« CIC : connexion inhabituelle détectée sur votre compte depuis un nouvel appareil. Si vous n'êtes pas à l'origine de cette opération, sécurisez ici : cic-verification-acces[.]com »
Vous recevez ce message à 18 h 40, en sortant de la gare. La personne à côté de vous consulte son téléphone au même instant, et fronce les sourcils. Le message est identique. Vous n'avez pas le même opérateur, pas la même banque, aucun lien entre vous. Vous venez pourtant de recevoir le même SMS à la même seconde.
Ce n'est pas une campagne de smishing classique. Il n'y a pas eu de fichier de numéros acheté au marché noir, pas de passerelle d'envoi, pas d'opérateur à l'autre bout. Il y a une voiture garée à 150 mètres, un boîtier alimenté sur la batterie, et une fausse antenne relais qui a forcé tous les téléphones du quartier à se connecter à elle pour leur pousser un message directement dans la boîte de réception. C'est ce qu'on appelle un SMS Blaster.
Ce que change radicalement le SMS Blaster
Jusqu'ici, tous les SMS frauduleux que nous décryptons dans ce magazine partagent une caractéristique : ils empruntent le réseau. L'escroc paie un service d'envoi en masse, souvent à l'étranger, injecte une liste de numéros et appuie sur « envoyer ». Le message transite par des opérateurs, traverse des filtres anti-spam, et laisse des traces exploitables. C'est pour cela que le signalement au 33700, le service officiel de signalement des spams vocaux et SMS géré par l'Association Française du Multimédia Mobile en lien avec les opérateurs français, a un sens : il alimente une chaîne de blocage bien réelle.
Le SMS Blaster fait sauter tout cet étage. L'appareil se comporte comme une station de base mobile — une antenne relais miniature. Les téléphones aux alentours, conçus pour se rattacher au signal le plus fort, s'y accrochent spontanément. Une fois la connexion établie, l'appareil pousse un message dans le terminal comme le ferait un vrai réseau. Conséquences en cascade :
- Aucun opérateur n'est impliqué. Ni Orange, ni SFR, ni Bouygues, ni Free n'a vu passer ce message. Les filtres anti-smishing des opérateurs, qui bloquent chaque année des dizaines de millions de SMS frauduleux, sont hors jeu.
- Aucun numéro n'a été nécessaire. L'escroc ne connaît pas votre numéro, ne l'a jamais acheté, ne l'a jamais vu. Il arrose une zone géographique, pas une liste.
- L'expéditeur affiché est totalement libre. Le boîtier décide de l'en-tête : « CIC », « Ameli », « Chronopost », « ANTAI ». Rien ne l'oblige à un format de numéro crédible.
- Le message peut atterrir dans un fil existant. C'est le détail le plus perturbant : si l'expéditeur affiché correspond exactement à celui d'une marque dont vous avez déjà reçu des SMS légitimes, certains téléphones regroupent le faux message dans la même conversation, à la suite des vrais.
Ce dernier point détruit le principal réflexe de vérification que le grand public a fini par acquérir. « Regardez si le message arrive dans le même fil que les précédents » : ce conseil, longtemps valable, ne protège plus face à cette technique.
Comment un boîtier peut-il se faire passer pour une antenne ?
La réponse tient en un mot : la 2G. Le GSM, déployé au début des années 1990, a été conçu à une époque où l'on se souciait surtout d'empêcher les particuliers d'écouter les communications. Le réseau authentifie le téléphone, mais le téléphone, lui, n'authentifie pas réellement le réseau. Autrement dit : votre mobile prouve son identité à l'antenne, mais l'antenne n'a rien à prouver à votre mobile.
Les générations suivantes ont corrigé ce défaut. La 3G, puis la 4G et la 5G, imposent une authentification mutuelle : un équipement pirate ne peut plus prétendre être un réseau légitime. Sauf que la compatibilité descendante reste, dans beaucoup de terminaux, activée par défaut. Il suffit alors à l'attaquant de brouiller ou de dominer localement les bandes 4G/5G pour que les téléphones, privés de meilleure option, « redescendent » docilement en 2G. C'est ce qu'on appelle une attaque par downgrade.
Le principe technique n'est pas nouveau : il s'agit d'un cousin des « IMSI catchers », ces valises d'interception utilisées de longue date par certains services et connues des chercheurs en sécurité depuis plus de quinze ans. Ce qui est nouveau, c'est le prix, la miniaturisation et l'usage criminel de masse.
Le matériel nécessaire, hier réservé aux États, tient aujourd'hui dans un sac à dos et se pilote depuis un ordinateur portable. Les autorités de plusieurs pays — Royaume-Uni, Thaïlande, Vietnam, Nouvelle-Zélande notamment — ont procédé ces dernières années à des saisies de dispositifs de ce type, souvent embarqués dans des véhicules circulant en centre-ville. En France, l'usage d'un émetteur radio non autorisé sur des fréquences attribuées aux opérateurs relève de plusieurs infractions distinctes, indépendamment de l'escroquerie elle-même : le brouillage et l'émission illicite sont réprimés par le code des postes et des communications électroniques, sous la surveillance de l'ANFR (Agence nationale des fréquences).
Une portée courte, mais un débit énorme
Un SMS Blaster ne couvre pas une ville. Sa portée utile se compte en centaines de mètres — quelques dizaines dans un environnement dense, davantage en terrain dégagé. En revanche, dans ce périmètre, il peut toucher plusieurs milliers de terminaux par heure. D'où le choix des lieux : gares, sorties de métro, marchés, zones commerciales, abords de stades, files d'attente de festivals. Partout où la densité humaine est maximale et où les gens regardent leur téléphone en marchant.
Le mode opératoire décrit par la presse spécialisée est presque toujours le même : un véhicule banal, un équipement dans le coffre alimenté par une batterie externe de forte capacité, un stationnement de vingt à quarante minutes, puis un déplacement. Aucune interaction avec les victimes. Aucun contact physique. Le « livreur » n'existe pas, le « conseiller bancaire » n'appelle pas encore — tout se joue dans le clic.
Reconnaître un message envoyé par SMS Blaster
Puisque l'en-tête d'expéditeur ne prouve plus rien, il faut déplacer l'attention vers d'autres signaux. Quatre indices se combinent souvent :
| Indice | Ce que vous observez | Pourquoi c'est révélateur |
|---|---|---|
| Simultanéité | Plusieurs personnes autour de vous reçoivent le même message | Une campagne classique ne cible pas une zone géographique |
| Coupure réseau brève | Votre téléphone est passé en « E », « G » ou sans données juste avant | Signe d'un downgrade forcé vers la 2G |
| Marque incohérente | Un SMS d'une banque dont vous n'êtes pas client | L'attaque n'est pas ciblée : elle arrose |
| Lien à domaine bricolé | cic-verification-acces.com, ameli-mise-a-jour.net | Aucune administration ni banque n'utilise ces domaines |
Le deuxième indice est le plus technique mais le plus fiable. Si, en plein centre-ville couvert en 4G/5G, votre téléphone bascule soudain sur un indicateur « E » ou « G » pendant quelques minutes, puis qu'un SMS surprenant arrive, la coïncidence mérite votre méfiance. Les utilisateurs qui gardent une batterie externe compacte dans leur sac constatent d'ailleurs souvent ces bascules, parce qu'ils surveillent plus attentivement la barre d'état quand ils rechargent en déplacement.
Le troisième indice reste, malgré tout, le plus accessible : une arnaque de zone est par définition mal ciblée. Si vous recevez un « problème de paiement » d'une enseigne chez qui vous n'avez rien commandé, ou une alerte d'une banque qui n'est pas la vôtre, la question est réglée.
Le réglage qui neutralise l'attaque : désactiver la 2G
C'est la contre-mesure la plus efficace, et elle est gratuite. Puisque l'attaque repose sur un retour forcé à la 2G, interdire à votre téléphone de s'y connecter revient à couper la branche sur laquelle l'escroc est assis.
Sur Android
La plupart des versions récentes d'Android proposent un interrupteur dédié, hérité d'une fonctionnalité introduite par Google à partir d'Android 12 :
- Paramètres → Réseau et Internet → Cartes SIM (ou « Réseau mobile »)
- Cherchez l'option « Autoriser la 2G » et désactivez-la.
Certains constructeurs la nomment différemment, ou la logent dans un menu « Type de réseau préféré » où l'on sélectionne « 4G/5G uniquement ». Sur les appareils qui n'exposent pas ce réglage, il reste souvent accessible via le menu opérateur avancé.
Un mode « protection renforcée » plus large existe également sous le nom d'Advanced Protection sur les versions les plus récentes d'Android : il désactive la 2G, bloque les connexions non chiffrées et durcit plusieurs comportements réseau d'un seul geste.
Sur iPhone
Apple ne propose pas d'interrupteur « 2G » isolé, mais le mode Isolement (Réglages → Confidentialité et sécurité → Mode Isolement) désactive notamment les connexions mobiles non sécurisées, dont la 2G. Ce mode est volontairement restrictif : il limite aussi les pièces jointes, certaines fonctions web et les invitations entrantes. Il s'adresse aux personnes réellement exposées, pas à l'usage quotidien de tout le monde.
À défaut, on peut à tout le moins vérifier dans Réglages → Données cellulaires → Options → Voix et données que le terminal est bien positionné sur 5G ou LTE, et non sur un mode compatible ancien.
Et si vous avez besoin de la 2G ?
Deux cas légitimes subsistent. D'abord, certaines zones rurales conservent une couverture 2G résiduelle comme filet de sécurité pour la voix. Ensuite, beaucoup d'objets connectés — traceurs, alarmes, téléphone mobile à grosses touches pour personnes âgées, montres GPS pour enfants — n'existent qu'en 2G. Si vous équipez un proche, le choix du terminal compte : un modèle compatible 4G VoLTE, même très simple d'usage, vaut mieux qu'un appareil bloqué en 2G. Les opérateurs français ont d'ailleurs engagé l'extinction progressive de la 2G et de la 3G à l'horizon de la fin de décennie, ce qui rendra ce point caduc — mais nous n'y sommes pas encore.
Les autres réflexes qui restent valables
Désactiver la 2G supprime le vecteur d'entrée le plus courant. Mais la suite de l'arnaque, elle, ne change pas : le message veut vous faire cliquer sur un lien et saisir des identifiants. Les défenses classiques gardent donc tout leur intérêt.
- Ne jamais utiliser le lien reçu. Ouvrez l'application officielle de votre banque, ou tapez l'adresse vous-même. Cette règle unique annule l'immense majorité des campagnes, blaster ou pas.
- Vérifier par un canal indépendant. Appelez le numéro figurant au dos de votre carte bancaire, jamais celui indiqué dans le SMS.
- Activer une double authentification robuste. Une clé de sécurité physique FIDO2 ou une application d'authentification vaut mieux qu'un code envoyé par SMS — précisément parce que le canal SMS est le maillon faible.
- Mettre à jour le système. Les correctifs de sécurité mensuels d'Android et d'iOS ferment régulièrement des failles de la pile réseau. Un téléphone abandonné par son constructeur est plus vulnérable, pas seulement aux blasters.
- Se méfier de la seconde étape. Le SMS est rarement l'arnaque complète : il sert d'amorce à un appel de « faux conseiller bancaire » quelques heures ou quelques jours plus tard. Ce scénario de manipulation, en forte hausse selon les observations de la Banque de France, est celui qui coûte le plus cher aux victimes.
Pour les foyers qui veulent formaliser un minimum d'hygiène numérique, un carnet de mots de passe papier rangé hors de vue reste, paradoxalement, un outil de sécurité tout à fait défendable pour les personnes qui ne veulent pas d'un gestionnaire logiciel — à condition qu'il ne contienne pas de codes bancaires et qu'il ne voyage jamais dans le sac.
Que faire si vous avez cliqué
L'ordre des gestes compte plus que leur nombre.
- Coupez immédiatement les données (mode avion) si vous suspectez un téléchargement d'application en cours. Un blaster peut aussi pousser un lien d'installation d'application malveillante sur Android.
- Changez vos mots de passe depuis un autre appareil, en commençant par la messagerie principale et l'espace bancaire.
- Appelez votre banque via le numéro officiel et faites opposition si vous avez saisi des données de carte. Rappelons que, selon le code monétaire et financier, une opération non autorisée doit en principe être remboursée par la banque, sauf négligence grave de votre part — d'où l'importance de signaler vite et par écrit.
- Signalez au 33700 par SMS (en transférant le message) et déposez une plainte. Même si l'opérateur n'a pas transporté le message, le signalement permet de documenter la campagne et de bloquer les domaines associés.
- Prévenez votre entourage géographique : collègues, voisins, commerçants du quartier. Une attaque de zone touche une communauté, pas un individu.
Le portail officiel cybermalveillance.gouv.fr propose un parcours d'assistance gratuit et une mise en relation avec des prestataires, et service-public.fr détaille la procédure de plainte. L'Arcep, de son côté, rappelle régulièrement les canaux de signalement des communications indésirables.
Ce que cette technique nous dit de la suite
Le SMS Blaster marque un basculement discret mais profond : la fraude par SMS devient une menace de proximité physique. Pendant vingt ans, on a appris au public que le danger venait de « quelque part », d'un serveur anonyme à l'étranger. Ici, il vient de la rue d'à côté, d'un véhicule ordinaire, pendant une demi-heure.
Cela a deux conséquences pratiques. D'abord, la vigilance ne peut plus se déléguer entièrement aux opérateurs : un filtre réseau, aussi performant soit-il, ne voit rien d'un message qui ne passe pas par le réseau. Ensuite, les réglages du terminal, longtemps considérés comme un détail d'expert, deviennent une ligne de défense de premier plan — au même titre qu'un verre trempé de protection l'est pour l'écran.
Le conseil qui résiste à tout, lui, n'a pas bougé d'un millimètre : aucune banque, aucune administration, aucun transporteur ne vous demandera jamais de saisir vos identifiants depuis un lien reçu par SMS. Peu importe l'expéditeur affiché, peu importe le fil de conversation, peu importe l'antenne — vraie ou fausse — qui a transporté le message.
