# Faux SMS du service informatique : l'arnaque qui vise les salariés en télétravail

> Un SMS signé « Support IT » vous demande de réinitialiser votre mot de passe ou de valider une connexion : décryptage du smishing d'entreprise, de la fatigue MFA et des réflexes à adopter en télétravail.

- Source: https://www.envoyer-sms-gratuit.com/fr/blog/2026-09-09/arnaques-sms-teletravail-materiel-informatique-entreprise
- Published: 2026-09-09 (9 septembre 2026)
- Author: L'équipe Envoyer SMS Gratuit
- Language: fr
- Categories: Guide
- Tags: Cybersécurité, Smartphone, Guide, SMS, Protection des données, France 2026

---
« SUPPORT IT : votre compte Microsoft 365 expire dans 12 h. Réinitialisez votre mot de passe avant blocage : portail-rh-connexion[.]net »

Le message arrive un jeudi à 8 h 47. Vous êtes chez vous, la première réunion commence dans treize minutes, la machine à café tourne et votre ordinateur professionnel affiche déjà une demande de connexion. Vous ne connaissez pas le numéro, mais vous ne connaissez pas non plus par cœur le numéro du service informatique — vous ne l'avez jamais eu. Alors vous cliquez.

C'est là toute la différence avec le faux SMS de colis ou l'amende bidon : cette arnaque-là ne joue pas sur la peur d'une perte d'argent, mais sur **la peur de bloquer son travail**. Et elle vise un profil précis : le salarié isolé, à domicile, qui n'a personne dans le bureau d'à côté à qui demander « t'as reçu ça, toi aussi ? ».

![Homme en costume tenant un smartphone entre ses mains, avec carte bancaire et enveloppes sur un bureau](/images/blog/2026-09-09-arnaques-sms-teletravail-materiel-informatique-entreprise/body-1.jpg)

## Pourquoi les escrocs sont passés du particulier au salarié

Un compte bancaire piraté, c'est quelques milliers d'euros au mieux, et une banque qui bloque souvent l'opération. Un compte professionnel piraté, c'est autre chose : un accès à la messagerie interne, aux fichiers partagés, aux outils de facturation, parfois au VPN de l'entreprise. Pour un attaquant, la rentabilité n'a rien à voir.

L'ANSSI (Agence nationale de la sécurité des systèmes d'information) le documente année après année dans son *Panorama de la cybermenace* : le **vol d'identifiants** reste l'une des portes d'entrée les plus fréquentes des attaques par rançongiciel visant les entreprises et les collectivités françaises. Et cybermalveillance.gouv.fr, le dispositif public d'assistance, place l'hameçonnage en tête des demandes d'assistance déposées par les professionnels depuis plusieurs années consécutives.

Le SMS s'est imposé comme le vecteur préféré pour une raison simple et un peu vexante pour les directions informatiques : **le téléphone personnel échappe aux filtres de l'entreprise**. Une messagerie professionnelle est protégée par une passerelle antispam, un antivirus, des règles de quarantaine, parfois une bannière rouge « expéditeur externe ». Un SMS reçu sur un smartphone personnel n'a rien de tout ça. Il arrive brut, dans le même fil que les messages de la famille.

## L'anatomie d'un faux SMS « service informatique »

Ces campagnes suivent presque toujours la même charpente. Savoir la reconnaître suffit à désamorcer 90 % des tentatives.

### 1. Un expéditeur qui sonne interne

Le message s'affiche sous un nom d'expéditeur alphanumérique — « SupportIT », « MS-Securite », « DSI-Alerte » — ou sous un numéro mobile banal en 06/07. Rappel essentiel : **le nom d'expéditeur affiché sur un SMS n'est pas une preuve d'identité**. Il est déclaré par l'émetteur au moment de l'envoi. En France, l'Arcep et la Fédération française des télécoms ont mis en place depuis 2023-2024 un mécanisme de filtrage des noms d'expéditeurs usurpés (le « MEF », mécanisme d'authentification des émetteurs), qui a considérablement réduit l'usurpation des marques déclarées. Mais une entreprise de 200 salariés n'a généralement pas déclaré son nom court auprès des opérateurs : l'escroc n'a alors rien à usurper, il invente.

### 2. Une urgence datée

« Sous 12 h », « avant ce soir », « dernier rappel ». L'échéance courte n'est pas un détail de style : c'est le cœur du dispositif. Elle empêche l'unique geste qui protège vraiment — appeler quelqu'un pour vérifier.

### 3. Un prétexte crédible et administratif

Les prétextes les plus fréquents observés dans les campagnes signalées :

| Prétexte du SMS | Ce que l'escroc veut réellement |
|---|---|
| « Votre mot de passe expire » | Vos identifiants sur une fausse page de connexion |
| « Nouvelle politique de sécurité, réenregistrez votre appareil » | Vous faire installer un profil ou une application de contrôle à distance |
| « Validez la connexion inhabituelle » | Vous faire approuver *sa* connexion via votre double authentification |
| « Mise à jour de vos coordonnées bancaires pour la paie » | Votre RIB, pour détourner votre salaire |
| « Le DG a besoin de vous, répondez à ce numéro » | Ouvrir un dialogue et enchaîner sur une fraude au président |

### 4. Un lien à rallonge

Le domaine imite un vocabulaire d'entreprise — `portail-rh`, `intranet-connexion`, `sso-securite` — suivi d'une extension inhabituelle. Sur un écran de smartphone, l'adresse est tronquée. C'est exactement pour cette raison que l'arnaque marche mieux sur mobile que sur ordinateur : vous ne voyez que le début du lien.

## La fatigue MFA : quand la double authentification devient l'arme

C'est le mécanisme le plus sournois de 2025-2026, et le moins connu du grand public.

Vous avez activé la double authentification sur votre compte professionnel. Excellent réflexe. Sauf que l'escroc possède déjà votre mot de passe — récupéré dans une fuite de données, achetée pour quelques euros. Il tente de se connecter. Votre téléphone reçoit une notification : « Approuvez-vous cette connexion ? ». Vous refusez.

Il recommence. Trois fois. Dix fois. À 2 h du matin. Puis arrive le SMS : *« Support IT : nous testons la sécurité de votre compte, merci d'approuver la notification en cours. »*

Épuisé, agacé, et rassuré par un message qui semble expliquer le bug, l'utilisateur appuie sur « Approuver ». L'attaquant est dans la place. Cette technique porte un nom : le **MFA fatigue** ou *push bombing*. Elle a été utilisée dans plusieurs compromissions majeures documentées ces dernières années, et la CISA américaine comme l'ANSSI recommandent désormais d'abandonner la validation par simple bouton au profit du *number matching* — le code à recopier affiché sur l'écran de connexion.

> Règle absolue : une notification de connexion que **vous n'avez pas déclenchée vous-même dans la seconde** se refuse toujours. Sans exception, sans explication reçue par SMS.

Pour les comptes les plus sensibles, la parade la plus robuste reste matérielle : une **[clé de sécurité FIDO2](https://www.amazon.fr/s?k=cl%C3%A9+de+s%C3%A9curit%C3%A9+FIDO2+USB+NFC&tag=ds050-21)** branchée en USB ou approchée en NFC ne peut pas être hameçonnée, parce qu'elle vérifie cryptographiquement l'adresse du site avant de répondre. Une fausse page de connexion, aussi parfaite soit-elle, n'obtient rien.

![Homme barbu au crâne rasé regardant d'un air méfiant l'écran de son smartphone dans l'obscurité](/images/blog/2026-09-09-arnaques-sms-teletravail-materiel-informatique-entreprise/body-2.jpg)

## Le télétravail, terrain de jeu idéal

Trois facteurs se cumulent quand on travaille depuis chez soi.

**L'isolement social.** Au bureau, la vérification est instantanée et gratuite : on se tourne vers le collègue. À domicile, vérifier suppose d'ouvrir Teams, de chercher le bon interlocuteur, d'attendre une réponse. Le coût cognitif augmente, la vigilance baisse.

**La confusion des espaces.** Le même smartphone reçoit le SMS du pédiatre, la notification du groupe de sport et l'alerte « sécurité informatique ». Le cerveau ne bascule pas en mode professionnel, il traite tout au même niveau d'attention — c'est-à-dire distraitement.

**Le matériel personnel.** Beaucoup de salariés consultent leur messagerie professionnelle sur un téléphone qui leur appartient, sans configuration de sécurité imposée par l'employeur. Un [smartphone Android récent](https://www.amazon.fr/s?k=smartphone+Android+mises+%C3%A0+jour+s%C3%A9curit%C3%A9+longue+dur%C3%A9e&tag=ds050-21) avec des mises à jour de sécurité garanties sur plusieurs années fait ici une vraie différence : un appareil qui ne reçoit plus de correctifs devient une passoire, quel que soit le sérieux de son utilisateur.

Ajoutons un facteur horaire : les campagnes de smishing professionnel sont massivement envoyées **le lundi matin, le vendredi en fin de journée, et pendant les congés scolaires**. Ce sont les moments où les services informatiques sont saturés ou en effectif réduit, et où un message d'urgence paraît le plus plausible.

## Les cinq questions à se poser avant de toucher l'écran

Aucune n'exige de compétence technique.

1. **Mon service informatique m'a-t-il déjà écrit par SMS ?** Dans l'immense majorité des organisations, la réponse est non. Les communications passent par la messagerie interne, l'intranet ou le téléphone.
2. **Le message me demande-t-il de *faire* quelque chose dans l'urgence ?** Une vraie information de sécurité informe. Une arnaque commande.
3. **Le lien mène-t-il ailleurs que sur le domaine habituel de mon entreprise ?** Si vous ne pouvez pas lire l'adresse en entier, considérez que la réponse est oui.
4. **Ai-je déclenché moi-même l'action mentionnée ?** Pas de demande de réinitialisation de ma part = pas de réinitialisation légitime.
5. **Que se passe-t-il si j'ignore ce message pendant deux heures ?** Presque toujours : rien. Cette question seule désamorce l'urgence.

## Ce qu'il faut faire quand on a déjà cliqué

Le pire réflexe est le silence par honte. Se faire piéger n'est pas une faute professionnelle : c'est la conséquence prévisible d'attaques conçues par des professionnels. Un signalement dans les dix minutes limite les dégâts ; un signalement au bout de trois jours arrive après le vol.

**Dans l'ordre :**

- **Changez immédiatement le mot de passe concerné**, depuis un autre appareil si possible, et surtout depuis l'adresse officielle tapée à la main — jamais depuis le lien du SMS.
- **Prévenez votre service informatique ou votre responsable**, même en cas de doute, même si vous n'avez rien saisi. Eux seuls peuvent invalider les sessions ouvertes.
- **Vérifiez les règles de votre messagerie** : les attaquants créent souvent une règle de transfert automatique invisible pour continuer à lire vos e-mails après le changement de mot de passe.
- **Signalez le SMS au 33700** en transférant le message, puis en envoyant le numéro de l'expéditeur. Le service, opéré par la Fédération française des télécoms, permet le blocage des numéros émetteurs.
- **Déposez plainte si des données ont été détournées**, et signalez l'incident sur cybermalveillance.gouv.fr, qui oriente vers des prestataires labellisés ExpertCyber.

Si l'entreprise subit une violation de données personnelles, elle a par ailleurs une obligation légale : notifier la CNIL dans les 72 heures, conformément à l'article 33 du RGPD. Votre signalement rapide fait partie de cette chaîne.

![Jeune femme en hijab et manteau rose consultant son smartphone dans une rue, près d'une rambarde](/images/blog/2026-09-09-arnaques-sms-teletravail-materiel-informatique-entreprise/body-3.jpg)

## Réduire la surface d'exposition, côté salarié

Vous ne contrôlez pas la politique de sécurité de votre employeur, mais vous contrôlez plusieurs choses.

**Séparer les usages.** La solution la plus nette reste la double ligne : une [carte SIM prépayée](https://www.amazon.fr/s?k=carte+SIM+pr%C3%A9pay%C3%A9e+sans+engagement&tag=ds050-21) dédiée aux inscriptions, aux livraisons et aux services en ligne, l'autre réservée aux contacts de confiance. Sur les smartphones compatibles eSIM, cette séparation ne coûte plus rien en encombrement. Moins votre numéro professionnel circule, moins il finit dans les bases revendues.

**Ne pas laisser traîner son numéro.** L'article de WeLiveSecurity sur la collecte des numéros par les escrocs le rappelait ce printemps : les fuites de données de sites marchands, les jeux-concours et les formulaires d'inscription alimentent l'essentiel des listes utilisées pour le smishing. Chaque formulaire rempli est une exposition supplémentaire.

**Protéger le terminal lui-même.** Un téléphone qui sert à valider des connexions professionnelles est un objet critique. Une coque de protection renforcée et un verre trempé ne relèvent pas de la coquetterie : un écran fissuré qu'on tarde à faire réparer, c'est un appareil qu'on remplace en urgence, avec des transferts de comptes bâclés et des sessions oubliées sur l'ancien matériel. De même, une [batterie externe compacte](https://www.amazon.fr/s?k=batterie+externe+compacte+smartphone&tag=ds050-21) évite le grand classique du téléphone éteint au moment où il faudrait justement valider — ou refuser — une connexion.

**Gérer ses mots de passe correctement.** La réutilisation d'un mot de passe entre un forum de loisirs et un compte professionnel est la cause première de ces attaques. Un gestionnaire de mots de passe, gratuit ou payant, supprime le problème en une soirée d'installation. Pour ceux qui préfèrent l'analogique, un [carnet de mots de passe](https://www.amazon.fr/s?k=carnet+de+mots+de+passe+papier&tag=ds050-21) rangé dans un tiroir fermé reste infiniment plus sûr qu'un même sésame utilisé partout — à condition qu'il ne quitte jamais le domicile.

## Ce que l'employeur devrait faire (et que vous pouvez demander)

Si vous êtes en position de le suggérer, trois mesures changent tout, et aucune n'est coûteuse :

- **Publier un canal de vérification unique et connu de tous** : un numéro interne, une adresse, une phrase-type. « Le service informatique ne vous écrira jamais par SMS » doit être affiché aussi clairement que les consignes incendie.
- **Basculer la double authentification en number matching** plutôt qu'en simple bouton d'approbation, et déployer des clés physiques pour les comptes à privilèges.
- **Instaurer une culture du signalement sans sanction.** Une organisation qui gronde le salarié piégé s'assure de n'être prévenue qu'une fois le rançongiciel installé.

Les guides gratuits de l'ANSSI et de cybermalveillance.gouv.fr — notamment le *Guide des bonnes pratiques de l'informatique* et les kits de sensibilisation destinés aux TPE/PME — fournissent des supports directement réutilisables, sans budget.

## L'essentiel en une phrase

Un service informatique légitime ne vous met jamais en situation d'agir dans la panique depuis votre téléphone personnel. Chaque fois qu'un message combine **urgence, lien et compte professionnel**, la seule bonne réponse est de fermer le SMS et de composer un numéro que vous connaissiez déjà avant de l'avoir reçu.

Et si le doute persiste, gardez en tête ce rapport de force asymétrique : l'escroc a besoin que vous répondiez dans les cinq minutes. Vous, vous avez le droit d'attendre jusqu'à demain.


{/* image-sources: https://images.pexels.com/photos/15697340/pexels-photo-15697340.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 https://images.pexels.com/photos/7534799/pexels-photo-7534799.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 https://images.pexels.com/photos/6406709/pexels-photo-6406709.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 https://images.pexels.com/photos/6084425/pexels-photo-6084425.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 */}