Il y a un moment de l'année où les escrocs n'ont même pas besoin d'être bons : il leur suffit d'être là au bon moment. Ce moment, c'est le départ en vacances, le week-end de retour, le pont de la Toussaint, la semaine du chassé-croisé. Pas parce que les vacanciers seraient plus naïfs, mais parce qu'ils sont dans un état mental très particulier : ils attendent des messages, beaucoup de messages, de gens qu'ils ne connaissent pas.
Une confirmation de location. Un code d'accès à une boîte à clés. Un rappel de compagnie aérienne. Un SMS du loueur de voiture. Un lien de suivi pour la navette. Dans la vie normale, un message d'un numéro inconnu qui vous demande de cliquer déclenche un signal d'alarme. En voyage, c'est devenu la routine. C'est exactement cette normalisation que le smishing — l'hameçonnage par SMS, tel que le définit Cybermalveillance.gouv.fr — exploite pendant les périodes de congés.
Pourquoi le voyage désarme la vigilance
Les campagnes de SMS frauduleux fonctionnent sur un principe simple : envoyer un scénario plausible à des centaines de milliers de numéros et attendre que le hasard fasse coïncider le message avec la situation réelle du destinataire. En période de vacances, ce hasard devient une quasi-certitude.
Quatre facteurs se cumulent.
Vous attendez réellement des messages inconnus. Un propriétaire Airbnb, une agence immobilière, un camping, un parking d'aéroport : autant d'interlocuteurs légitimes qui vous écrivent depuis des numéros que vous n'avez jamais vus. Le filtre mental « je ne connais pas ce numéro » ne fonctionne plus.
Le temps est compté. Un SMS qui annonce un problème de réservation trois jours avant le départ ne laisse pas de place à la temporisation. L'urgence n'a même pas besoin d'être fabriquée : elle est déjà dans votre calendrier.
Les conditions de lecture sont mauvaises. Debout dans une file d'embarquement, sur une aire d'autoroute, avec du soleil sur l'écran et un enfant qui tire sur votre manche. Personne ne vérifie l'orthographe d'un nom de domaine dans ces conditions.
Le téléphone est fragilisé. Batterie faible, réseau instable en zone rurale, wifi d'hôtel partagé. Un smartphone à 8 % pousse à agir vite, à cliquer plutôt qu'à vérifier, à se dire « je regarderai mieux plus tard ».
C'est aussi pour ça qu'une batterie externe de voyage n'est pas un gadget de confort mais un vrai outil de sécurité : un téléphone chargé, c'est un téléphone avec lequel on peut prendre le temps d'appeler le vrai numéro de l'hôtel plutôt que de cliquer sur le lien reçu.
Les cinq scénarios saisonniers les plus courants
1. La réservation qui « n'a pas été validée »
Le message arrive quelques jours avant l'arrivée : « Votre réservation du 12/08 n'a pas pu être confirmée, le paiement a été rejeté. Régularisez sous 24 h pour éviter l'annulation. » Le lien pointe vers une page qui imite fidèlement une plateforme connue de réservation.
Le piège est double. D'abord la peur de perdre l'hébergement, réservé parfois depuis des mois. Ensuite la petite somme : on ne vous demande pas 800 €, on vous demande de « revalider » la carte, ou de payer une caution de 50 €. La DGCCRF et les plateformes elles-mêmes rappellent régulièrement une règle intangible : aucun paiement légitime ne se fait en dehors de la plateforme de réservation. Un propriétaire qui insiste pour un virement direct, un lien de paiement envoyé par SMS ou un règlement par carte cadeau est, dans la quasi-totalité des cas, un escroc.
2. Le faux avis de péage impayé
Le scénario a explosé avec la généralisation du péage en flux libre, ce système sans barrière où l'on paie a posteriori sur un site officiel. Le message est court : « Passage non réglé le 09/08 sur l'A79. Montant : 4,20 €. Régularisation sous 72 h avant majoration. »
Tout est calibré : le montant est réaliste, l'autoroute existe, le délai est plausible. Beaucoup d'automobilistes ne savent tout simplement pas s'ils ont ou non réglé leur passage. La règle : on ne règle jamais un péage en flux libre depuis un lien reçu par SMS. On tape soi-même l'adresse du site officiel de la société d'autoroute concernée, ou on passe par l'application de son badge télépéage. Idem pour les faux avis de contravention : le site officiel de l'Agence nationale de traitement automatisé des infractions est le seul point d'entrée, et il ne vous écrira jamais un SMS avec un lien de paiement.
3. Le vol modifié et la fausse carte d'embarquement
« Votre vol AF1234 a été modifié. Consultez votre nouvelle carte d'embarquement. » Le lien demande votre numéro de réservation, votre nom, parfois votre passeport et votre carte bancaire pour « les frais de réémission ».
Ici, ce n'est pas seulement l'argent qui est visé, ce sont les données d'identité. Un dossier de voyage complet — nom, date de naissance, numéro de passeport, adresse — se revend et sert ensuite à ouvrir des comptes ou à souscrire des crédits. Le réflexe : ouvrir l'application officielle de la compagnie, ou consulter le tableau d'affichage. Une modification de vol réelle apparaît toujours dans votre dossier, jamais uniquement dans un SMS.
4. La boîte à clés et le code d'accès
Plus discret, plus vicieux. Vous recevez la veille de l'arrivée un message : « Bonjour, changement de dernière minute pour la remise des clés, merci de confirmer votre identité ici. » Le lien collecte une pièce d'identité scannée, parfois un RIB « pour la restitution de la caution ».
Le signe qui doit alerter : un changement de canal. Si toute la conversation s'est déroulée dans la messagerie de la plateforme et qu'elle bascule soudain vers un SMS, c'est un drapeau rouge. Les escrocs récupèrent les annonces publiques et contactent les voyageurs en aveugle, en espérant tomber sur quelqu'un qui a effectivement réservé.
5. L'assistance bancaire pendant le voyage
C'est la variante la plus coûteuse. Après un premier SMS d'alerte (« tentative de paiement à l'étranger de 749 € »), un appel suit dans la foulée, souvent depuis un numéro affiché comme celui de votre banque grâce au spoofing. Un interlocuteur calme vous demande de « bloquer l'opération » en dictant vos codes ou en validant une notification dans votre application.
La règle rappelée par la Fédération bancaire française et par les banques elles-mêmes est absolue : un conseiller ne vous demandera jamais de valider une opération, de communiquer un code reçu par SMS ou d'installer un logiciel de prise en main à distance. On raccroche, on rappelle le numéro figurant au dos de sa carte.
Le tableau de tri en dix secondes
Quand un message arrive et que vous n'avez ni le temps ni le calme d'enquêter, ce tri suffit dans l'immense majorité des cas.
| Ce que dit le message | Réaction légitime | Réaction risquée |
|---|---|---|
| Un paiement a échoué | Ouvrir soi-même l'application concernée | Cliquer sur le lien fourni |
| Une somme est due sous 24-72 h | Taper l'adresse officielle à la main | Payer depuis le lien |
| On vous demande un document d'identité | Passer par la messagerie de la plateforme | Envoyer un scan par SMS |
| Un conseiller vous appelle après un SMS | Raccrocher, rappeler le numéro de la carte | Rester en ligne et valider |
| Le lien contient un nom de marque bizarre | Ignorer et supprimer | « Juste voir » la page |
Un point technique souvent mal compris : l'adresse affichée sur un lien raccourci ne veut rien dire. Les campagnes utilisent massivement des raccourcisseurs et des noms de domaine qui contiennent la marque légitime comme sous-domaine. Une adresse du type secure-colissimo.paiement-xyz.top n'a rien à voir avec le service qu'elle imite : ce qui compte, c'est ce qui précède immédiatement l'extension, pas ce qui figure au début.
Préparer le téléphone avant de partir
La meilleure protection en voyage se met en place la veille du départ, tranquillement, à la maison.
Faites le point sur les canaux officiels. Enregistrez dans vos contacts le numéro de votre banque, celui de votre assurance et celui de l'hébergement. Un numéro déjà en mémoire s'affiche avec un nom : si un appel prétendument bancaire arrive d'un numéro non identifié, le doute est immédiat.
Verrouillez l'aperçu des notifications. Les codes de validation à usage unique s'affichent sur l'écran verrouillé par défaut. Dans un train, une file d'attente ou une chambre partagée, cela suffit à compromettre un compte. Le réglage se trouve dans les paramètres de notifications, sous « Aperçus » ou « Afficher le contenu ». Dans le même esprit, un filtre de confidentialité pour écran de smartphone rend l'écran illisible de biais — utile en avion comme en terrasse.
Emportez de quoi tenir sans borne publique. Les bornes de recharge USB ouvertes des aéroports et des gares posent un problème réel : un port de données non maîtrisé peut, dans certaines configurations, être détourné. Un simple bloc d'alimentation USB avec sa prise murale, ou un câble de recharge sans transfert de données, supprime la question. Ce n'est pas de la paranoïa, c'est la même logique que de ne pas brancher une clé USB trouvée par terre.
Sauvegardez avant de partir. Un téléphone perdu ou volé pendant les vacances, c'est un accès potentiel à la messagerie, aux mails et aux applications bancaires. Une sauvegarde à jour et l'activation de la localisation à distance changent complètement l'issue. Prévoyez aussi de quoi protéger physiquement l'appareil : sable, eau salée et sacs de plage font plus de dégâts qu'on ne le croit, et une coque étanche pour smartphone coûte moins cher qu'un écran remplacé.
Wifi d'hôtel, réseaux publics et faux portails
Le wifi gratuit du camping ou du hall d'hôtel mérite une mention à part. Le risque principal aujourd'hui n'est plus tellement l'interception des données — la plupart des sites et applications chiffrent leurs échanges — mais le faux portail captif : cette page qui s'ouvre pour vous demander de « vous identifier » avant d'accéder au réseau, et qui réclame parfois un e-mail, un mot de passe, voire une carte bancaire « pour vérification ».
Trois règles suffisent :
- Un portail captif légitime ne demande jamais votre mot de passe de messagerie ni votre numéro de carte.
- Vérifiez le nom exact du réseau auprès de la réception. Un réseau nommé « Hotel_Wifi_Free » à côté du vrai « Hotel-Wifi » est un piège classique.
- Pour les opérations sensibles — banque, impôts, achat — préférez votre connexion mobile. Le partage de connexion depuis votre propre forfait est plus sûr qu'un réseau ouvert, et une carte SIM prépayée locale reste une bonne option pour les longs séjours hors Europe.
Si le message a déjà été ouvert
Ouvrir un SMS frauduleux ne présente pas de danger en soi. Le risque commence au clic, et devient sérieux à la saisie d'informations.
- Vous avez seulement cliqué sans rien saisir. Fermez la page, ne revenez pas dessus, ne remplissez rien. Vérifiez qu'aucune application ne s'est installée à votre insu, en particulier sous Android où une installation depuis une source externe reste possible.
- Vous avez saisi des données bancaires. Faites opposition immédiatement via l'application de votre banque ou le numéro au dos de la carte. Depuis l'étranger, ce numéro reste joignable. Conservez les captures d'écran.
- Vous avez transmis un document d'identité. Signalez-le et surveillez toute ouverture de compte à votre nom. Un dépôt de plainte, même à distance, constitue une pièce utile.
- Signalez le message. En France, le numéro 33700 reçoit les signalements de SMS frauduleux : transférez le message au 33700, puis envoyez le numéro de l'expéditeur quand il vous est demandé. Le service est gratuit. Vous pouvez aussi effectuer un signalement sur la plateforme officielle Cybermalveillance.gouv.fr, qui oriente vers les démarches adaptées, et sur internet-signalement.gouv.fr (PHAROS) pour les contenus illicites.
- Prévenez votre entourage. Les campagnes ciblent des tranches entières de numéros. Si vous l'avez reçu, vos proches partis en même temps que vous l'ont probablement reçu aussi.
Le cas particulier des voyageurs seniors
Les personnes âgées partent souvent en vacances avec des repères numériques moins solides et, surtout, avec la crainte de « faire une bêtise » qui les pousse à obéir plutôt qu'à vérifier. Trois aménagements simples aident beaucoup.
Convenir avant le départ d'un interlocuteur de confiance joignable en cas de doute : un appel de trente secondes à un enfant ou un voisin désamorce n'importe quelle arnaque. Écrire sur un papier glissé dans le portefeuille les vrais numéros de la banque et de l'assurance, parce qu'en situation de stress on ne fouille pas dans un téléphone. Et, pour ceux qui n'ont pas besoin d'un smartphone en voyage, un téléphone portable à grosses touches limite mécaniquement la surface d'attaque : pas de navigateur, pas de lien cliquable, pas d'application bancaire.
Une règle tient en une phrase et couvre 95 % des situations : on ne paie et on ne s'identifie jamais depuis un lien reçu, quel que soit l'expéditeur affiché. On revient toujours au canal que l'on a choisi soi-même.
Ce qu'il faut retenir
Les arnaques SMS de vacances ne sont pas plus sophistiquées que les autres. Elles sont simplement mieux synchronisées avec votre vie. Le remède ne consiste pas à devenir expert en sécurité informatique, mais à réintroduire un tout petit délai entre la lecture et l'action : ouvrir soi-même l'application, taper soi-même l'adresse, rappeler soi-même le numéro officiel.
Ce délai coûte trente secondes. C'est très exactement ce que les escrocs ne peuvent pas se permettre de vous laisser.
