Première semaine de septembre. Vous avez rempli quatorze formulaires en trois jours, coché une case pour la photo de classe, réglé une adhésion à la coopérative, et créé un compte sur un portail famille dont vous avez déjà oublié le mot de passe. Le téléphone vibre : « Service cantine — solde négatif détecté sur le compte de votre enfant. Régularisez avant le 08/09 pour maintenir l'accès au restaurant scolaire : [lien] ».
Vous ne trouvez pas ça absurde. Vous avez effectivement payé quelque chose la semaine dernière, sans être certain que c'était bien la cantine. Vous ne savez plus si le prélèvement automatique a été reconduit. Et l'idée que votre enfant se retrouve sans repas jeudi midi suffit à faire pencher la balance.
Le smishing scolaire ne repose sur aucune prouesse technique. Il repose sur une chose beaucoup plus banale : en septembre, les parents ont perdu le fil de leurs propres démarches.
Pourquoi la rentrée est une fenêtre de tir idéale
Les campagnes d'arnaque par SMS suivent le calendrier. Les faux colis explosent en novembre-décembre, les fausses amendes après les longs week-ends, les faux remboursements d'impôts en été. Septembre, lui, appartient à l'école — et le terrain est particulièrement favorable pour trois raisons.
Le volume de messages légitimes est anormalement élevé. Entre l'application de vie scolaire, le portail famille de la mairie, l'association de parents d'élèves, le club de sport et le transporteur scolaire, une famille peut recevoir une dizaine de communications officielles en quinze jours. Un message frauduleux glissé dans ce flux ne détonne pas.
Les circuits de paiement sont éclatés. Selon la commune, la cantine se règle sur un portail municipal, via un prestataire privé, par prélèvement, par carte, ou par une régie. Aucun parent ne connaît par cœur le nom du prestataire de sa ville. Cette ignorance normale est exactement ce que l'escroc exploite : il n'a même pas besoin d'imiter la bonne entité, puisque vous ne savez pas laquelle attendre.
L'enjeu est un enfant. C'est la vraie différence avec un faux SMS bancaire. On peut remettre à demain la vérification d'un compte. On ne remet pas à demain quelque chose qui pourrait priver son enfant d'un repas, l'empêcher de partir en sortie scolaire ou l'exclure d'une activité. Le levier n'est pas la peur de perdre de l'argent, c'est la peur d'être un mauvais parent.
Les scénarios les plus fréquents cette année
Les formulations changent, la mécanique reste. Voici les variantes que l'on retrouve le plus souvent dans les signalements de rentrée.
| Prétexte | Message type | Ce qu'on vous demande vraiment |
|---|---|---|
| Impayé de cantine | « Solde négatif, régularisez sous 48 h » | Coordonnées de carte bancaire sur un faux portail |
| Fournitures ou manuels | « Commande de manuels incomplète, complément à régler » | Petit paiement + données bancaires |
| Sortie scolaire / voyage | « Acompte du voyage non enregistré » | Virement vers un IBAN frauduleux |
| Assurance scolaire | « Attestation obligatoire manquante, souscrivez ici » | Souscription bidon + identité complète |
| Transport scolaire | « Carte de bus non validée, réactivez votre badge » | Identifiants du portail régional |
| Photo de classe | « Votre commande photo expire » | Paiement sur site copié |
| Compte ENT / vie scolaire | « Votre accès sera désactivé, reconnectez-vous » | Identifiants réutilisables ailleurs |
Deux tendances méritent une attention particulière.
La première, c'est l'arnaque à l'aide financière. Des messages annoncent un reliquat d'allocation de rentrée scolaire, une « prime cantine » ou une aide départementale à récupérer. Le principe est le même que pour les faux remboursements de la CAF ou de l'Assurance Maladie : on vous promet de l'argent pour obtenir un RIB et une pièce d'identité, qui serviront ensuite à ouvrir un crédit ou à détourner de vrais versements. Rappelons-le clairement : l'allocation de rentrée scolaire est versée automatiquement par la CAF ou la MSA aux familles éligibles, sans démarche par SMS, sans lien à cliquer.
La seconde, c'est le message d'urgence prétendument envoyé par l'établissement : « incident dans l'établissement, consultez la note aux familles », avec un lien. Ce prétexte-là ne demande pas d'argent. Il vise l'installation d'une application ou la collecte d'identifiants, en s'appuyant sur une émotion qui court-circuite tout raisonnement. Aucun établissement scolaire ne communique une alerte de sécurité par un lien externe envoyé depuis un numéro mobile inconnu.
Ce qui rend ces messages crédibles
Le nom de l'expéditeur ne prouve rien
Beaucoup de ces SMS s'affichent avec un nom d'expéditeur textuel — « ECOLE », « CANTINE », « MAIRIE » — plutôt qu'un numéro. Cette usurpation d'en-tête, ou spoofing, est techniquement triviale à réaliser via certaines passerelles internationales. Pire : quand le nom affiché correspond à un expéditeur déjà présent dans votre historique, le faux message peut venir s'insérer dans la même conversation que les vrais SMS de l'établissement, juste en dessous du message légitime reçu la semaine précédente.
C'est le point que les parents découvrent avec le plus de stupeur. Le fil de discussion n'est pas une preuve d'authenticité : votre téléphone regroupe les messages par nom affiché, pas par identité vérifiée.
Les informations personnelles ne prouvent rien non plus
Certains messages citent le prénom de l'enfant, la commune, parfois le nom de l'école. Cela paraît impossible sans accès aux fichiers de l'établissement — et pourtant, ces données circulent : fuites de données de prestataires périscolaires, listes de diffusion d'associations, inscriptions à des activités, réseaux sociaux où les parents publient photos et noms d'établissements à chaque rentrée. Un prénom connu n'est pas une signature.
La règle qui tient toujours : une information exacte dans un message ne valide pas le message. Elle valide seulement que l'expéditeur a eu accès à cette information, d'une façon ou d'une autre.
Le montant est volontairement dérisoire
12,40 €. 6,90 €. 23 €. Les sommes réclamées sont calibrées pour ne pas déclencher la méfiance : trop petites pour valoir un appel à la mairie, assez plausibles pour correspondre à quelques repas. Le but n'est presque jamais ce prélèvement. Le but, c'est la saisie de votre numéro de carte, de sa date d'expiration et du cryptogramme sur une page copiée — données qui seront ensuite utilisées pour des opérations bien plus lourdes, avec validation détournée via un faux conseiller qui vous appellera quelques jours plus tard.
La vérification en trente secondes
Vous n'avez pas besoin d'être expert. Vous avez besoin d'une seule habitude : ne jamais utiliser le chemin proposé par le message.
- Ne cliquez pas sur le lien. Même pour « juste regarder ». Certaines pages tentent un téléchargement automatique sur Android.
- Ouvrez vous-même le portail habituel. Via votre application déjà installée, ou votre favori enregistré, ou en tapant l'adresse de la mairie. Si un impayé existe réellement, il apparaîtra là.
- Appelez le secrétariat de l'établissement ou le service scolaire de la mairie au numéro figurant sur un document papier reçu à la rentrée, jamais au numéro contenu dans le SMS.
- Regardez le domaine du lien sans l'ouvrir, par un appui long qui affiche l'URL. Les adresses officielles françaises se terminent par
.gouv.fr,.frde la commune, ou le nom du prestataire connu — pas par des suffixes exotiques ou des noms de domaine à rallonge. - Demandez à un autre parent. Un message aux parents délégués de la classe suffit souvent à savoir en trente secondes si toute la classe a reçu le même SMS.
Ce dernier point est sous-estimé. Les campagnes de smishing scolaire sont massives : si votre voisin de palier a reçu le même message alors que son enfant est dans une autre école, le doute est levé instantanément.
Le facteur aggravant : le téléphone de l'enfant
Septembre, c'est aussi le mois où beaucoup d'enfants reçoivent leur premier appareil. Or les messages frauduleux ne s'arrêtent pas aux parents : les adolescents reçoivent leurs propres versions — faux codes de jeu, fausses offres de forfait, faux gains de concours — et ils sont statistiquement plus prompts à cliquer.
Trois précautions valent mieux qu'un long discours :
- Configurez le filtrage des expéditeurs inconnus dans l'application Messages (Android comme iOS proposent un tri automatique des messages d'expéditeurs non enregistrés).
- Désactivez l'installation d'applications hors magasin officiel sur les appareils Android.
- Prévoyez un support physique pour les mots de passe : un carnet de mots de passe rangé à la maison reste, pour beaucoup de familles, plus sûr qu'un fichier « codes.txt » dans les notes du téléphone.
Et si l'appareil est destiné à un usage très encadré, un téléphone mobile simple à grosses touches, sans navigateur ni installation d'applications, réduit mécaniquement la surface d'attaque — le message piégé peut arriver, mais il ne mène nulle part. C'est aussi la solution que beaucoup de familles adoptent pour un grand-parent qui reçoit ces mêmes messages sans disposer des repères pour les trier.
Sécuriser l'appareil qui reçoit ces messages
Un smartphone qui sert d'unique porte d'entrée à la vie administrative familiale mérite quelques précautions matérielles élémentaires, souvent négligées.
Gardez le système à jour. La majorité des pages de phishing exploitent la crédulité, pas des failles — mais celles qui tentent d'installer un logiciel espion visent des versions anciennes non corrigées.
Protégez l'écran et le boîtier. Un téléphone fissuré finit par être remplacé dans l'urgence, souvent en récupérant des sauvegardes à la va-vite et en réinstallant des applications au hasard : c'est là que les erreurs de sécurité se glissent. Un film de protection en verre trempé et une coque de protection antichoc n'ont rien de glamour, mais ils évitent ce genre de transition précipitée.
Surveillez l'autonomie. Un appareil qui s'éteint au mauvais moment vous prive de l'accès à vos applications bancaires et à la double authentification, précisément quand vous auriez besoin de vérifier. Une batterie externe compacte dans le sac règle le problème pour la journée d'école.
Si vous avez cliqué, ou payé
Le pire réflexe est le silence par honte. Ces messages sont conçus par des professionnels pour tromper des gens attentifs ; se faire piéger n'est pas un défaut d'intelligence.
Dans l'heure :
- Contactez votre banque pour faire opposition sur la carte utilisée et signaler l'opération.
- Changez le mot de passe du portail concerné, et de tout autre service où vous utilisiez le même.
- Ne répondez à aucun appel entrant se présentant comme votre banque : le faux conseiller arrive presque toujours après la saisie des données.
Dans les jours qui suivent :
- Signalez le message au 33700, la plateforme officielle de signalement des SMS frauduleux en France (transférez le SMS au 33700, puis envoyez le numéro de l'expéditeur quand on vous le demande).
- Déposez plainte, en ligne ou en commissariat. Le récépissé est souvent exigé par la banque.
- Consultez Cybermalveillance.gouv.fr, qui propose un diagnostic guidé et oriente vers les démarches adaptées, et le service Info Escroqueries (0 805 805 817), gratuit.
- Prévenez l'établissement scolaire : il peut alerter les autres familles, ce qui coupe la campagne bien plus efficacement qu'un signalement isolé.
L'article L. 133-18 du code monétaire et financier prévoit le remboursement des opérations non autorisées, sauf négligence grave du client. Communiquer volontairement ses codes sur un site frauduleux est souvent qualifié de négligence par les banques, mais la jurisprudence a évolué en faveur des victimes de spoofing convaincant. Insistez, et n'hésitez pas à saisir le médiateur bancaire en cas de refus.
Le réflexe à installer une fois pour toutes
La rentrée passera, et les prétextes changeront : Halloween, les cadeaux de Noël, les inscriptions de janvier, les voyages scolaires du printemps. Ce qui ne changera pas, c'est la structure du piège.
Un organisme réel + une échéance courte + un petit montant + un lien. Dès que ces quatre éléments cohabitent dans un même message, considérez-le comme faux jusqu'à preuve du contraire — et allez chercher la preuve ailleurs que dans le message lui-même.
Expliquez-le à vos enfants, à vos parents, aux autres familles de la classe. Un ouvrage de vulgarisation sur la cybersécurité familiale peut aider à poser les bases avec des adolescents, mais l'essentiel tient en une phrase que tout le monde peut retenir : on ne vérifie jamais un message avec le message.
Et si vous devez prévenir rapidement d'autres parents qu'une campagne circule, un simple texto envoyé depuis un service en ligne, sans installer quoi que ce soit, fait parfaitement l'affaire. La meilleure défense collective contre une campagne de smishing reste encore la vitesse à laquelle l'information circule entre voisins de palier.
