« URGENCE — Nos équipes sont sur place. Chaque don de 10 € permet 3 jours d'eau potable pour une famille. Soutenez-nous : don-solidarite-urgence[.]org — Merci pour votre générosité. »
Aucune menace. Aucun délai de 48 heures. Aucune majoration. Juste une phrase qui vous met du bon côté de l'histoire, et un lien qui promet de transformer votre culpabilité diffuse en geste concret.
C'est exactement pour cela que ce SMS est redoutable. Toutes les campagnes de smishing que l'on apprend à repérer — l'amende impayée, le colis bloqué, le compte bancaire suspendu — reposent sur la peur. Le cerveau finit par associer « SMS inattendu + stress » à « arnaque ». Le faux appel aux dons contourne complètement ce réflexe : il ne vous fait pas peur, il vous fait plaisir. Et un lecteur qui se sent généreux ne se sent pas en danger.
Une fraude qui suit l'actualité à la trace
Les campagnes de faux dons ne sont pas continues : elles sont événementielles. Elles apparaissent dans les 24 à 72 heures qui suivent un fait marquant, quand la couverture médiatique est maximale et que la vérification est la plus difficile.
Les déclencheurs classiques :
- une catastrophe naturelle largement relayée (séisme, inondations, incendies) ;
- un conflit ou une crise humanitaire qui occupe les journaux télévisés ;
- un drame local très commenté (accident, disparition, cagnotte pour une famille) ;
- les temps forts du calendrier caritatif français : campagne d'hiver des associations d'aide aux plus démunis, Téléthon, collectes alimentaires de fin d'année, périodes de défiscalisation en décembre.
Ce dernier point est sous-estimé. En décembre, des millions de foyers français effectuent réellement un don pour bénéficier de la réduction d'impôt prévue par l'article 200 du Code général des impôts. Un SMS d'appel aux dons reçu le 20 décembre n'a rien d'anormal : beaucoup d'associations légitimes communiquent effectivement à ce moment-là. L'escroc se glisse dans un flux existant, ce qui est toujours la meilleure position pour un fraudeur.
Cybermalveillance.gouv.fr, le dispositif public d'assistance aux victimes d'actes de cybermalveillance, rappelle régulièrement que l'hameçonnage par SMS — le smishing — figure parmi les menaces les plus signalées par les particuliers, et que les escrocs adaptent systématiquement leurs prétextes à l'actualité. Le caritatif est simplement l'un des costumes les plus faciles à enfiler : il n'exige ni logo administratif complexe, ni référence de dossier crédible.
Ce que l'escroc cherche vraiment
On imagine que le but est d'encaisser votre don de 20 €. C'est le scénario le moins rentable pour lui, et pourtant le plus rassurant pour vous. La réalité est souvent plus large.
Le don ponctuel détourné
Version la plus simple : la page de paiement encaisse la somme, remercie chaleureusement, envoie même parfois un faux reçu fiscal en PDF. La victime ne s'aperçoit de rien avant des mois — au moment de la déclaration d'impôts, quand l'administration ne reconnaît pas l'organisme.
La capture des données bancaires
Le formulaire de « don » demande le numéro de carte, la date d'expiration, le cryptogramme. Une fois ces trois éléments obtenus, le montant réellement débité n'a plus aucun rapport avec les 10 € annoncés. Certaines pages poussent le vice jusqu'à proposer le « don mensuel » coché par défaut, ce qui rend le prélèvement récurrent parfaitement légitime aux yeux de la banque.
La validation d'authentification détournée
C'est la variante la plus coûteuse. Vous saisissez votre carte, un vrai code de confirmation arrive de votre banque, et vous le validez dans votre application bancaire en pensant confirmer un don. Sauf que la transaction que vous authentifiez n'est pas celle affichée à l'écran. Comme vous avez validé vous-même dans votre application, la contestation ultérieure devient nettement plus difficile.
La qualification de votre profil
Même sans paiement, le simple fait de cliquer et de commencer à remplir le formulaire signale que votre numéro est actif, que vous êtes réceptif aux causes humanitaires, et souvent que vous appartenez à une tranche d'âge donnée. Ce profil se revend. C'est ainsi qu'une personne ayant cliqué une fois reçoit ensuite trois SMS caritatifs par semaine, puis des appels téléphoniques de « fondations » inconnues.
Une règle simple : un clic sur un lien frauduleux ne coûte pas seulement ce que vous payez ce jour-là. Il coûte aussi la place que votre numéro va désormais occuper dans les fichiers revendus entre escrocs.
Les signaux qui trahissent le faux appel aux dons
Le message est court, poli, sans faute d'orthographe grossière. L'époque du texte mal traduit est largement révolue. Il faut donc regarder ailleurs.
Le nom de domaine. C'est le point de contrôle numéro un. Les grandes associations françaises utilisent des domaines courts et stables : croix-rouge.fr, restosducoeur.org, secourspopulaire.fr, unicef.fr, medecinsdumonde.org, fondation-abbe-pierre.fr. Un lien du type don-croixrouge-urgence.net, soutien-restos2026.info ou secours-populaire-france.help est un faux, quelle que soit sa vraisemblance. Les escrocs jouent sur les tirets ajoutés, les extensions exotiques et les sous-domaines trompeurs.
L'absence de canal alternatif. Une vraie campagne de dons vous laisse toujours plusieurs portes : le site officiel, un numéro d'appel, un formulaire papier, un don par chèque. Un SMS qui ne propose que son lien, sans jamais mentionner le site principal de l'association, est suspect par construction.
L'urgence sentimentale hyper-spécifique. « Il reste 4 heures pour financer les couvertures. » Les associations sérieuses communiquent sur des programmes, pas sur des comptes à rebours à l'heure près.
Le mode de paiement. Aucune association reconnue ne demande un don par virement instantané vers un IBAN de particulier, par carte cadeau, par cryptomonnaie ou via un lien de paiement entre particuliers. C'est un signal éliminatoire immédiat.
L'expéditeur affiché. Le nom qui s'affiche en haut de votre écran ne prouve strictement rien. Le spoofing — l'usurpation de l'identifiant d'expéditeur — permet d'afficher « CROIX-ROUGE » ou « UNICEF » à la place d'un numéro. Pire : le message frauduleux vient parfois se ranger dans le même fil de conversation que les vrais SMS de l'organisme, ce qui lui donne une crédibilité maximale.
La vérification en trois minutes, sans stress
La bonne nouvelle, c'est qu'un don n'est jamais urgent. Personne ne perd un avantage à donner trente minutes plus tard. Ce temps disponible est votre meilleure arme.
- Ne touchez pas au lien. Pas même pour « voir ». Certaines pages déclenchent des redirections ou tentent d'installer une application.
- Ouvrez vous-même le site de l'association, en tapant son nom dans votre navigateur. Si la campagne annoncée par SMS existe, elle sera en page d'accueil. Si elle n'y figure pas, la réponse est faite.
- Vérifiez que l'organisme est habilité à délivrer un reçu fiscal. Le site de l'association l'indique, et l'administration fiscale précise sur impots.gouv.fr les conditions de la réduction d'impôt pour dons aux œuvres.
- Consultez le Comité de la Charte / Don en confiance, l'organisme français d'agrément volontaire des associations faisant appel à la générosité du public. Son annuaire en ligne liste les organismes labellisés. Ce n'est pas une garantie absolue — beaucoup d'associations honnêtes ne sont pas labellisées — mais c'est un repère utile.
- Donnez par le canal que vous avez choisi, jamais par celui qu'on vous a proposé.
Pour les personnes qui préfèrent une trace papier, garder à portée de main un carnet de notes A5 dans lequel on inscrit les dons effectués, la date et l'organisme évite les doublons et facilite grandement la déclaration d'impôts au printemps.
Le cas particulier du don par SMS légitime
Il existe en France de vraies campagnes de dons par SMS, encadrées par les opérateurs. Elles fonctionnent selon un schéma très reconnaissable : on vous demande d'envoyer un mot-clé à un numéro court à cinq chiffres (type 92xxx), et le montant, fixe, est prélevé sur votre facture téléphonique ou votre crédit prépayé.
Les différences avec la fraude sont nettes :
| Don par SMS légitime | Faux appel aux dons |
|---|---|
| Vous envoyez le message, vous êtes à l'initiative | Vous recevez un message non sollicité |
| Numéro court à 5 chiffres, annoncé publiquement | Lien web vers un domaine inconnu |
| Montant fixe et affiché (5, 10 €…) | Montant libre, formulaire de carte bancaire |
| Aucune donnée bancaire demandée | Carte, cryptogramme, parfois pièce d'identité |
| Campagne relayée à la télévision, à la radio, en affichage | Campagne connue de vous seul, par SMS |
Retenez la ligne la plus importante : un don légitime par SMS ne demande jamais votre carte bancaire dans un formulaire web ouvert depuis un lien reçu.
Pourquoi les proches âgés sont surexposés
Ce n'est pas une question de crédulité, c'est une question de sociologie du don. Les études sur la générosité en France montrent régulièrement que les donateurs réguliers sont majoritairement des personnes de plus de 60 ans, souvent fidèles à deux ou trois associations depuis des décennies. Elles ont l'habitude d'être sollicitées — par courrier, par téléphone, par mail — et ce flux de sollicitations rend une demande supplémentaire parfaitement banale.
S'ajoute un facteur pratique : lire une adresse web complète sur un écran de smartphone, avec ses tirets et son extension, suppose une acuité visuelle et une aisance technique qui ne vont pas de soi. Beaucoup d'utilisateurs voient « croix-rouge » dans l'URL et s'arrêtent là. Sur ce point, augmenter la taille de police du téléphone dans les réglages d'accessibilité change plus de choses que n'importe quel logiciel : un texte plus grand rend le domaine frauduleux visible. Une loupe de lecture à LED posée sur la table du salon rend le même service pour les courriers papier, qui restent le canal principal de sollicitation caritative.
Pour les proches équipés d'un appareil qui les dépasse, un téléphone portable à grosses touches limite mécaniquement la surface d'attaque : pas de navigateur moderne, pas de formulaire de paiement, pas d'installation d'application. Le SMS frauduleux arrive toujours, mais il ne mène nulle part.
Enfin, la conversation compte davantage que l'équipement. Convenir d'une règle familiale simple — « on ne donne jamais depuis un lien, on donne toujours depuis le site ou par chèque » — protège mieux qu'une liste de signaux à mémoriser. Un guide pratique sur les arnaques numériques posé à côté du téléphone sert de rappel discret, sans donner l'impression d'un contrôle.
Que faire si vous avez déjà donné
Le réflexe le plus important est le premier : ne pas perdre de temps à avoir honte.
- Contactez immédiatement votre banque pour faire opposition sur la carte utilisée. Le service d'opposition est joignable 24 h/24. Demandez explicitement la mise en opposition et la contestation des opérations.
- Ne validez plus aucune notification de votre application bancaire dans les heures qui suivent. Si une demande de validation apparaît sans que vous ayez initié quoi que ce soit, refusez-la.
- Signalez le SMS au 33700, le dispositif national de signalement des SMS et appels indésirables : transférez le message au 33700, puis répondez avec le numéro de l'expéditeur lorsqu'il vous est demandé. Le service est gratuit.
- Signalez l'adresse frauduleuse sur Phishing Initiative (phishing-initiative.fr) et déclarez les faits sur la plateforme officielle THESEE, accessible depuis service-public.fr, dédiée aux escroqueries en ligne.
- Déposez plainte au commissariat ou à la gendarmerie. C'est souvent indispensable pour obtenir le remboursement.
- Prévenez l'association usurpée. Les grandes associations disposent de cellules dédiées et déposent plainte de leur côté ; votre signalement alimente leurs démarches.
Concernant le remboursement, l'article L133-18 du Code monétaire et financier pose le principe : en cas d'opération de paiement non autorisée, la banque rembourse immédiatement le payeur. Le point de friction porte sur la « négligence grave » — d'où l'importance de documenter précisément ce que vous avez saisi et validé. Conservez des captures d'écran du SMS, de la page de paiement et de vos échanges avec la banque. Un disque dur externe portable ou un simple dossier archivé permet de garder ces preuves hors du téléphone, au cas où celui-ci serait réinitialisé.
Donner reste une bonne idée
Il serait absurde de conclure qu'il faut cesser de donner. Les associations françaises constatent d'ailleurs un effet secondaire désagréable de ces fraudes : la méfiance générale finit par éroder les dons légitimes, y compris ceux effectués par des canaux parfaitement sûrs.
La bonne posture n'est pas la défiance, c'est la maîtrise du canal. Choisissez vous-même deux ou trois causes, allez sur leurs sites, mettez en place un don régulier ou notez leurs coordonnées, et considérez par défaut que toute sollicitation entrante non prévue — SMS, mail, appel, message sur une messagerie — n'est qu'une invitation à aller vérifier ailleurs.
Un escroc a besoin que vous cliquiez dans son cadre à lui. Dès l'instant où vous décidez que le don se fera dans le vôtre, l'arnaque n'a plus aucune prise. Et la générosité, elle, arrive à bon port.
