Faux SMS de banque (smishing) : comment le reconnaître et réagir avant qu'il soit trop tard

Le SMS arrive en général au pire moment : en pleine journée de travail, entre deux réunions, avec un ton pressant qui ne laisse pas le temps de réfléchir. « Votre compte a été temporairement limité », « une transaction de 890 € est en attente de confirmation », « cliquez ici pour éviter le blocage de votre carte ». Le smishing bancaire, contraction de SMS et de phishing, repose entièrement sur ce réflexe de panique, et il fonctionne d'autant mieux que les messages ressemblent, chaque année, un peu plus aux vrais.

Qu'est-ce que le smishing bancaire

Le smishing est une technique d'hameçonnage qui utilise le SMS plutôt que l'e-mail pour tromper sa cible. Dans sa version bancaire, le message se fait passer pour une banque, un service de paiement ou parfois un opérateur de carte, et invite à cliquer sur un lien pour « sécuriser », « débloquer » ou « confirmer » une opération. Ce lien mène vers une page de connexion factice, copie quasi conforme du vrai site, qui capture les identifiants saisis puis, dans un second temps, redemande souvent le code de validation reçu par SMS pour valider une opération frauduleuse en temps réel sur le vrai compte de la victime.

Ce qui distingue le smishing d'un simple e-mail frauduleux, c'est le canal : un SMS s'affiche directement sur l'écran de verrouillage, se lit en quelques secondes, et bénéficie souvent d'une confiance a priori plus élevée qu'un e-mail, beaucoup de personnes restent méfiantes face aux e-mails suspects, mais réagissent avec moins de recul face à un SMS, canal perçu comme plus personnel et plus difficile à falsifier.

Les signaux qui doivent alerter

Certains éléments reviennent presque systématiquement dans les messages frauduleux, et leur combinaison doit déclencher la méfiance immédiate.

Signal observé	Ce qu'il indique généralement
Demande de cliquer sur un lien pour « débloquer » ou « sécuriser » le compte	Signal fort d'arnaque : les vraies alertes bancaires renvoient à ouvrir l'application, rarement à cliquer un lien direct
Délai très court annoncé (« sous 24h », « dans les 2 heures »)	Technique classique de mise sous pression pour empêcher la vérification
Demande du numéro complet de carte, du cryptogramme ou d'un code SMS	Signal quasi certain d'arnaque : une banque ne les demande jamais par ce canal
Fautes de français, formulations maladroites ou traduction approximative	Indice fréquent, mais de moins en moins fiable avec des messages de mieux en mieux rédigés
Lien vers un nom de domaine légèrement différent de celui de la banque	Signal fort, à vérifier lettre par lettre avant tout clic

3 informations qu'une banque ne demande jamais par SMS : numéro complet de carte, cryptogramme visuel, code de validation reçu par SMS

Pourquoi ces messages semblent si convaincants

Les campagnes de smishing les plus efficaces ne visent plus au hasard : elles s'appuient souvent sur des données personnelles déjà en circulation à la suite d'autres fuites de données (nom, numéro de téléphone, parfois banque habituelle), ce qui permet d'envoyer un message crédible plutôt qu'un message générique. Le message peut ainsi citer le bon nom, la bonne enseigne bancaire, voire un montant plausible au regard des habitudes de dépense de la cible.

La fausse page de connexion, elle, reproduit fidèlement la charte graphique de la banque visée : logo, couleurs, mise en page du formulaire de connexion. Beaucoup de victimes ne remarquent la supercherie qu'après coup, en réalisant que l'adresse affichée dans la barre du navigateur ne correspondait pas exactement au site habituel, un détail facile à manquer sur un écran de smartphone, où l'adresse complète n'est souvent pas visible sans action supplémentaire.

Le smishing ne mise pas sur la naïveté, mais sur la vitesse : moins la victime prend le temps de vérifier, plus l'arnaque a de chances de fonctionner.

Les bons réflexes en cas de doute

Vous avez cliqué ou communiqué vos données : que faire dans l'urgence

Un clic sur le lien ne signifie pas systématiquement une perte d'argent, mais toute donnée saisie sur la page qui a suivi doit être considérée comme compromise. La rapidité de réaction est déterminante.

1. Faire opposition immédiatement sur la carte bancaire concernée et, si des identifiants de connexion ont été saisis, sur l'accès en ligne au compte, via le numéro d'urgence habituel de la banque ou l'application si elle reste accessible.
2. Vérifier l'historique des opérations récentes à la recherche de transactions non reconnues, même de faible montant, souvent utilisées par les fraudeurs pour tester la validité des données avant une opération plus importante.
3. Contester par écrit toute opération frauduleuse auprès de la banque, qui dispose de procédures dédiées de remboursement en cas d'usage frauduleux avéré des données de paiement.
4. Signaler le SMS au 33700, le numéro national de signalement des SMS et appels frauduleux, en le transférant tel quel selon la procédure indiquée par le service.
5. Déposer plainte auprès des services de police ou de gendarmerie, ce document étant souvent demandé par la banque ou l'assurance pour finaliser un remboursement.

La logique de réaction rapide rejoint celle déjà détaillée pour une carte bancaire bloquée à l'étranger : dans les deux cas, contacter directement sa banque par un canal de confiance, plutôt que d'attendre, limite les conséquences. Si une opération frauduleuse a déjà été débitée, la démarche de contestation suit une logique proche de celle décrite pour contester un paiement en ligne par rétrofacturation.

Comment se protéger durablement

• Activer les alertes de mouvement proposées par la banque, par notification plutôt que par SMS lorsque c'est possible, pour repérer rapidement toute opération inhabituelle.
• Ne jamais enregistrer les codes de connexion ou de validation ailleurs que dans un gestionnaire de mots de passe dédié, jamais dans les notes du téléphone ou un fichier accessible.
• Vérifier régulièrement les relevés de compte plutôt que de se fier uniquement aux alertes automatiques, qui peuvent connaître des délais ou des lacunes.
• Se méfier de tout message créant une urgence, quel que soit l'expéditeur apparent : ce schéma se retrouve aussi dans d'autres arnaques, comme celles détaillées à propos des faux codes de vérification WhatsApp, qui utilisent le même ressort de pression temporelle.
• Signaler systématiquement tout SMS suspect, même sans y avoir répondu, pour contribuer au blocage des numéros frauduleux les plus actifs.