« Votre forfait mobile sera suspendu le 14/09 pour défaut de règlement (1,90 € restant dû). Régularisez ici : espace-client-regularisation[.]info »
Une somme dérisoire. Une échéance dans deux jours. Et surtout : un service que vous possédez à coup sûr, puisque vous lisez ce message sur le téléphone concerné.
C'est là que réside la supériorité statistique de cette arnaque sur toutes les autres. Un faux SMS de livraison ne fonctionne que si vous attendez un colis. Une fausse amende ne fonctionne que si vous conduisez. Un faux SMS de mutuelle suppose que vous ayez une mutuelle. Mais un faux SMS d'opérateur téléphonique touche 100 % des destinataires par définition : pour recevoir le message, il faut avoir une ligne mobile, donc un opérateur, donc une facture. Le taux de pertinence est maximal sans le moindre ciblage.
Pourquoi ce scénario est mathématiquement le plus rentable
Les campagnes de smishing se jugent à leur rendement : nombre de victimes rapporté au nombre d'envois. Les escrocs, qui achètent des bases de numéros au kilo, raisonnent exactement comme des annonceurs.
Or le scénario « opérateur » cumule quatre avantages :
- Une cible universelle. Aucun filtrage n'est nécessaire. Orange, SFR, Bouygues Telecom et Free couvrent l'essentiel du marché français : en choisissant l'un des quatre au hasard, l'escroc a déjà une chance sur quatre ou cinq de tomber juste, et plus encore en écrivant simplement « votre opérateur » sans nom de marque.
- Un montant crédible et indolore. 1,90 €, 2,40 €, 4,99 € : des sommes qui correspondent à ce que tout le monde a déjà vu sur une facture télécom (hors forfait, appel surtaxé, option activée par erreur). Trop faible pour justifier un appel au service client, assez réelle pour qu'on veuille en finir.
- Une sanction immédiate et concrète. La suspension de ligne n'est pas une menace abstraite. Sans téléphone, on ne reçoit plus ses codes bancaires, on ne peut plus appeler, on est coupé. Cette peur-là est très supérieure à celle d'un colis perdu.
- Une habitude préexistante. Les opérateurs envoient réellement des SMS : suivi de consommation, fin de forfait data, relance de facture, confirmation de commande. Le faux message s'insère dans un flux légitime déjà familier.
L'Arcep, dans ses recommandations sur les messages indésirables et frauduleux, rappelle que le secteur des télécommunications figure parmi les identités les plus usurpées dans les campagnes de phishing en France, aux côtés des services publics et des banques. Cybermalveillance.gouv.fr classe le smishing parmi les menaces les plus signalées par les particuliers, avec une part croissante de scénarios imitant des fournisseurs de services du quotidien.
Les cinq variantes que l'on rencontre réellement
1. La régularisation de facture
La plus répandue. Petit montant, délai court, lien vers une fausse page de paiement reprenant le logo et la charte graphique de l'opérateur. L'objectif immédiat est la carte bancaire — numéro, date, cryptogramme — puis la validation 3-D Secure détournée par un faux conseiller qui vous appelle dans la foulée.
2. Le cadeau de fidélité
« Cher client, 18 ans de fidélité : recevez votre smartphone reconditionné offert, frais de port 2 € ». Le registre change complètement : plus de peur, de la gratification. C'est le même ressort que les arnaques au remboursement. Les frais de port servent à capter la carte bancaire, et surtout à faire signer, en petits caractères, un abonnement récurrent à 49 € par mois.
3. Le faux dépannage technique
« Une anomalie a été détectée sur votre carte SIM. Confirmez votre identité pour éviter l'interruption du service. » Ici, on ne demande pas d'argent. On demande votre identifiant client, votre mot de passe d'espace abonné, parfois votre numéro de carte SIM ou votre pièce d'identité. C'est le scénario le plus dangereux, et le moins bien compris du public.
4. Le faux remboursement de trop-perçu opérateur
« Suite à une erreur de facturation, un avoir de 38,60 € vous est dû. » Variante commerciale du faux remboursement fiscal : on vous demande un RIB « pour le virement », puis les identifiants bancaires « pour vérifier le titulaire ».
5. Le faux changement d'offre
« Votre offre évolue le 1er octobre : +3 € par mois. Pour refuser, cliquez ici. » Techniquement, les opérateurs ont le droit de modifier leurs conditions contractuelles en prévenant un mois à l'avance, et le client peut résilier sans frais : cette règle réelle, issue du Code des postes et des communications électroniques, donne une crédibilité redoutable au faux message.
Le vrai butin : votre espace abonné, pas votre carte bleue
C'est le point que la plupart des articles de prévention manquent. Voler 1,90 € n'a aucun intérêt. Voler un numéro de carte bancaire est utile, mais la carte sera bloquée en quelques jours.
Un accès à votre espace client opérateur, lui, vaut beaucoup plus cher. Depuis cet espace, un escroc peut :
- commander une carte SIM de remplacement et la faire livrer à une adresse qu'il contrôle — c'est la porte d'entrée du SIM swap, qui lui permet ensuite de recevoir vos codes de validation bancaire ;
- récupérer votre code RIO, indispensable pour porter votre numéro chez un autre opérateur : avec ce code et vos données d'identité, il peut transférer votre ligne et vous en déposséder ;
- consulter vos factures détaillées, qui contiennent votre adresse, votre RIB parfois partiellement masqué, votre historique de commandes ;
- souscrire des options, commander un téléphone en plusieurs fois à votre nom, modifier l'adresse e-mail de contact pour vous couper des alertes.
Autrement dit, le formulaire qui vous demande « juste » vos identifiants est infiniment plus toxique que celui qui demande votre carte. Le premier vous fait perdre votre identité numérique, le second une somme récupérable auprès de la banque.
Règle simple : un opérateur ne vous demandera jamais par SMS votre mot de passe, votre code RIO, votre code PUK ou une photo de votre pièce d'identité. Ces éléments ne circulent pas par message.
Six signaux qui trahissent le faux SMS
| Signal | Message légitime | Message frauduleux |
|---|---|---|
| Expéditeur | Nom court non répondable (ex. « Orange ») ou numéro court à 5 chiffres | Numéro mobile classique en 06/07, ou numéro étranger |
| Lien | Domaine officiel de l'opérateur, sans sous-domaine exotique | Domaine approchant : orange-facture-client[.]info, sfr-regul[.]xyz |
| Personnalisation | Souvent votre nom, les 4 derniers chiffres de la ligne | « Cher client », aucune donnée vérifiable |
| Montant | Correspond à votre facture réelle | Somme ronde ou minuscule, jamais recoupable |
| Délai | Plusieurs semaines, relances échelonnées | 24 à 72 h, ton comminatoire |
| Moyen de paiement demandé | Prélèvement déjà en place | Carte bancaire à saisir « exceptionnellement » |
Le signal le plus fiable reste le lien. Les opérateurs français utilisent leurs domaines principaux ; tout ce qui ressemble à nom-de-marque-quelque-chose.tld mérite une méfiance immédiate. Sur mobile, l'URL est tronquée par l'affichage : appuyez longuement sur le lien pour la voir en entier sans l'ouvrir, ou recopiez-la à la main sur un écran plus grand. Beaucoup de lecteurs découvrent la supercherie simplement en regardant le message sur un ordinateur ou une tablette avec support inclinable, où l'adresse s'affiche en toute lettres.
Ce qu'il faut faire, dans l'ordre, si vous avez cliqué
Ne perdez pas de temps en autoflagellation : la rapidité compte davantage que la lucidité passée.
- Si vous avez saisi votre carte bancaire : appelez immédiatement le numéro d'opposition de votre banque (ou celui figurant au dos de la carte), puis faites opposition. En cas de débit réalisé, la banque doit rembourser les opérations non autorisées conformément au Code monétaire et financier, sauf négligence grave de votre part — d'où l'importance de signaler vite.
- Si vous avez saisi vos identifiants opérateur : changez le mot de passe de l'espace abonné depuis l'application officielle, activez la double authentification si elle est proposée, et vérifiez qu'aucune commande de SIM ou changement d'adresse n'a été enregistré.
- Si vous réutilisiez ce mot de passe ailleurs (c'est très fréquent), changez-le partout. C'est le moment de basculer vers un gestionnaire de mots de passe, ou à défaut vers un carnet de mots de passe papier rangé hors de vue — solution imparfaite mais très supérieure au même mot de passe sur quinze sites.
- Signalez le message au 33700, plateforme officielle de signalement des SMS et appels indésirables portée par les opérateurs et encadrée par l'Arcep : transférez le SMS au 33700, puis envoyez le numéro de l'expéditeur quand on vous le demande. C'est gratuit et cela alimente le blocage des numéros émetteurs.
- Signalez l'adresse du site sur la plateforme Phishing Initiative ou via cybermalveillance.gouv.fr, qui oriente également vers un accompagnement gratuit.
- Déposez plainte en cas de préjudice financier, en commissariat, en gendarmerie ou via le service de plainte en ligne du ministère de l'Intérieur. Conservez captures d'écran, relevés et horodatages.
Réduire durablement la surface d'attaque
On ne peut pas empêcher un escroc d'écrire. On peut en revanche réduire ce qu'il peut faire de votre réaction.
Verrouiller l'accès physique. La carte SIM elle-même reste protégée par un code PIN : ne le laissez pas à la valeur d'usine. Si vous changez souvent d'appareil ou voyagez, un petit rangement pour cartes SIM évite de perdre la carte d'origine qui porte le code PUK — document que les escrocs adorent voir circuler en photo.
Séparer le canal bancaire du canal quotidien. Beaucoup d'arnaques réussissent parce que le même téléphone reçoit la publicité, les SMS inconnus et les codes de validation bancaire. Certains foyers conservent volontairement un téléphone mobile basique à grosses touches, avec une seconde ligne réservée aux organismes sensibles : c'est une pratique courante chez les personnes qui ont déjà été victimes, et chez les seniors accompagnés par leurs proches.
Installer les mises à jour et un filtre. Android comme iOS filtrent désormais une partie des expéditeurs inconnus et signalent certains liens dangereux. Ces protections ne fonctionnent que sur un système à jour — ce qui suppose parfois de remplacer une batterie fatiguée plutôt que de repousser les mises à jour par peur de l'autonomie.
Protéger le matériel, aussi. Un écran fissuré ne relève pas de la cybersécurité, mais il rend la lecture d'une URL quasi impossible ; un film de protection en verre trempé et un étui correct coûtent moins cher qu'une erreur de lecture.
Se former, calmement. Les guides de Cybermalveillance.gouv.fr sont excellents et gratuits, mais pour les personnes moins à l'aise avec le numérique, un guide papier sur les arnaques numériques posé près du téléphone fonctionne souvent mieux qu'un lien envoyé par la famille : on le feuillette au moment du doute, sans écran.
Le réflexe qui rend l'arnaque inopérante
Tout ce dispositif tient sur une seule règle, simple à retenir et applicable sans aucune compétence technique :
Ne jamais utiliser le chemin fourni par le message.
Si la facture est vraie, elle sera dans votre espace abonné, accessible depuis l'application officielle que vous ouvrez vous-même. Si la suspension est réelle, elle apparaîtra là aussi. Si le cadeau de fidélité existe, il survivra à cinq minutes de vérification. Aucun opérateur français ne coupe une ligne en 48 heures pour 1,90 € sans plusieurs relances écrites préalables.
Fermez le SMS. Ouvrez l'application. Regardez la facture. Dans 100 % des cas frauduleux, il n'y aura rien à payer — et vous aurez gagné, en trente secondes, une arnaque que des milliers de personnes paieront cher ce mois-ci.
Un dernier conseil, qui vaut pour toutes les familles : parlez-en. Ces messages fonctionnent parce qu'on les traite seul, en vitesse, entre deux tâches. Un SMS relu à voix haute devant quelqu'un d'autre perd instantanément sa force de persuasion. C'est probablement la mesure de sécurité la moins chère qui existe.
