Il existe une abondante littérature pour apprendre à repérer un SMS frauduleux : fautes d'orthographe, lien raccourci, ton alarmiste, numéro inconnu. Mais presque personne n'explique quoi faire une fois que le doigt a déjà glissé sur le lien. Or c'est précisément le moment où tout se joue. Entre le clic et l'exploitation réelle des données par les escrocs, il s'écoule souvent quelques heures, parfois quelques jours. Cette fenêtre est votre marge de manœuvre.
Ce guide n'est pas un cours théorique. C'est un protocole d'urgence, pensé pour être suivi dans l'ordre, avec un objectif simple : limiter la casse, puis reprendre le contrôle. Il s'adresse à tout le monde — y compris à celles et ceux qui, quelques minutes plus tôt, étaient persuadés que « ça n'arrive qu'aux autres ». En 2026, les campagnes de smishing usurpant l'Assurance maladie, les services de livraison, l'administration fiscale ou même la Banque de France sont d'une qualité graphique telle que le réflexe de méfiance ne suffit plus toujours.
D'abord : évaluer ce que vous avez réellement fait
Tous les clics ne se valent pas. Avant de paniquer, prenez trente secondes pour situer votre cas. Le niveau de gravité détermine l'ampleur de la réponse.
| Ce que vous avez fait | Niveau de risque | Réaction principale |
|---|---|---|
| Ouvert le SMS, sans cliquer | Très faible | Supprimer, signaler au 33700 |
| Cliqué sur le lien, page ouverte puis fermée | Faible à modéré | Vérifier l'appareil, changer les mots de passe critiques |
| Saisi identifiant et mot de passe | Élevé | Changement immédiat des mots de passe, alerte au service concerné |
| Saisi des coordonnées bancaires ou un code reçu par SMS | Critique | Opposition immédiate, dépôt de plainte |
| Installé une application depuis le lien | Critique | Isolement de l'appareil, désinstallation, voire réinitialisation |
Un point mérite d'être clarifié, car il génère beaucoup d'angoisse inutile : sur un smartphone à jour, le simple fait d'ouvrir une page web piégée n'installe pas magiquement un virus. Les attaques dites « sans interaction » existent, mais elles sont rares, coûteuses et réservées à des cibles de haute valeur. Dans l'immense majorité des cas de smishing grand public, le danger vient de ce que vous avez tapé sur la page, pas du code qui s'y trouvait. C'est une bonne nouvelle : si vous n'avez rien saisi et rien installé, vous êtes probablement indemne.
Les dix premières minutes : couper et isoler
1. Coupez la connexion si vous avez installé quelque chose
Si le lien vous a fait télécharger un fichier .apk sur Android, ou si vous avez autorisé un « profil de configuration » sur iPhone, activez immédiatement le mode avion. Vous coupez ainsi le canal de communication entre l'application malveillante et le serveur des attaquants. Beaucoup de ces applications sont conçues pour intercepter les SMS entrants — donc les codes de validation bancaire — et les retransmettre en temps réel.
2. Ne saisissez plus rien sur cet appareil pour l'instant
Tant que vous n'avez pas vérifié l'état du téléphone, évitez de taper vos mots de passe dessus. Utilisez un autre appareil : l'ordinateur familial, la tablette, le téléphone d'un proche. C'est le moment où un ordinateur portable de secours ou une tablette tactile simple, gardés à la maison pour les démarches administratives, montrent leur utilité : disposer d'un second terminal sain change tout dans ce type de situation.
3. Notez tout, tout de suite
Capture d'écran du SMS (numéro d'expéditeur inclus), heure d'arrivée, adresse du lien, horaire du clic, contenu de ce que vous avez saisi. Ces éléments seront demandés lors du signalement et, le cas échéant, du dépôt de plainte. Un simple carnet de notes à spirale posé près du téléphone rend cette étape moins pénible que de chercher un fichier à créer dans l'urgence.
L'heure suivante : sécuriser les accès
4. Changez les mots de passe, mais dans le bon ordre
L'erreur classique consiste à changer d'abord le mot de passe du service usurpé. Ce n'est pas la priorité. Commencez par l'adresse e-mail principale : c'est la clé de voûte, celle qui permet de réinitialiser tous les autres comptes. Ensuite seulement, traitez le reste, par ordre de sensibilité.
- Messagerie principale
- Compte bancaire et applications de paiement
- Compte opérateur mobile (souvent oublié, et pourtant central)
- Comptes administratifs : impôts, Ameli, France Connect
- Réseaux sociaux et commerce en ligne
Chaque mot de passe doit être unique. Si vous réutilisez la même combinaison partout, la compromission d'un seul service devient la compromission de votre vie numérique entière. C'est exactement ce que les attaquants testent en priorité, via ce qu'on appelle le « credential stuffing ». Un gestionnaire de mots de passe, ou à défaut un carnet de mots de passe papier rangé hors de vue, vaut infiniment mieux qu'une variation du prénom de vos enfants.
5. Vérifiez la double authentification et les sessions ouvertes
Dans les réglages de sécurité de vos comptes principaux, cherchez la rubrique « appareils connectés » ou « sessions actives ». Déconnectez tout ce que vous ne reconnaissez pas. Vérifiez aussi que le numéro de téléphone et l'adresse e-mail de récupération n'ont pas été modifiés : c'est la première chose qu'un attaquant change pour verrouiller la victime hors de son propre compte.
Profitez-en pour renforcer la double authentification. Si vos comptes sensibles reposent encore uniquement sur un code envoyé par SMS, envisagez une application d'authentification, voire une clé de sécurité physique USB pour la messagerie principale : c'est aujourd'hui le seul facteur réellement résistant au phishing, car il vérifie l'adresse du site avant de délivrer quoi que ce soit.
Si vos données bancaires sont parties
C'est le scénario le plus stressant, et celui où la vitesse compte le plus.
6. Faites opposition sans attendre
Appelez immédiatement le numéro d'urgence de votre banque, disponible au dos de votre carte et dans votre application bancaire. À défaut, le serveur interbancaire d'opposition carte bancaire, joignable 24 h/24, permet de bloquer la carte auprès de l'ensemble des établissements. Demandez explicitement :
- le blocage de la carte concernée ;
- la mise en surveillance renforcée du compte ;
- la désactivation temporaire des paiements en ligne ;
- la vérification qu'aucun nouveau bénéficiaire de virement n'a été ajouté.
Ce dernier point est capital. Dans les fraudes récentes, l'escroc n'utilise pas toujours la carte : il ajoute un bénéficiaire et déclenche un virement, en vous appelant ensuite pour vous faire valider le code de confirmation sous prétexte de « sécuriser » votre compte. La Banque de France, dont l'identité est régulièrement usurpée par ces réseaux, rappelle qu'aucun organisme officiel ne vous demandera jamais de valider un code, de communiquer un mot de passe ou de transférer vos fonds sur un « compte sécurisé ».
Un conseiller bancaire légitime ne vous demandera jamais de lui dicter un code reçu par SMS. S'il le fait, ce n'est pas un conseiller bancaire.
7. Connaissez vos droits sur le remboursement
Le code monétaire et financier prévoit que la banque doit rembourser les opérations de paiement non autorisées, sauf si elle prouve une négligence grave de votre part. La frontière est parfois discutée, mais le fait d'avoir été trompé par un site imitant à la perfection celui de votre banque, ou par un appel en numéro usurpé, joue en votre faveur. Contestez par écrit, en recommandé, et conservez la copie de votre dépôt de plainte. En cas de refus, le médiateur bancaire puis l'ACPR peuvent être saisis.
Le signalement : utile, gratuit, et trop peu utilisé
8. Transférez le SMS au 33700
Le 33700 est la plateforme officielle de signalement des SMS et appels indésirables en France, opérée par les opérateurs télécoms sous l'égide des pouvoirs publics. La marche à suivre tient en deux étapes : transférez le message reçu au 33700, puis répondez au SMS de confirmation en indiquant le numéro de l'expéditeur frauduleux. C'est gratuit et cela alimente une base qui permet de faire fermer les numéros émetteurs.
9. Signalez le site sur les plateformes officielles
- Cybermalveillance.gouv.fr : diagnostic en ligne, mise en relation avec des prestataires, fiches réflexes détaillées.
- Phishing Initiative / Signal Spam : pour faire blacklister l'adresse du faux site auprès des navigateurs.
- Internet-signalement.gouv.fr (PHAROS) : signalement de contenus illicites.
- Dépôt de plainte : en commissariat, en gendarmerie, ou en ligne via le dispositif de plainte en ligne pour escroquerie. Le numéro de procédure vous sera réclamé par la banque.
Si vous avez saisi des données d'identité complètes (nom, adresse, numéro de sécurité sociale, copie de pièce d'identité), signalez-le également : l'usurpation d'identité se construit à partir de ces éléments, souvent des mois plus tard.
10. Prévenez votre entourage
Si votre compte de messagerie ou votre compte de messagerie instantanée a été compromis, vos contacts recevront à leur tour des messages piégés, avec le sceau de confiance que confère votre nom. Un simple message d'alerte à la famille évite une réaction en chaîne. C'est particulièrement vrai pour les proches âgés, statistiquement plus ciblés et moins outillés.
Nettoyer l'appareil : ce qui est utile, ce qui ne l'est pas
Si vous avez installé une application depuis le lien, la désinstallation simple ne suffit pas toujours. Sur Android, vérifiez d'abord dans les réglages d'accessibilité et dans « applications ayant accès spécial » qu'aucune application inconnue ne dispose de droits étendus : c'est le mécanisme préféré des chevaux de Troie bancaires pour lire l'écran et intercepter les SMS. Retirez ces autorisations avant de désinstaller, sinon la suppression sera bloquée.
Redémarrez ensuite en mode sans échec pour désinstaller l'application récalcitrante. En cas de doute persistant, la réinitialisation d'usine reste la seule garantie réelle — d'où l'importance d'une sauvegarde à jour. Un disque dur externe ou une carte microSD de sauvegarde, mis à jour une fois par mois, transforme une réinitialisation d'urgence en simple formalité.
Sur iPhone, allez dans Réglages → Général → VPN et gestion de l'appareil, et supprimez tout profil de configuration que vous n'avez pas installé vous-même. Vérifiez également les abonnements et les moyens de paiement enregistrés.
Dans tous les cas, appliquez les mises à jour système en attente. La majorité des codes malveillants exploitent des failles corrigées depuis des mois : rester à jour reste la protection la plus rentable qui soit.
Les semaines suivantes : la vigilance longue
Une fraude par SMS ne se solde pas en un après-midi. Les données volées circulent, se revendent, ressortent des mois plus tard.
Surveillez vos relevés bancaires ligne à ligne, y compris les micro-débits de quelques centimes : ce sont des tests de validité de carte avant une opération plus lourde.
Attendez-vous à une recrudescence d'appels et de SMS. Une victime ayant « mordu » une fois est répertoriée comme cible réceptive et revendue comme telle. Le rappel des escrocs se fait souvent sous couvert d'un « service de lutte contre la fraude » proposant de récupérer les sommes perdues — c'est une seconde escroquerie, dite d'« arnaque au recouvrement ».
Vérifiez vos comptes administratifs. Un accès frauduleux à Ameli, aux impôts ou à un compte CAF permet de détourner des remboursements en modifiant simplement un RIB. L'Assurance maladie publie régulièrement des alertes sur ces campagnes et rappelle qu'elle ne demande jamais de coordonnées bancaires par SMS.
Documentez tout dans un dossier unique. Courriers, captures, numéros de dossier, dates d'appel. Si un litige s'installe avec la banque ou une administration, cette traçabilité fait la différence.
Réduire la surface d'attaque pour la prochaine fois
Il n'y aura pas de vaccin définitif contre le smishing : tant que l'envoi de masse coûtera quelques centimes, les campagnes continueront. En revanche, on peut réduire l'exposition.
- Cloisonnez vos usages. Une adresse e-mail dédiée aux achats et aux inscriptions, une autre réservée à la banque et à l'administration. Le jour où la première fuite, la seconde reste hors d'atteinte.
- Limitez la diffusion de votre numéro. Chaque formulaire rempli est une porte d'entrée potentielle dans les bases revendues.
- Verrouillez la carte SIM. Un code PIN SIM non trivial complique le vol de ligne, et donc l'interception des codes de validation.
- Formez l'entourage. Un bon ouvrage de vulgarisation sur la cybersécurité domestique, laissé sur la table du salon, fait souvent plus d'effet qu'un long discours.
- Ne rappelez jamais un numéro fourni dans un message. Cherchez vous-même le numéro officiel de l'organisme.
L'essentiel à retenir
Cliquer sur un lien frauduleux n'est ni une faute morale, ni une preuve de naïveté. Ces messages sont conçus par des professionnels qui testent, mesurent et optimisent leurs formulations comme on optimise une campagne publicitaire. Le sentiment de honte qui suit est d'ailleurs le principal ennemi des victimes : il retarde le signalement, l'opposition, la plainte — autrement dit, tout ce qui aurait pu limiter les dégâts.
La bonne réflexion tient en trois temps : couper ce qui peut encore communiquer, sécuriser les accès dans l'ordre d'importance, signaler pour vous protéger juridiquement et protéger les autres. Le reste est affaire de patience et de surveillance.
Et pour la suite, un principe simple mérite d'être affiché quelque part dans la maison : aucun organisme légitime — banque, administration, opérateur, transporteur — ne vous demandera jamais, par SMS, de confirmer un code, un mot de passe ou un RIB dans l'urgence. Le jour où un message vous met la pression pour agir en moins de vingt-quatre heures, c'est précisément le moment de ne rien faire du tout, de fermer le téléphone et d'appeler le vrai numéro.
