« Colissimo — Votre colis n'a pas pu être livré. » Le message s'affiche, mais quelque chose a changé. À côté du nom de l'expéditeur, un petit logo rond aux couleurs de l'entreprise. En dessous, une case bleue : « Vérifié ». Et trois boutons proposés : « Suivre mon colis », « Reprogrammer », « Contacter le service client ».
Ce n'est plus un SMS. C'est un message RCS — et il ressemble beaucoup plus à une conversation WhatsApp qu'au texte brut de 160 caractères que nous connaissons depuis trente ans. Depuis que Apple a intégré le standard à iOS fin 2024 et que Google l'a généralisé sur Android, la messagerie native de votre téléphone a discrètement changé de nature. La plupart des utilisateurs ne s'en sont jamais aperçus.
Cette bascule est une bonne nouvelle pour la sécurité. Mais elle crée aussi une situation dangereuse : un public qui apprend à faire confiance aux petits logos et aux pastilles « vérifié » sans savoir ce qu'ils garantissent réellement — ni surtout ce qu'ils ne garantissent pas.
RCS : de quoi parle-t-on exactement ?
Le sigle signifie Rich Communication Services, « services de communication enrichis ». C'est un standard porté par la GSMA, l'association mondiale des opérateurs mobiles, pensé dès 2008 pour remplacer le SMS et le MMS, devenus techniquement archaïques face aux messageries internet.
Concrètement, le RCS apporte quatre choses que le SMS n'a jamais su faire :
- Des messages sans limite de taille, avec photos, vidéos et fichiers en pleine résolution ;
- Les accusés de lecture et l'indicateur « en train d'écrire », comme sur les messageries applicatives ;
- Le passage par internet (Wi-Fi ou données mobiles) plutôt que par le canal de signalisation du réseau téléphonique ;
- Des expéditeurs professionnels identifiés, avec logo, nom complet, couleur de marque et badge de vérification.
C'est ce dernier point qui nous intéresse ici. Dans l'écosystème RCS, une entreprise qui souhaite vous envoyer des messages ne peut plus se contenter de payer une passerelle et d'écrire « SFR » ou « CPAM » dans le champ expéditeur. Elle doit passer par un processus d'enregistrement : vérification d'identité juridique, validation du logo, contrôle par l'opérateur ou par Google. C'est la brique appelée RCS Business Messaging.
Sur le papier, cela règle le problème historique du SMS : l'absence totale d'authentification de l'expéditeur.
Le péché originel du SMS, et pourquoi le RCS le corrige
Il faut comprendre à quel point le SMS est un protocole naïf. Créé à la fin des années 1980 pour un usage entre abonnés d'un même réseau, il n'a jamais prévu de mécanisme de vérification de l'émetteur. Lorsqu'une entreprise envoie un message, elle remplit un champ texte libre appelé sender ID. Ce champ n'est vérifié par personne dans la chaîne technique.
C'est exactement ce qui rend possible le spoofing : l'usurpation du nom d'expéditeur. Un escroc qui écrit « AMELI » dans ce champ verra son message atterrir dans le fil de discussion existant de l'Assurance Maladie sur votre téléphone, juste en dessous des vrais messages. Cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes d'actes de cybermalveillance, documente ce mécanisme depuis des années dans ses fiches sur le smishing.
Face à cela, la France a mis en place en octobre 2023 le registre des noms d'expéditeurs SMS, opéré par l'Association Française du Multimédia Mobile (AF2M) sous l'égide de l'Arcep. Toute entreprise voulant utiliser un nom alphanumérique doit désormais le déclarer, et les opérateurs bloquent les envois dont l'expéditeur n'est pas enregistré. C'est un vrai progrès, mais il reste national : les envois qui transitent par des passerelles étrangères ou de fausses antennes relais (les fameux SMS Blasters) contournent en partie le dispositif.
Le RCS va plus loin, parce que la vérification n'est pas déclarative mais cryptographique et visuelle : le logo et le badge sont poussés par la plateforme, pas par l'émetteur du message. Un escroc ne peut pas les fabriquer dans le texte de son message.
Ce que le badge « vérifié » garantit — et ce qu'il ne garantit pas
C'est le cœur du sujet, et la source de la plupart des malentendus.
Ce que le badge garantit :
L'entité qui vous écrit a fourni des documents d'identité d'entreprise et a été validée par la plateforme. Le logo affiché lui appartient. Le message n'a pas été fabriqué par un tiers se faisant passer pour elle.
Ce que le badge ne garantit absolument pas :
- Que le contenu du message est honnête. Une société commerciale réellement enregistrée peut parfaitement vous envoyer une offre trompeuse, un abonnement piégé ou une sollicitation agressive. La vérification porte sur l'identité, pas sur l'intention.
- Que le lien contenu dans le message est sûr. Rien n'empêche un message légitime de pointer vers une page compromise.
- Que tous les messages non vérifiés sont frauduleux. Beaucoup de petites structures, d'associations, de cabinets médicaux ou de garagistes envoient encore de simples SMS. L'absence de badge n'est pas un signal de fraude.
Cette nuance est essentielle à transmettre, notamment aux publics les plus exposés. On a passé dix ans à apprendre aux seniors que « le cadenas vert dans le navigateur ne veut pas dire que le site est honnête ». Le badge RCS est en train de devenir le nouveau cadenas vert : un indice utile, transformé en preuve absolue par ceux qui ne savent pas ce qu'il mesure.
Les nouvelles surfaces d'attaque ouvertes par le RCS
Passer du texte brut à une messagerie enrichie déplace mécaniquement le terrain de jeu. Trois évolutions méritent l'attention.
1. Le message qui ne ressemble plus à un message
Un SMS frauduleux se repérait à sa laideur : fautes, URL bizarre en clair, mise en page inexistante. Un message RCS peut afficher un carrousel d'images, des boutons d'action, une carte interactive, une couleur de marque. La faute d'orthographe reste, mais elle est noyée dans une interface soignée qui inspire confiance.
Le réflexe « je regarde le lien avant de cliquer » devient d'ailleurs plus difficile : dans un bouton d'action, l'URL de destination n'est tout simplement pas visible. Vous appuyez sur « Suivre mon colis » sans jamais voir où cela vous emmène.
2. Le retour du fichier joint
Le SMS ne transportait qu'un lien. Le RCS transporte des fichiers, jusqu'à plusieurs centaines de mégaoctets. On retrouve donc sur la messagerie mobile un vecteur que l'on croyait réservé au courrier électronique : la pièce jointe piégée. Sur Android, un fichier APK envoyé dans une conversation et présenté comme « l'application de suivi de votre dossier » reste un des principaux modes d'installation de logiciels espions bancaires, comme le documentent régulièrement les équipes de l'ANSSI et les éditeurs de sécurité mobile.
3. La dépendance à internet
Le RCS passe par les données. Un message envoyé alors que vous êtes en zone blanche ou à court de forfait bascule automatiquement en SMS classique — donc sans badge, sans logo, sans chiffrement. Cette bascule silencieuse crée une incohérence visuelle que les escrocs peuvent exploiter : « votre message est arrivé en mode dégradé, cliquez pour le consulter ». Garder son téléphone chargé et connecté a ici une vraie fonction de sécurité, ce qui explique le succès des batteries externes de poche chez les gros usagers du mobile.
Et le chiffrement, dans tout ça ?
C'est le sujet le plus mal compris. Le SMS n'est pas chiffré de bout en bout : il transite en clair dans l'infrastructure de l'opérateur, qui peut techniquement le lire, et il est stocké quelque temps sur ses serveurs. C'est d'ailleurs pour cette raison que les spécialistes déconseillent depuis longtemps de recevoir ses codes d'authentification bancaire par SMS.
Le RCS a longtemps hérité de cette faiblesse. Google a ajouté le chiffrement de bout en bout dans sa propre application Messages, mais uniquement entre deux utilisateurs de cette application. Depuis la publication du profil RCS Universal Profile 3.0 par la GSMA en 2025, le chiffrement de bout en bout est prévu au niveau du standard lui-même, y compris entre Android et iPhone. Son déploiement effectif dépend des mises à jour des systèmes d'exploitation et des applications.
Retenons deux choses :
| SMS classique | RCS (profil récent) | |
|---|---|---|
| Expéditeur authentifié | Non (registre AF2M en France) | Oui pour les pros vérifiés |
| Chiffrement de bout en bout | Non | Oui, selon versions |
| Transport | Réseau opérateur | Internet |
| Pièces jointes | Non | Oui |
| Lisible sans réseau data | Oui | Non |
Le chiffrement protège vos échanges privés de l'interception. Il ne protège strictement en rien contre l'arnaque : un escroc qui vous écrit directement vous écrit dans un tuyau chiffré, ce qui ne rend pas son mensonge plus sûr. Confondre confidentialité et fiabilité est l'erreur de raisonnement la plus fréquente sur ce sujet.
Les réflexes à mettre à jour en 2026
L'arrivée du RCS ne périme aucun des réflexes existants. Elle en ajoute quelques-uns.
1. Vérifier le canal, pas le message. La règle d'or reste inchangée : aucune administration, aucune banque, aucun transporteur ne vous demandera de saisir vos identifiants ou vos coordonnées bancaires depuis un message reçu. Quel que soit le logo affiché, on ferme et on se rend soi-même sur le site officiel ou l'application.
2. Appuyer longuement plutôt que taper. Sur la plupart des applications de messagerie, un appui long sur un bouton d'action ou un lien affiche l'adresse de destination sans l'ouvrir. Prenez cette habitude : c'est le seul moyen de voir où mène un bouton RCS.
3. Se méfier de tout fichier reçu dans une conversation. Aucun service public, aucune banque française ne distribue son application autrement que par l'App Store ou le Play Store. Un fichier d'installation reçu par message est frauduleux, sans exception.
4. Regarder la cohérence, pas l'esthétique. Un message professionnel vérifié qui vous tutoie, qui vous menace d'un délai de 24 heures ou qui vous demande une « régularisation de 1,99 € » est suspect quel que soit son habillage. L'urgence et le micro-paiement sont les deux marqueurs les plus constants de l'escroquerie.
5. Garder le 33700 sous la main. Le service national de signalement des SMS et appels frauduleux, opéré par les opérateurs sous l'égide des pouvoirs publics, accepte les transferts de messages indésirables. En parallèle, la plateforme Pharos et le site cybermalveillance.gouv.fr restent les points d'entrée pour les cas plus graves.
6. Faire le tri dans les applications de messagerie. Beaucoup de téléphones Android hébergent deux applications capables de recevoir des messages, ce qui multiplie les points d'entrée et brouille les repères. N'en garder qu'une, à jour, simplifie considérablement la vigilance.
Le cas particulier des seniors et des utilisateurs peu à l'aise
Chaque évolution d'interface produit un effet secondaire : elle réinitialise les repères de ceux qui avaient mis des années à en construire. Une personne de 80 ans qui avait fini par comprendre « un vrai message de ma banque ne contient jamais de lien » se retrouve face à des bulles colorées, des boutons, des logos et des vignettes.
Quelques mesures simples réduisent le risque :
- Désactiver le RCS dans les paramètres de l'application Messages si l'utilisateur n'en a aucun usage. Le téléphone revient au SMS classique, plus pauvre mais plus lisible.
- Bloquer l'installation d'applications de sources inconnues, option présente dans les réglages de sécurité d'Android, qui neutralise l'essentiel des attaques par pièce jointe.
- Pour les usages vraiment limités, envisager un téléphone senior à grosses touches, dont la messagerie reste volontairement basique : moins de fonctions, c'est aussi moins de surface d'attaque.
- Noter dans un carnet de mots de passe papier rangé au domicile les identifiants importants, plutôt que de les stocker dans des notes de téléphone ou de devoir les redemander en urgence — un moment que les escrocs exploitent.
- Installer un support de téléphone pour bureau près du poste de travail domestique, pour que la personne prenne l'habitude de lire ses messages posément, assise, plutôt que dans la rue en marchant. La précipitation est le premier facteur de clic.
Ce qu'il faut retenir
Le RCS est une amélioration réelle. L'authentification des expéditeurs professionnels rend beaucoup plus difficile l'usurpation grossière de « CPAM » ou « La Poste » qui a fait la fortune du smishing pendant dix ans. Le chiffrement de bout en bout, à mesure qu'il se déploie, comble une faiblesse structurelle du SMS.
Mais aucune amélioration technique n'a jamais supprimé une escroquerie : elle la déplace. Les campagnes frauduleuses migrent vers les numéros mobiles ordinaires, vers WhatsApp, vers les messageries de plateformes de vente, vers les faux QR codes. Et surtout, elles s'appuient sur ce que la technique ne corrigera jamais : la peur, l'urgence, la fatigue, la confiance accordée à un logo.
La question à se poser devant un message n'est donc pas « est-ce qu'il a l'air vrai ? », mais « est-ce qu'il me demande quelque chose que je n'ai pas initié ? ». Cette question-là fonctionne indifféremment sur un SMS de 1995 et sur un message enrichi de 2026.
