Un SMS annonce un colis bloqué en douane, un autre réclame le remboursement d’un trop-perçu CAF avant minuit. Le smishing, l’hameçonnage par SMS, affiche un taux de clic compris entre 8,9 % et 14,5 % selon les campagnes de test, contre environ 2 % pour un e-mail de phishing classique, d’après Futura-Sciences. Il représente désormais près de 35 % des attaques de phishing recensées, en hausse de 40 % sur un an. Voici comment repérer ces messages, réagir si vous avez déjà cliqué, et les signaler aux bons organismes.
Qu’est-ce que le smishing et pourquoi progresse-t-il autant ?
Le terme contracte « SMS » et « phishing ». Le principe reste identique à l’hameçonnage par e-mail : un message pousse la victime à cliquer sur un lien ou à rappeler un numéro, pour lui soutirer des données bancaires ou personnelles. Le canal change tout, et explique le succès grandissant de cette technique.
Quelle différence avec le phishing classique par e-mail ?
Un SMS s’ouvre presque toujours. Son taux d’ouverture tourne autour de 98 %, la plupart du temps dans les trois minutes suivant la réception, selon Futura-Sciences. Un e-mail attend souvent plusieurs heures avant d’être lu, et beaucoup finissent directement dans un dossier spam filtré automatiquement. L’écran d’un téléphone, plus petit, masque aussi mieux les indices habituels d’un faux lien : adresse tronquée, nom de domaine douteux, fautes d’orthographe grossières.
Quels chiffres illustrent cette progression en France ?
Dans son rapport d’activité 2026, Cybermalveillance.gouv.fr place l’hameçonnage en tête des menaces, tous publics confondus, avec une hausse de 70 % des demandes d’assistance et de 45 % côté professionnels sur l’année écoulée. Le document évoque explicitement des vagues d’hameçonnage par SMS, courriel et appel vocal, de plus en plus personnalisées à partir de données déjà volées. Côté téléphonie, les signalements d’usurpation de numéro transmis à l’Arcep sont passés de 531 en 2023 à plus de 19 000 en 2025, un volume qui a conduit le régulateur à ouvrir une enquête contre les opérateurs en janvier 2026.
Quels sont les scénarios de smishing les plus répandus en 2026 ?
Trois familles de messages reviennent très régulièrement dans les signalements recensés par Selectra et les opérateurs. Elles partagent le même ressort : une urgence fabriquée, qui pousse à agir avant de vérifier.
Le faux colis en attente de livraison
Le SMS imite La Poste, Chronopost, Colissimo ou un transporteur privé, et annonce un colis bloqué ou des frais de douane à régler en ligne. Le lien mène vers une page qui copie la charte graphique du vrai site, avant de demander une carte bancaire pour un paiement de quelques euros, en réalité une simple validation qui enregistre les données de la carte. Certains envois récents s’accompagnent même de fausses photos de colis générées par IA, selon Selectra.
Le faux message de la CAF, des impôts ou de l’Assurance maladie
Un trop-perçu à rembourser, une aide exceptionnelle à débloquer avant une date limite fictive : le scénario reprend presque mot pour mot celui déjà observé par téléphone dans l’arnaque à la fausse conseillère CAF, simplement transposé au SMS. L’escroc y ajoute parfois un prénom ou un numéro d’allocataire récupéré lors d’une fuite de données antérieure, pour donner un vernis de légitimité au message.
Le faux crédit CPF ou la fausse amende à régler en urgence
Un SMS affirme que les droits à la formation professionnelle vont expirer, ou qu’une amende impayée doit être réglée sous 48 heures sous peine de poursuites. Dans les deux cas, le lien conduit vers un faux formulaire qui réclame identifiants ou coordonnées bancaires. Le démarchage commercial lié au CPF est pourtant interdit par la loi depuis 2022, un repère simple pour couper court à ce type de message.
Quels signes doivent alerter dans un SMS reçu ?
Quelques détails reviennent dans la quasi-totalité des messages frauduleux. Les repérer avant de cliquer évite la quasi-totalité des pièges.
- Un lien raccourci ou un nom de domaine qui ressemble à l’officiel sans l’être (colissimo-suivi.fr au lieu de colissimo.fr)
- Une urgence affichée dès la première phrase : date limite, blocage, poursuite
- Un expéditeur affiché sous un nom générique plutôt qu’un numéro court officiel
- Une demande de paiement, même minime, pour « débloquer » un colis ou un dossier
- Une demande de code reçu par SMS, d’identifiant ou de coordonnées bancaires
Comment réagir si vous avez cliqué sur un lien frauduleux ?
Avoir cliqué ne signifie pas automatiquement avoir perdu de l’argent. Tout dépend de ce qui a été saisi ensuite sur la page piégée, et de la rapidité de la réaction.
Quels réflexes bancaires adopter dans l’heure qui suit ?
Si des coordonnées bancaires ont été saisies, l’opposition auprès de la banque constitue la priorité absolue, avant même de changer un mot de passe. Un changement d’identifiants caf.fr, impots.gouv.fr ou de toute autre application sensible doit suivre sans délai. Conserver une capture d’écran du SMS et de la page frauduleuse facilite ensuite les démarches de remboursement.
Comment porter plainte et obtenir un remboursement ?
Le dépôt de plainte se fait en ligne via la plateforme THESEE, ou en se déplaçant en commissariat. Côté remboursement, le principe reste le même qu’en cas de fraude déclenchée par un faux conseiller bancaire : la banque doit rembourser une opération non autorisée, sauf à prouver elle-même une négligence grave du client, et la réclamation écrite doit partir dans les 13 mois suivant l’opération litigieuse.
Comment signaler un SMS frauduleux au 33700 ?
Le 33700 reste le réflexe officiel, gratuit, pour tout SMS ou appel suspect reçu sur un téléphone français. La procédure détaillée par l’Arcep tient en quelques gestes simples.
- Transférer directement le SMS suspect au numéro court 33700
- Envoyer une capture d’écran du message sur le site 33700.fr
- Remplir le formulaire en ligne disponible sur 33700.fr
- Répondre « STOP » pour bloquer les messages de cet expéditeur sans frais
Les opérateurs se servent de ces signalements pour repérer les numéros les plus actifs et les bloquer, un mécanisme déjà détaillé pour les appels dans notre article sur l’arnaque téléphonique à l’ARCEP, qui repose sur le même type de spoofing de numéro.
Comment se protéger durablement du smishing ?
Quelques habitudes réduisent nettement l’exposition à ce type de message, sans demander de compétence technique particulière.
- Ne jamais cliquer sur un lien reçu par SMS d’un expéditeur inattendu, même urgent en apparence
- Vérifier un colis uniquement depuis l’application ou le site officiel du transporteur
- Contrôler ses droits CPF uniquement sur moncompteformation.gouv.fr
- Composer soi-même le numéro officiel d’un organisme plutôt que celui indiqué dans le SMS
- Activer les alertes de connexion sur ses comptes bancaires et administratifs sensibles
Sources citées : Cybermalveillance.gouv.fr, rapport d’activité 2026 ; Futura-Sciences ; Selectra ; Arcep, fiche pratique SMS et appels frauduleux.
Questions fréquentes sur le smishing
Qu’est-ce que le smishing exactement ?
Le smishing est une tentative d’hameçonnage menée par SMS : un message pousse la victime à cliquer sur un lien frauduleux ou à rappeler un numéro pour lui soutirer des données bancaires ou personnelles.
Pourquoi le smishing fonctionne-t-il mieux que le phishing par e-mail ?
Le taux d’ouverture d’un SMS tourne autour de 98 %, la plupart du temps dans les trois minutes suivant la réception, contre un délai de lecture bien plus long pour un e-mail. Le taux de clic sur un SMS frauduleux dépasse ainsi largement celui d’un e-mail équivalent.
Que faire si j’ai cliqué sur un lien reçu par SMS frauduleux ?
Faire opposition auprès de sa banque si des coordonnées ont été saisies, changer les mots de passe des comptes sensibles, conserver une capture d’écran du message, puis déposer plainte via la plateforme THESEE ou en commissariat.
Comment signaler un SMS frauduleux ?
En le transférant directement au numéro court 33700, gratuit, ou en envoyant une capture d’écran via le site 33700.fr ; répondre « STOP » bloque aussi les messages de cet expéditeur sans frais.
Une banque doit-elle rembourser une fraude déclenchée par un smishing ?
Oui dans la plupart des cas : une banque doit rembourser une opération non autorisée, sauf à prouver elle-même une négligence grave du client, à condition que la réclamation écrite parte dans les 13 mois suivant l’opération.
