Vous sortez d'une réunion, ou d'un rendez-vous chez le médecin. Le téléphone vibre : « Vous avez reçu 1 nouveau message vocal. Écoutez-le : [lien] ». Rien d'inquiétant. Personne ne vous menace, personne ne vous réclame 2,99 €, aucun colis bloqué en douane. Juste quelqu'un qui a cherché à vous joindre pendant que vous n'étiez pas disponible.
C'est exactement pour cela que ça marche.
Depuis deux ans, la notification de messagerie vocale s'est installée parmi les appâts les plus rentables du smishing en France. Elle ne déclenche ni peur ni euphorie — les deux émotions que l'on a appris à repérer. Elle déclenche une chose bien plus difficile à combattre : la curiosité banale.
Pourquoi ce message précis passe sous tous les radars
Les campagnes de sensibilisation, celles de Cybermalveillance.gouv.fr comme celles des banques, reposent sur une liste de signaux : urgence, menace, faute d'orthographe, demande d'argent, expéditeur inconnu. Le faux message vocal ne coche aucune de ces cases.
Regardez ce qu'il propose réellement :
- Aucune urgence. Un message vocal attend. Il attendra encore demain. Il n'y a pas de compte à rebours, donc pas de méfiance déclenchée.
- Aucune transaction. On ne vous demande ni carte bancaire, ni virement, ni identité. Du moins, pas tout de suite.
- Un fait plausible à 100 %. Vous avez forcément raté des appels cette semaine. Le message n'a même pas besoin d'être crédible : il l'est mécaniquement.
- Un geste habituel. Écouter un répondeur fait partie de la routine de n'importe quel utilisateur de téléphone depuis trente ans.
Ajoutez à cela que plusieurs opérateurs français envoient de vraies notifications SMS de messagerie vocale, parfois avec un lien vers leur service de « visual voicemail ». L'usager n'a plus aucun repère fiable pour distinguer le vrai du faux. On lui a appris à se méfier des liens, mais son propre opérateur lui en envoie.
La règle qui reste valable : un message vocal légitime s'écoute depuis votre téléphone, en appelant votre répondeur ou via l'application officielle de votre opérateur. Jamais depuis un lien reçu par SMS.
Ce qui se passe après le clic : trois scénarios
Le lien ne mène pas toujours au même endroit. Les fraudeurs testent, segmentent, adaptent selon le système d'exploitation détecté par la page d'atterrissage. Trois familles de conséquences dominent.
1. La page de collecte d'identifiants
C'est la version la plus simple. Le lien ouvre une page qui reproduit l'interface de votre opérateur : logo, couleurs, mentions légales copiées-collées. Le message est immuable : « Connectez-vous à votre espace client pour écouter votre message. »
Vous saisissez identifiant et mot de passe. Ils partent directement chez l'escroc. Or l'espace client d'un opérateur est une mine : il contient votre adresse, votre RIB, votre facturation détaillée, et surtout la possibilité de commander une nouvelle carte SIM ou de modifier des options. On rejoint alors le terrain du détournement de ligne.
2. L'application à installer
Version plus agressive, principalement dirigée vers Android. La page annonce que « l'écoute nécessite l'application Messagerie Vocale Visuelle » et propose un fichier à télécharger en dehors du Play Store.
Le fichier installé est un cheval de Troie bancaire. Les familles connues des chercheurs en sécurité — les variantes issues de FluBot, démantelée en 2022 par Europol mais largement copiée depuis, ou les souches type Anatsa signalées par plusieurs éditeurs antivirus — fonctionnent toutes sur le même principe :
| Ce que l'application demande | Ce qu'elle en fait réellement |
|---|---|
| Accès aux SMS | Intercepte les codes de validation bancaire |
| Accès aux contacts | Renvoie le même SMS piégé à tout votre répertoire |
| Service d'accessibilité | Superpose de faux écrans de connexion à vos vraies applis |
| Affichage par-dessus les autres applis | Capture ce que vous tapez, y compris les mots de passe |
C'est ce dernier point qui fait la gravité de l'affaire : la victime ne perd pas de l'argent au moment du clic, mais trois jours plus tard, quand elle ouvre son application bancaire et saisit ses codes sur un faux écran parfaitement imité.
3. La redirection vers un numéro surtaxé
Variante plus discrète : le lien affiche un bouton « Appeler la messagerie » qui compose un numéro commençant par 0899 ou 0891. L'appel est facturé plusieurs euros la minute, avec une voix enregistrée qui vous fait patienter le plus longtemps possible. Le préjudice est modeste, quelques dizaines d'euros, mais massif à l'échelle d'une campagne.
Le signal d'alerte que presque personne ne regarde : l'adresse
Un message vocal réel ne renvoie jamais vers un domaine exotique. Les fraudeurs utilisent des adresses courtes, souvent créées la veille, qui empruntent des mots rassurants.
Exemples de motifs relevés dans les campagnes récentes :
messagerie-vocale-espaceclient.xyzrepondeur-orange-fr.infovoicemail-sfr.online- des raccourcisseurs de liens génériques qui masquent la destination réelle
Le réflexe utile tient en une phrase : le nom de domaine, c'est ce qui est écrit juste avant le premier /. Dans orange.fr-messagerie.xyz/ecoute, le domaine n'est pas orange.fr, c'est fr-messagerie.xyz. Tout ce qui précède n'est que décor.
Sur un écran de smartphone, cette lecture est pénible : la barre d'adresse est courte, le texte minuscule, et la moitié de l'URL est tronquée. C'est une des raisons pour lesquelles la fraude mobile fonctionne mieux que la fraude par e-mail. Pour les personnes qui plissent les yeux devant leur écran, un support de téléphone réglable en hauteur posé sur le bureau change réellement la donne : on lit une adresse à tête reposée au lieu de la deviner à bout de bras.
Que faire, concrètement, quand ce SMS arrive
Ne rien faire est déjà une action valide
Si vous n'êtes pas certain, ignorez le message et appelez votre répondeur normalement. Sur la quasi-totalité des lignes françaises, il suffit de composer le 888 (Orange), le 123 (SFR), le 660 (Bouygues) ou le 740 (Free) — ou d'appuyer longuement sur la touche 1. S'il y a un vrai message, il est là. S'il n'y a rien, vous venez de conclure votre enquête en huit secondes.
Signalez au 33700
Transférez le SMS suspect au 33700, plateforme officielle de signalement des SMS et appels frauduleux gérée par les opérateurs sous l'égide des pouvoirs publics. Le service vous répond en demandant le numéro de l'expéditeur : transférez-le également. C'est gratuit, et c'est ce qui permet la fermeture des numéros émetteurs.
Vous pouvez également déposer un signalement sur Cybermalveillance.gouv.fr, et pour un site frauduleux, sur la plateforme Phishing Initiative ou via internet-signalement.gouv.fr (PHAROS).
Bloquez et supprimez
Sur iPhone comme sur Android, le blocage d'un expéditeur se fait en deux tapes depuis la conversation. Cela ne stoppe pas la campagne — les fraudeurs changent de numéro toutes les heures — mais cela nettoie votre fil et évite qu'un proche moins vigilant, à qui vous prêtez l'appareil, ne clique par accident.
Si vous avez déjà cliqué
Le clic seul, sans saisie ni installation, est rarement dramatique. Le danger commence à l'étape suivante. Voici l'ordre des opérations.
- Coupez le réseau. Mode avion immédiat, le temps de reprendre le contrôle. Cela interrompt l'exfiltration de données en cours.
- Vérifiez la liste des applications installées. Réglages → Applications, triées par date d'installation. Toute application inconnue apparue dans les minutes qui suivent le clic doit être désinstallée. Sur Android, si l'application refuse la désinstallation, redémarrez en mode sans échec.
- Changez les mots de passe concernés, en commençant par l'espace client opérateur, la messagerie e-mail et la banque — depuis un autre appareil, pas depuis le téléphone suspect. Un ordinateur portable de la maison fait très bien l'affaire.
- Prévenez votre banque. Faites opposition si vous avez saisi des données bancaires. Rappelons que l'article L133-18 du Code monétaire et financier impose le remboursement des opérations non autorisées, sauf négligence grave démontrée par la banque.
- Prévenez vos contacts. Ces logiciels se propagent par le carnet d'adresses : un simple message groupé « ne cliquez pas sur ce que je vous ai envoyé » évite une dizaine de victimes secondaires.
- Déposez plainte en cas de préjudice financier, en joignant les captures d'écran du SMS et des transactions.
Pour les cas les plus lourds — application malveillante installée depuis plusieurs jours, comportement anormal persistant — la remise à zéro complète du téléphone reste la seule garantie. D'où l'intérêt d'avoir ses données déjà à l'abri : un disque dur externe pour smartphone ou une simple sauvegarde cloud active transforment une catastrophe en après-midi désagréable.
Protéger un proche qui reçoit beaucoup de ces messages
Les personnes les plus exposées ne sont pas les moins intelligentes, ce sont les plus sollicitées et les plus isolées face à l'écran. Un parent âgé qui reçoit trois notifications par jour finira statistiquement par en ouvrir une.
Quelques leviers efficaces, par ordre de rendement :
- Activer le filtre anti-spam intégré. Sur iPhone : Réglages → Messages → Filtrer les expéditeurs inconnus. Sur Android, Google Messages propose depuis 2025 une protection renforcée contre les liens dangereux qu'il faut vérifier active dans les paramètres de sécurité.
- Désactiver l'installation d'applications de sources inconnues sur Android. C'est le verrou qui bloque 90 % des chevaux de Troie décrits plus haut.
- Convenir d'un réflexe unique : « en cas de doute, tu m'envoies une photo du message avant de toucher à quoi que ce soit ». Pas de règle complexe, une seule.
- Simplifier le matériel quand c'est pertinent. Pour un usage réduit aux appels et aux SMS, un téléphone senior à grosses touches supprime purement et simplement la surface d'attaque du navigateur web.
- Mettre le savoir sur papier. Un guide pratique de la sécurité numérique laissé sur la table basse est consulté bien plus souvent qu'un lien envoyé par messagerie, surtout par ceux qui se méfient déjà des écrans.
Ce que cette arnaque nous apprend sur toutes les autres
Le faux message vocal n'est pas techniquement sophistiqué. Sa force est ailleurs : il s'insère dans une habitude au lieu de la perturber.
C'est le déplacement majeur de la fraude mobile depuis deux ou trois ans. Les premières vagues de smishing hurlaient : compte bloqué, amende impayée, colis retenu. Elles jouaient sur l'affolement, et l'affolement finit par éduquer — on s'y habitue, on développe des anticorps. Les campagnes actuelles font l'inverse : elles chuchotent. Un message vocal, une mise à jour d'application, une confirmation de rendez-vous, un remboursement de quelques euros. Rien d'alarmant, donc rien à examiner.
Face à cela, la liste de signaux d'alerte ne suffit plus. Il faut lui substituer une règle de circulation, beaucoup plus simple à retenir et à transmettre :
On ne rejoint jamais un service par le chemin qu'un message nous propose. On y va par le chemin que l'on connaît déjà : son numéro de répondeur, son application installée, son adresse tapée à la main, son numéro de conseiller.
Cette règle ne demande aucune compétence technique. Elle ne dépend pas de la qualité du faux, de l'orthographe, du logo ni du nom de domaine. Elle fonctionne aussi bien contre le faux répondeur que contre le faux livreur, la fausse banque ou le faux service des impôts. Et elle a le mérite de tenir en une phrase que l'on peut répéter à un adolescent comme à un grand-parent.
Le prochain SMS annonçant un message vocal arrivera. Peut-être demain. La bonne réponse ne sera pas de deviner s'il est vrai : ce sera d'appeler votre répondeur, comme on le faisait avant que quiconque n'ait l'idée de vous envoyer un lien.
