Vous avez cliqué sur un lien de phishing par SMS (smishing) : la marche à suivre étape par étape

Un SMS annonçant un colis bloqué, une amende impayée ou un remboursement de la Sécurité sociale, avec un lien à cliquer en urgence : ce type de message, appelé « smishing » (contraction de SMS et de phishing), s'est banalisé au point que la plupart des utilisateurs de smartphone en reçoivent régulièrement, parfois plusieurs fois par semaine.

Le réflexe de panique une fois le lien cliqué, ou pire, une fois des informations personnelles saisies sur la fausse page qui s'affiche, est normal. Mais ce qui compte ensuite, ce sont les minutes et les heures qui suivent : agir vite et dans le bon ordre limite fortement les conséquences, qu'il s'agisse d'un simple lien ouvert par erreur ou d'informations bancaires réellement transmises.

Ce guide détaille la marche à suivre étape par étape selon ce qui a été fait exactement, comment reconnaître un SMS frauduleux à l'avenir, et où signaler l'incident pour qu'il serve aussi à protéger d'autres personnes.

Qu'est-ce que le smishing exactement

Le smishing consiste à envoyer un SMS frauduleux imitant un expéditeur de confiance (banque, opérateur téléphonique, service de livraison, administration comme les impôts ou l'Assurance maladie) pour pousser la victime à cliquer sur un lien. Ce lien mène le plus souvent vers une page qui imite fidèlement le site officiel, dans le but de récupérer des identifiants, des données bancaires, ou de faire installer une application malveillante.

Ces messages jouent presque toujours sur l'urgence et la peur d'une conséquence négative immédiate : un colis qui repart à l'expéditeur, un compte bloqué, une amende qui double en cas de retard. Cette pression temporelle est justement ce qui pousse à agir sans réfléchir, et c'est un signal d'alerte en soi.

Ce qu'il faut faire immédiatement selon ce qui a été fait

La marche à suivre dépend de ce qui s'est réellement passé après le clic sur le lien. Voici les trois situations les plus fréquentes :

Vous avez cliqué sur le lien sans rien saisir

• Ne remplissez aucun champ sur la page qui s'est ouverte, même si elle semble légitime, et fermez-la immédiatement.
• Ne téléchargez ni n'installez aucune application proposée sur cette page.
• Activez le mode avion puis désactivez le Wi-Fi quelques instants si une installation semblait en cours, le temps de vérifier qu'aucun fichier ne s'est téléchargé.
• Passez un antivirus mobile à jour par précaution, même si aucune installation n'a été confirmée.

Vous avez saisi des identifiants ou un mot de passe

• Changez immédiatement ce mot de passe depuis l'application officielle ou le site tapé directement dans le navigateur, jamais via le lien reçu.
• Changez également ce mot de passe partout où il était réutilisé sur d'autres comptes, une pratique malheureusement fréquente qui multiplie les dégâts d'une seule fuite.
• Activez la double authentification si ce n'était pas déjà fait, sur ce compte comme sur les comptes sensibles en général.

Vous avez saisi des informations bancaires

• Contactez immédiatement votre banque, par téléphone via le numéro officiel figurant au dos de la carte ou sur le site, jamais via un numéro donné dans le SMS suspect.
• Faites opposition sur la carte bancaire concernée si des coordonnées complètes ont été transmises (numéro, date d'expiration, cryptogramme).
• Surveillez les mouvements du compte dans les jours qui suivent et contestez sans délai toute opération non reconnue auprès de la banque.

Où signaler un SMS de smishing

Signaler un SMS frauduleux ne prend que quelques minutes et contribue à protéger d'autres personnes en alimentant les bases de blocage des opérateurs et les alertes officielles :

Comment reconnaître un SMS frauduleux avant de cliquer

Quelques signaux, souvent combinés, permettent de repérer une tentative de smishing avant même d'avoir à réagir à ses conséquences :

• L'urgence artificielle : un délai très court, une menace de blocage ou de pénalité immédiate.
• Un lien raccourci ou une adresse qui ne correspond pas exactement au domaine officiel de l'organisme cité, parfois avec une orthographe légèrement modifiée.
• Une demande d'information sensible par SMS : mot de passe, code reçu par texto, numéro complet de carte bancaire.
• Un expéditeur inhabituel pour ce type de message, ou un numéro qui ne correspond pas aux canaux habituels de l'organisme concerné.
• Des fautes ou une formulation maladroite, bien que les messages les plus récents soient de plus en plus soignés et de moins en moins faciles à repérer sur ce seul critère.

Prévenir plutôt que subir

Au-delà de la vigilance ponctuelle, quelques habitudes réduisent nettement l'exposition au smishing et à ses conséquences, aussi bien pour un particulier que pour une petite structure professionnelle où plusieurs personnes partagent des accès sensibles :

• Utiliser un gestionnaire de mots de passe avec des mots de passe uniques par service, pour qu'une fuite sur un compte n'expose pas les autres.
• Activer systématiquement la double authentification sur les comptes sensibles (messagerie, banque, réseaux sociaux professionnels).
• Vérifier régulièrement les paramètres de sécurité des comptes les plus exposés, comme détaillé dans notre guide pour sécuriser un compte Google.
• Équiper les postes et smartphones professionnels d'un antivirus à jour, un réflexe abordé plus largement dans notre guide sur le choix d'un antivirus pour les PME.
• Vérifier systématiquement l'adresse exacte d'un site avant d'y saisir des informations bancaires, notamment lors d'un virement bancaire déclenché depuis un lien reçu par SMS ou par e-mail.

Le smishing continuera d'évoluer, avec des messages toujours plus soignés et des scénarios renouvelés au fil de l'actualité. Garder le réflexe de vérifier soi-même une information plutôt que de suivre un lien reçu reste, quelle que soit la sophistication du message, la meilleure protection au quotidien.