Aller au contenu

Smishing (hameçonnage par SMS)

En clair

Le même piège que l'hameçonnage, mais par SMS. Le message paraît venir de votre banque et le lien mène à une fausse page. Sur un téléphone, l'adresse est tronquée : c'est ce qui rend le SMS plus efficace qu'un email.

Ce que cherche l'attaquant : voler des identifiants.

Définition

Le smishing est une arnaque par SMS qui imite un organisme de confiance (souvent une banque) pour pousser la victime à cliquer sur un lien frauduleux ou à communiquer des informations sensibles.

À ne pas confondre avec

Smishing (hameçonnage par SMS)Phishing (hameçonnage)
La même méthode par SMS, sur un écran où l'adresse du lien s'affiche souvent tronquée.Le principe : un message qui imite un expéditeur légitime pour obtenir vos identifiants ou vos données bancaires, le plus souvent par email.

Ce qui les distingue : Le smishing n'est pas une autre arnaque : c'est l'hameçonnage par SMS. Ce qui change, c'est ce que vous pouvez vérifier sur un téléphone.

Toutes les attaques qu'on confond, côte à côte : le comparateur « X ou Y ? »

Comment ça fonctionne

L'attaquant envoie un SMS qui semble provenir de votre banque, annonçant un problème urgent (carte bloquée, virement suspect). Le message contient un lien vers un faux site qui imite l'interface bancaire, où la victime saisit ses identifiants ou son code de carte, immédiatement récupérés par l'attaquant. Le SMS est un support particulièrement favorable à l'attaquant : l'adresse du lien y est tronquée, l'expéditeur est un simple libellé modifiable, et les messages légitimes et frauduleux se rangent parfois dans le même fil de discussion.

Pourquoi ça marche

Le téléphone est l'endroit où l'on vérifie le moins : petit écran, adresse tronquée, lecture entre deux choses. Le SMS frauduleux se range parfois dans le même fil que les vrais messages de la banque, et il emprunte leur crédibilité.

Sur quoi cette attaque s'appuie

L'urgenceL'autoritéLa peur

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

  • Message non sollicité annonçant un problème urgent
  • Lien raccourci ou domaine qui ne correspond pas au site officiel de la banque
  • Demande de saisir un mot de passe ou un code depuis un lien SMS
  • Délai très court imposé (« sous 30 minutes »)
  • Message qui apparaît dans le même fil que de vrais SMS de la banque

Exemple

Exemple fictif — aucune organisation ni adresse réelle

SMS reçu en fin de journée, affiché sous le nom de votre banque.

Votre carte a été suspendue suite à une opération inhabituelle. Pour la réactiver : bq-securite.example-not-real.test/c/8KQ2

Ce qui le trahit

  • Une banque ne fait pas réactiver une carte depuis un lien SMS.
  • Le domaine n'est pas celui de votre banque.
  • Aucun détail vérifiable : ni montant, ni commerçant.
D'autres exemples fictifs, canal « SMS »

Comment vérifier

Ne cliquez jamais sur le lien reçu. Ouvrez l'application officielle de votre banque ou appelez le numéro figurant au dos de votre carte pour vérifier.

Les questions à se poser, dans l'ordre

  1. Le SMS vous envoie-t-il vers un lien pour régler le problème ?

    Si oui : Ne l'ouvrez pas. Ouvrez l'application de votre banque ou appelez le numéro au dos de votre carte.

  2. Votre banque, jointe par vos propres moyens, ignore-t-elle ce problème ?

    Si oui : Le SMS est faux : transférez-le au 33700, puis supprimez-le.

  3. Avez-vous saisi votre carte ou un code sur la page ?

    Si oui : Appelez votre banque immédiatement pour faire opposition.

Que faire

Supprimez le SMS. Si vous avez un doute sur votre compte, contactez votre banque via un canal officiel, jamais via le lien reçu. En France, un SMS frauduleux peut être transféré au 33700.

Si c'est déjà arrivé

Contactez immédiatement votre banque pour bloquer votre carte ou votre compte, changez vos mots de passe, et signalez l'arnaque sur cybermalveillance.gouv.fr.

Pour que ça ne se reproduise pas

  • Considérez qu'un lien reçu par SMS n'est jamais le chemin vers votre banque.
  • Passez par l'application officielle pour toute question sur votre compte.
  • Transférez les SMS frauduleux au 33700 pour les signaler.

Ce qui arrive aussi par SMS

Les autres fiches dont le scénario passe par SMS. Quand la simulation d'une fiche se joue sur ce canal, c'est son message qui est résumé, et vous pouvez vous y entraîner.

Les gestes qui déjouent cette attaque

Testez-vous

Un SMS annonce que votre carte est bloquée et vous laisse trente minutes pour réagir.

Lancer la simulation « Smishing (hameçonnage par SMS) »

Questions fréquentes

Le SMS est apparu dans la même conversation que ceux de ma banque, est-ce possible ?
Oui. Le nom d'expéditeur affiché pour un SMS est un simple libellé, qui peut être choisi par l'émetteur. Deux messages portant le même libellé sont regroupés par le téléphone, ce qui place le message frauduleux au milieu des vrais. La place d'un message dans un fil ne prouve donc rien.
Faut-il répondre STOP pour ne plus être contacté ?
Non. Répondre confirme que le numéro est actif et lu, ce qui augmente le nombre de messages reçus ensuite. Supprimez le message, et transférez-le au 33700 si vous souhaitez le signaler.

Attaques liées

Sources officielles

Aussi appelée : hameçonnage par SMS, faux SMS bancaire, SMS frauduleux.

Cette fiche fait partie de la famille Ingénierie sociale. Mise à jour : 2026-08-31.