95€ [lien]"
"Impots.gouv: Remboursement de 278.50€ validé. Réclamez: [lien]"
Étape 3 : Décortiquer le lien
Sur mobile, appuyez longuement sur le lien pour voir l'URL sans l'ouvrir.
Analyse du domaine :
https://ameli-renouvellement-carte.service-client.xyz/form
^^^^^^^^^^^^^^^^^^^^^^^^ ^^^^^^^^^^^^^^^^^^ ^^^
Sous-domaine (piège) Domaine réel TLD suspect
Le vrai domaine est juste avant le TLD. Ici : service-client.xyz (frauduleux).
Les vrais domaines :
- ameli.fr (pas ameli-xyz.fr)
- impots.gouv.fr (pas impots.fr.com)
- laposte.fr (pas la-poste.xyz)
Étape 4 : Vérifier par un autre canal
Ne jamais répondre au SMS ni cliquer sur le lien.
À la place :
- Ouvrez l'app officielle du service (Ameli, Impots.gouv)
- Ou tapez l'URL officielle dans votre navigateur
- Connectez-vous normalement
- Vérifiez si vous avez une notification
Si c'est urgent et réel, l'information sera aussi sur le site/app officiel.
Étape 5 : Signaler
33700 : Le numéro pour signaler les SMS frauduleux
- Transférez le SMS au 33700
- C'est gratuit et contribue à bloquer les arnaqueurs
Signal-spam.fr : Pour un signalement plus détaillé
Exemples d'analyse
Exemple 1 : SMS "Ameli"
De: AMELI
Votre carte Vitale expire le 15/02. Pour eviter
l'interruption de vos droits, renouvelez-la sur:
carte-vitale-ameli.fr/renouvellement
Analyse : | Élément | Verdict | |---------|---------| | Expéditeur "AMELI" | ⚠️ Peut être usurpé | | "carte Vitale expire" | ❌ La carte Vitale n'expire pas | | "éviter" sans accent | ❌ Faute | | Domaine carte-vitale-ameli.fr | ❌ Faux (le vrai est ameli.fr) |
Verdict : 100% frauduleux
Exemple 2 : SMS "Colis"
De: +33 7 89 01 23 45
Votre colis est en attente au point relais.
Confirmez la livraison: https://bit.ly/3xYz123
Analyse : | Élément | Verdict | |---------|---------| | Numéro mobile | ❌ Les transporteurs utilisent des numéros courts | | Pas de référence colis | ❌ Aucune info identifiante | | URL raccourcie bit.ly | ❌ Les services officiels n'utilisent pas ça |
Verdict : Frauduleux
Exemple 3 : SMS "Impôts"
De: 38695
Suite à votre déclaration, un remboursement de
184.50€ a été validé. Consultez votre espace sur
impots.gouv.fr
Analyse : | Élément | Verdict | |---------|---------| | Numéro 38695 | ✅ Numéro officiel des impôts | | Pas de lien cliquable | ✅ Incite à aller sur le site directement | | Montant précis | ⚠️ À vérifier sur le site | | Domaine impots.gouv.fr | ✅ Correct |
Verdict : Probablement légitime, mais vérifiez sur impots.gouv.fr directement
Les numéros courts officiels
| Service | Numéro | |---------|--------| | Ameli | 38663 | | Impôts | 38695 | | CAF | 36126 | | La Poste | 38004 | | SNCF | 4950 |
Attention : Ces numéros peuvent être usurpés. Le numéro seul ne garantit rien.
Que faire si vous avez cliqué ?
- Fermez immédiatement la page
- Ne remplissez rien si un formulaire s'affiche
- Signalez au 33700
- Si vous avez donné des infos, suivez notre guide "J'ai cliqué sur un lien de phishing"
En résumé
Les SMS de phishing sont plus difficiles à analyser que les emails, mais les mêmes principes s'appliquent : vérifiez l'expéditeur, analysez le contenu, décortiquez les liens, et vérifiez toujours via les canaux officiels. Ne faites jamais confiance à un SMS qui vous demande de cliquer sur un lien.