Arnaques par SMS

Pourquoi le SMS est un canal si commode pour les escrocs

Un SMS n'a ni logo, ni en-tête, ni adresse d'expéditeur vérifiable. Il arrive dans la même liste que les messages de votre famille, de votre médecin ou de votre employeur, et rien ne le distingue de ceux-là. Là où un e-mail douteux se trahit souvent par une adresse bizarre, un SMS n'offre aucune prise.

S'y ajoute une habitude : on lit ses SMS debout, entre deux choses, et on répond vite. Les messages frauduleux sont écrits pour ce moment-là.

Ce que les faux SMS ont tous en commun

• Un lien à ouvrir. C'est le point commun le plus constant : sans clic, l'arnaque ne fonctionne pas.
• Un prétexte qui pourrait concerner n'importe qui : un colis, une facture, un compte à vérifier. Jamais un détail que vous seul connaîtriez.
• Un délai court, explicite ou sous-entendu : « sous 48 h », « dernier rappel ».
• Une action qui paraît sans conséquence : quelques francs à régler, un formulaire à compléter, une case à cocher.
• Aucune information que l'expéditeur légitime possèderait pourtant : votre nom, votre numéro de client, le détail de la commande.

Le réflexe qui protège de tous

Il n'est pas nécessaire de reconnaître chaque arnaque. Une seule habitude les neutralise presque toutes : ne jamais atteindre un site par le lien reçu. Si le message dit vrai, l'information est aussi dans votre espace client, dans l'application, ou au numéro qui figure au dos de votre carte. Si elle n'y est pas, le message était faux.

Lire un lien avant de l'ouvrir

Le propriétaire d'une adresse web est le nom placé juste avant l'extension (.ch, .com, .info). Tout ce qui précède est choisi librement par ce propriétaire, y compris le nom d'une entreprise qu'il n'a rien à voir.

laposte-suivi.info/ch      → propriétaire : laposte-suivi.info
ch.laposte-colis.xyz       → propriétaire : laposte-colis.xyz
banque.securite-client.net → propriétaire : securite-client.net

Le « /ch » final, le préfixe « ch. » et le nom de l'entreprise en début d'adresse n'identifient rien du tout. Sur un téléphone, l'adresse est souvent tronquée : raison de plus pour ne pas s'y fier.

Le nom de l'expéditeur ne prouve rien non plus

Un SMS peut afficher un nom de société à la place d'un numéro. Ce nom est déclaré par l'expéditeur, il n'est pas vérifié par votre opérateur. Un message frauduleux peut donc se glisser dans le fil de discussion d'une entreprise avec laquelle vous échangez vraiment, sous le même nom, juste sous un message authentique.

Ce que les entreprises légitimes ne font pas par SMS

• Réclamer un paiement par un lien, quel que soit le montant.
• Demander un mot de passe, un code reçu par SMS, ou les données d'une carte.
• Menacer d'une suppression de compte ou d'une amende sous quelques heures.
• Demander d'installer une application depuis un lien plutôt que depuis la boutique officielle.