Arnaques par SMS : les messages qui piègent les professionnels

Une arnaque par SMS, ou smishing, consiste à recevoir un message court imitant une banque, un transporteur ou une administration, pour pousser à cliquer sur un lien ou à rappeler un numéro. L'objectif est presque toujours le même : récupérer des données bancaires, des identifiants de connexion, ou installer une application malveillante sur le téléphone. Une gérante de commerce reçoit un vendredi soir un SMS annonçant un paiement bloqué sur son compte professionnel et un lien à ouvrir dans l'heure : le week-end arrange les escrocs, qui comptent sur la panique pour que la victime n'ait pas le temps de vérifier auprès de sa vraie banque. Cet article détaille les scénarios de SMS qui visent les professionnels, les signes qui doivent alerter, la marche à suivre dès réception d'un message suspect, et les démarches pour signaler, faire opposition et porter plainte si nécessaire.

Qu'est-ce qu'une arnaque par SMS, ou smishing ?

Le smishing désigne l'hameçonnage réalisé par SMS : sous une fausse identité et avec un faux prétexte, le message incite la victime à communiquer des informations personnelles ou de carte bancaire, voire des identifiants de connexion, selon la description qu'en donne cybermalveillance.gouv.fr. Un autre type de smishing cherche à infecter le téléphone mobile avec une application malveillante destinée à dérober des données ou à prendre le contrôle de l'appareil. Un dernier procédé consiste simplement à inciter la victime à rappeler un numéro indiqué dans le message pour l'escroquer.

Le mot smishing vient de la contraction de SMS et de phishing, terme qui désigne l'hameçonnage. Selon cybermalveillance.gouv.fr, l'hameçonnage est une technique frauduleuse destinée à leurrer un internaute pour l'inciter à communiquer des données personnelles et/ou bancaires en se faisant passer pour un tiers de confiance, que ce soit par courriel, réseau social, messagerie instantanée ou SMS. Le SMS n'est donc qu'un canal parmi d'autres, mais c'est un canal particulièrement efficace pour les escrocs, comme le détaille la section suivante.

Pourquoi les SMS frauduleux sont-ils si difficiles à repérer ?

Cybermalveillance.gouv.fr explique que le smishing est plus difficile à identifier que le mail d'hameçonnage pour plusieurs raisons. D'abord, le format court permet aux cybercriminels de s'exprimer brièvement, avec un langage moins rédigé et plus lapidaire, ce qui réduit le risque de fautes d'orthographe ou de syntaxe susceptibles d'éveiller des soupçons. Ensuite, l'expéditeur n'est identifiable que par un numéro de téléphone standard, français ou étranger, un numéro court ou un intitulé sommaire qui ne permet pas de déterminer simplement l'authenticité de l'émetteur.

La méfiance est également moindre que pour un email, en raison de la nouveauté relative du smishing : certaines victimes pensent, à tort, qu'un SMS reçu est forcément légitime car leur numéro de téléphone ne peut être connu que de tiers déjà identifiés. Enfin, il est plus difficile d'identifier un site internet malveillant sur un téléphone mobile après avoir cliqué sur un lien reçu par SMS : l'écran réduit et le navigateur mobile n'affichent pas immédiatement et entièrement l'adresse du site, qui est généralement tronquée. Pour un dirigeant ou un salarié qui consulte ses messages entre deux rendez-vous, cette combinaison de brièveté, de crédibilité apparente et d'écran réduit joue directement en faveur de l'escroc.

Quels scénarios de SMS ciblent les professionnels ?

Les professionnels reçoivent les mêmes grandes familles de SMS frauduleux que les particuliers, avec parfois une tonalité adaptée à l'activité de l'entreprise. Le scénario bancaire reste le plus fréquent : le message annonce une opération suspecte, un paiement bloqué ou une mise à jour de sécurité à effectuer d'urgence sur le compte professionnel, et renvoie vers un lien ou un numéro à rappeler. Ce type de message peut déboucher sur une arnaque au faux conseiller bancaire qui prend ensuite le relais par téléphone pour faire valider des opérations.

D'autres messages se font passer pour un transporteur ou un service de livraison, réclamant un paiement de frais de douane ou de réexpédition pour un colis professionnel. D'autres encore imitent une administration : amende impayée sur un faux site, selon un exemple cité par service-public.gouv.fr, ou régularisation urgente d'un dossier. Certains messages visent directement l'entreprise elle-même : facture en souffrance, abonnement à régulariser, demande de confirmation de coordonnées. Dans tous les cas, le mécanisme décrit par cybermalveillance.gouv.fr pour l'hameçonnage par message électronique reste le même : réception d'un message aux couleurs d'un envoi officiel, incitation à cliquer sur un lien pour réaliser une action (annuler une commande, mettre à jour des données, obtenir un remboursement), redirection vers un site frauduleux qui reprend les codes visuels du site officiel, puis demande d'informations personnelles, professionnelles ou bancaires. Un commerçant de la Nièvre pressé entre deux clients peut cliquer en quelques secondes sur un lien de ce type sans jamais remarquer que l'adresse affichée ne correspond pas au site habituel.

Quels signes doivent alerter ?

Service-public.gouv.fr liste plusieurs indices permettant de confirmer qu'un message est malveillant. L'organisme qui contacte n'est, dans bien des cas, pas celui dont on est réellement client. Le numéro de téléphone utilisé ne ressemble pas à celui d'un service familier ou officiel. L'orthographe, la grammaire ou la signature employées paraissent étranges. Et dans certains cas, un antivirus à jour peut envoyer une notification lors de la réception d'un message de phishing.

Deux éléments reviennent dans presque tous les messages frauduleux, qu'ils visent des particuliers ou des professionnels : l'urgence (un délai très court avant blocage, pénalité ou radiation) et un lien à ouvrir immédiatement. Cybermalveillance.gouv.fr rappelle que si le lien est frauduleux, il redirige vers un site dont l'adresse n'est pas celle du site officiel, et recommande de comparer cette adresse avant de cliquer, plutôt que de se fier au logo ou aux couleurs affichées.

Que faire en recevant un SMS suspect, étape par étape

Cybermalveillance.gouv.fr propose une marche à suivre en cas d'hameçonnage, applicable au smishing reçu sur un téléphone professionnel.

1. Au moindre doute, contacter directement l'organisme concerné, par ses coordonnées habituelles, pour confirmer ou infirmer le message reçu.
2. Ne pas cliquer sur le lien contenu dans le SMS et ne pas rappeler le numéro indiqué.
3. Conserver le message reçu comme preuve, sans le supprimer, au cas où une démarche de signalement ou de plainte serait nécessaire.
4. Si un lien a déjà été ouvert par erreur, vérifier l'adresse du site affichée dans le navigateur : si elle ne correspond pas exactement au site officiel, il s'agit très certainement d'un site frauduleux, parfois à un seul caractère près.
5. Signaler le message suspect en le transférant gratuitement au 33700, comme détaillé plus bas.

Vous avez déjà cliqué ou communiqué des informations : les réflexes

Si des informations bancaires ont été transmises ou si des débits inconnus apparaissent sur le compte, la priorité absolue, selon service-public.gouv.fr, est d'alerter immédiatement sa banque dès que l'on s'aperçoit avoir été victime d'une escroquerie, qu'il s'agisse d'un chèque falsifié, d'un virement ou d'un achat par carte bancaire. Cybermalveillance.gouv.fr précise la même priorité : faire opposition immédiatement auprès de l'organisme bancaire ou financier en cas de communication malencontreuse d'éléments de paiement ou de débits frauduleux constatés.

Si un mot de passe a été communiqué par erreur, il doit être changé immédiatement sur le site ou service concerné, ainsi que sur tous les autres services où ce même mot de passe était utilisé, en priorité sur les comptes les plus sensibles (messagerie, banque, impôts). Un artisan qui aurait saisi ses identifiants bancaires sur un faux site après un SMS urgent doit donc traiter ce mot de passe comme compromis, même sans débit visible, et le changer sans attendre.

Si l'arnaque a débouché sur un faux conseiller bancaire par téléphone, ou si une usurpation d'identité est suspectée, les démarches à suivre sont détaillées dans notre guide sur l'arnaque au faux conseiller bancaire. Si le SMS a servi d'entrée à une tentative de faux virement visant l'entreprise, la page consacrée au faux virement détaille la procédure à suivre côté banque.

Comment signaler un SMS frauduleux au 33700

Le 33700 est le numéro court gratuit vers lequel cybermalveillance.gouv.fr recommande de signaler tout message suspect reçu par SMS ou par MMS, directement par SMS ou via la plateforme 33700.

1. Transférer le SMS abusif, tel quel, au numéro court 33700.
2. Un message de réponse demande ensuite d'envoyer au 33700 le numéro de téléphone depuis lequel le SMS abusif a été reçu.
3. Ces informations sont transmises aux opérateurs, y compris celui de la victime, qui peuvent agir auprès des organismes à l'origine de ces SMS.

Ce signalement au 33700 est gratuit. Il ne remplace pas une opposition bancaire ni une plainte si une perte d'argent est constatée : il vise à alerter les opérateurs sur l'origine de la campagne de SMS, pas à récupérer une somme déjà débitée.

Si le SMS a redirigé vers un site frauduleux, ce site peut également être signalé sur la plateforme Pharos, accessible sur internet-signalement.gouv.fr, comme l'indique service-public.gouv.fr.

Porter plainte et tenter de récupérer son argent

Si une somme a été débitée ou si les données servent à usurper une identité, service-public.gouv.fr indique qu'il est possible de déposer plainte au commissariat de police ou à la brigade de gendarmerie dont on dépend, ou d'adresser une plainte par écrit au procureur de la République du tribunal judiciaire compétent, en fournissant toutes les preuves disponibles. Pour certaines escroqueries commises en ligne, une plainte peut être déposée en ligne. Les démarches complètes, y compris en ligne, sont détaillées dans notre guide pour porter plainte pour escroquerie.

Le dépôt de plainte permet notamment, via une constitution de partie civile, de demander réparation du préjudice subi. Mais ni cybermalveillance.gouv.fr ni service-public.gouv.fr ne garantissent la récupération des sommes versées : l'opposition bancaire immédiate reste, de loin, le moyen le plus rapide pour limiter la perte, sans certitude de succès non plus. Si l'escroquerie a pris la forme d'un faux RIB fourni par un fournisseur usurpé à la suite d'un piratage de messagerie déclenché depuis un smishing, la conduite à tenir est décrite dans le guide sur le faux RIB fournisseur.

Un exemple concret

Martin, gérant d'une entreprise de maçonnerie, reçoit sur son téléphone professionnel un SMS signé du nom de sa banque, annonçant un paiement par carte refusé pour anomalie et demandant de cliquer sur un lien pour « débloquer la carte sous 30 minutes ». Le week-end, pressé entre deux chantiers, il clique et arrive sur une page qui ressemble à l'espace client de sa banque. Il y saisit son identifiant, puis un code reçu par SMS qu'on lui demande de recopier pour « confirmer son identité ». Quelques minutes plus tard, un virement qu'il n'a jamais initié part de son compte professionnel. Martin appelle immédiatement sa banque par le numéro inscrit sur sa carte bancaire, fait opposition, transfère le SMS d'origine au 33700, conserve une capture d'écran du message, puis se rend à la gendarmerie pour déposer plainte. Rien ne garantit la récupération du virement, mais chaque minute gagnée sur l'opposition compte.

Comment limiter le risque au quotidien dans l'entreprise

Le smishing vise aussi bien le téléphone personnel d'un dirigeant que la ligne professionnelle de l'entreprise, parfois publiée sur un site ou une fiche d'établissement. Quelques habitudes simples réduisent l'exposition. D'abord, ne jamais enregistrer de numéro de banque ou d'administration à partir d'un SMS reçu : retrouver ce numéro sur un document déjà en possession de l'entreprise ou sur le site officiel saisi directement dans le navigateur. Ensuite, sensibiliser les salariés qui utilisent un téléphone professionnel aux mêmes réflexes que ceux détaillés plus haut, puisque cybermalveillance.gouv.fr rappelle que l'hameçonnage cible aussi bien les particuliers que les professionnels.phishing visant les entreprises détaille les mêmes signaux pour les messages reçus par email.

Ces réflexes rejoignent ceux présentés sur la page arnaques du site, qui regroupe l'ensemble des guides consacrés aux pièges visant les professionnels, et plus largement sur la page d'accueil d'Alerte Entreprises Nièvre, où sont recensées les menaces par rubrique.

Questions fréquentes

Un SMS pressé qui promet un remboursement ou qui menace d'un blocage dans l'heure n'a jamais besoin de précipitation pour être vrai. Prendre trente secondes pour vérifier par un canal choisi soi-même reste, dans la grande majorité des cas, suffisant pour couper l'arnaque avant qu'elle ne commence.

Claire Morvillard, rédactrice en chef. Elle explique aux commerçants, artisans et exploitants comment repérer une arnaque, limiter un vol et réagir vite. Chaque conseil est vérifié sur les sources officielles.