« FELICITATIONS ! Votre numero a ete tire au sort parmi nos clients fideles. Votre lot (smartphone derniere generation) est reserve jusqu'a ce soir. Il reste 1 exemplaire : https://fidelite-recompense-cadeau.com/lot »
Celui-là ne vous menace pas. Il ne parle ni d'amende, ni de compte bloqué, ni de colis bloqué en douane. Il vous félicite. Et c'est précisément ce qui le rend redoutable : nous avons appris, collectivement, à nous méfier des SMS qui font peur. Nous n'avons jamais appris à nous méfier des SMS qui font plaisir.
L'arnaque au faux jeu-concours est l'une des plus anciennes du paysage du smishing, et l'une des rares à ne pas avoir besoin d'usurper un service public pour fonctionner. Elle ne vole pas forcément vos identifiants bancaires. Souvent, elle fait bien pire du point de vue de la durée : elle vous installe un prélèvement récurrent que vous ne verrez pas passer pendant des mois.
Pourquoi la bonne nouvelle passe mieux que la menace
Les campagnes de smishing qui jouent sur la peur — amende, livraison manquée, compte suspendu — ont un défaut : elles déclenchent aussi de la méfiance. Une personne inquiète cherche à vérifier. Elle appelle sa banque, elle demande à un proche, elle tape le nom du service dans un moteur de recherche.
Une personne flattée, elle, ne vérifie pas de la même manière. Elle vérifie si le lot est réel, pas si l'expéditeur est réel. Toute son attention se porte sur l'objet de la récompense, jamais sur l'identité de celui qui la promet. C'est un déplacement d'attention que les escrocs exploitent depuis les débuts du marketing téléphonique, et que Cybermalveillance.gouv.fr classe sans ambiguïté parmi les variantes de l'hameçonnage : peu importe l'émotion utilisée, le mécanisme reste la collecte de données ou d'argent par tromperie.
S'ajoutent trois ressorts très concrets :
- La rareté artificielle. « Il reste 1 exemplaire », « offre valable jusqu'à ce soir », « 3 gagnants seulement ». Le compte à rebours supprime le temps de réflexion, exactement comme dans les faux SMS d'amende.
- La désignation personnelle. « Votre numéro a été tiré au sort » donne l'illusion d'une sélection. En réalité, le message part sur des dizaines de milliers de numéros à la fois.
- Le montant ridicule. On ne vous demande pas 500 €, on vous demande 1,95 € de « frais de livraison ». Un montant trop faible pour déclencher une vraie vigilance — et c'est tout l'objet du montage.
Les cinq habillages les plus courants
Le scénario du cadeau se décline en familles assez stables, qu'on retrouve d'une campagne à l'autre.
1. Le tirage au sort de grande enseigne. Le SMS mentionne une chaîne de supermarchés, un distributeur d'électronique ou une marque de prêt-à-porter très connue. Le lot est un bon d'achat de 500 € ou un « colis mystère ». L'argument : vous êtes client, donc éligible.
2. L'anniversaire de la marque. « Pour nos 40 ans, nous offrons 1 000 lots. » Le prétexte est vérifiable en apparence (la marque existe bien et a bien un anniversaire quelque part), invérifiable dans les faits.
3. Le programme de fidélité de l'opérateur. Le message se présente comme venant de votre opérateur mobile et parle de « points fidélité arrivés à expiration » convertibles en cadeau. C'est la version la plus crédible, parce que les programmes de fidélité opérateurs existent réellement.
4. Le test de produit. « Vous avez été sélectionné pour tester gratuitement un nouvel aspirateur robot / une brosse à dents connectée / une machine à café. » Il suffit de « couvrir les frais d'envoi ». Ce format prospère parce que les programmes de test de produits existent aussi, chez de vrais panels consommateurs.
5. Le remboursement promotionnel. Variante inversée : on ne vous offre rien, on vous rend de l'argent sur un achat passé. Le message imite un service après-vente.
Dans tous les cas, la page d'atterrissage suit le même squelette : une roue de la fortune ou un questionnaire de satisfaction à trois questions, une animation de gain, puis un formulaire.
Le vrai piège n'est pas le lot, c'est le formulaire
C'est ici que l'arnaque au cadeau se distingue des autres. Le but n'est pas toujours de vider un compte en une opération. Il est souvent de vous faire signer, sans le voir, un abonnement à reconduction automatique.
Le déroulé typique :
- Vous « gagnez » sur la roue truquée (elle tombe toujours sur un lot).
- On vous demande nom, prénom, adresse, date de naissance, e-mail, numéro de mobile. Beaucoup de données, justifiées par « l'expédition du lot ».
- On vous demande 1,95 € ou 2,99 € de frais de port, à régler par carte bancaire.
- En tout petit, sous le bouton de paiement : la mention d'un service « premium » facturé par exemple 39,90 € par mois, résiliable à tout moment, période d'essai de 48 heures incluse.
- Le lot n'arrive jamais. Le prélèvement mensuel, lui, commence.
Le montant de 1,95 € n'est pas un prix : c'est un test de validité de carte. Il confirme que le numéro, la date d'expiration et le cryptogramme sont bons, et il sert de support à l'autorisation de prélèvements suivants.
Un cadeau gratuit qui exige une carte bancaire n'est pas un cadeau. La demande de coordonnées bancaires pour « couvrir les frais » est le signal d'arrêt, quel que soit le montant affiché.
Certaines variantes ne demandent pas de carte du tout. Elles demandent de « confirmer par SMS » en envoyant un mot-clé à un numéro court surtaxé, ou de valider un code reçu — ce qui déclenche une souscription à un service de contenu facturé sur la facture opérateur. C'est le mécanisme historique du SMS+, détourné.
Les signaux qui trahissent le message en dix secondes
Avant même d'ouvrir le lien, plusieurs indices s'accumulent.
| Signal | Ce qu'il révèle |
|---|---|
| Aucune mention de votre nom | L'envoi est massif, pas personnalisé |
| Expéditeur = numéro mobile à 10 chiffres | Les marques utilisent des noms d'expéditeur ou des numéros courts |
Nom de domaine long et hybride (fidelite-cadeau-lot-2026.xyz) | Domaine jetable créé pour la campagne |
| « Il reste 1 exemplaire » | Rareté fabriquée, ressort classique de pression |
| Lot sans rapport avec la marque citée | Assemblage générique réutilisé d'une campagne à l'autre |
| Fautes d'accents, absence de cédilles | Passerelle d'envoi étrangère en texte non accentué |
| Aucun règlement de jeu accessible | Un jeu-concours légal en France en publie un |
Ce dernier point est le plus solide juridiquement. Une opération promotionnelle sérieuse dispose d'un règlement consultable, identifie l'organisateur (raison sociale, adresse), et ne conditionne jamais la remise d'un lot à un paiement. La DGCCRF rappelle régulièrement que les loteries publicitaires ne doivent pas induire le consommateur en erreur sur ses chances de gain ni sur les frais réels.
Et il y a un test de bon sens, imparable : avez-vous participé ? On ne gagne pas à un jeu auquel on ne s'est pas inscrit. Si le message ne peut pas vous rappeler quand et comment vous avez joué, il n'y a pas eu de jeu.
Pourquoi vous, et comment ils ont eu votre numéro
La question revient toujours : « Comment connaissent-ils mon numéro ? » Trois circuits dominent.
Les fuites de données. Les grandes brèches de ces dernières années ont fait circuler des fichiers contenant nom, prénom, e-mail, numéro de mobile et parfois adresse. La CNIL en publie régulièrement le constat. Votre numéro n'a pas été deviné : il a été acheté.
Les jeux-concours antérieurs, vrais ou faux. Chaque formulaire rempli sur une page de « participation gratuite » alimente des bases revendues. Le faux concours d'hier finance le SMS d'aujourd'hui.
La génération aléatoire. Les plages de numéros mobiles français sont publiques dans leur structure. Une passerelle peut composer mécaniquement des millions de combinaisons, sans aucune donnée personnelle.
Dans les deux premiers cas, le message peut contenir votre prénom — ce qui augmente énormément sa crédibilité sans prouver quoi que ce soit sur l'expéditeur. C'est le même glissement que dans les faux SMS de livraison qui citent une adresse exacte : la donnée n'est plus un gage de légitimité.
Les réflexes concrets, dans l'ordre
Ne cliquez pas, même par curiosité. Ouvrir la page suffit à confirmer que le numéro est actif si le lien contient un identifiant unique. La curiosité se paie en volume de SMS reçus les semaines suivantes.
Signalez au 33700. C'est le dispositif officiel de signalement des SMS et appels indésirables en France, soutenu par l'Arcep et les opérateurs. Transférez le message au 33700, puis répondez au SMS de confirmation avec le numéro de l'expéditeur. Le service est gratuit et alimente réellement le blocage des numéros émetteurs.
Signalez l'adresse frauduleuse sur Phishing Initiative et déposez un signalement sur cybermalveillance.gouv.fr si vous avez interagi avec la page. Pour les escroqueries constatées, la plateforme THESEE (service-public.fr) permet un dépôt de plainte en ligne.
Vérifiez par le canal officiel. Si le SMS évoque votre opérateur, votre enseigne ou votre banque, passez par l'application installée sur votre téléphone ou par le numéro figurant au dos de votre carte — jamais par le lien. Ce réflexe est plus facile à tenir quand le téléphone reste utilisable : un chargeur secteur USB-C évite les fins de batterie qui poussent à « faire vite » sur un écran en survie.
Ne rappelez pas les numéros surtaxés. Un rappel « pour confirmer votre lot » sur un numéro en 08 ou un numéro court peut être facturé à la durée.
Si vous avez déjà donné votre carte bancaire
Le délai compte plus que tout.
- Faites opposition immédiatement auprès de votre banque, via l'application ou le numéro d'urgence de votre établissement. En France, le serveur interbancaire de blocage est joignable au 0 892 705 705.
- Demandez l'annulation du prélèvement et la révocation de l'autorisation. Un paiement non autorisé doit être remboursé par la banque dans les conditions prévues par le code monétaire et financier ; l'ACPR et la Banque de France rappellent régulièrement ce cadre, y compris lorsque la victime a été manipulée.
- Cherchez les prélèvements récurrents sur les trois derniers relevés : un libellé anonyme de 39,90 € revient souvent chaque mois sans attirer l'attention.
- Déposez plainte et conservez tout : capture du SMS, URL, horodatage, relevés. Un relevé annoté à la main sur un bloc-notes A5 daté fait très bien l'affaire pour reconstituer la chronologie devant un guichet.
- Surveillez vos autres comptes : la même adresse e-mail et le même mot de passe ailleurs sont une porte ouverte.
Si le prélèvement passe par la facture de votre opérateur, contestez auprès du service client et demandez le blocage des services SMS+ et des achats sur facture. Ce blocage est gratuit et définitif tant que vous ne le levez pas.
Protéger les personnes les plus exposées
Les faux gains touchent tous les profils, mais deux populations paient plus cher : les personnes âgées isolées, pour qui un contact personnalisé a une valeur sociale, et les adolescents, qui paient parfois sans mesurer le caractère récurrent d'un abonnement.
Quelques mesures simples changent la situation :
- Désactiver les achats sur facture opérateur sur les lignes des mineurs et des personnes vulnérables. C'est le geste le plus efficace, et il est gratuit.
- Privilégier une carte à autorisation systématique ou une carte prépayée rechargeable pour les achats en ligne : le plafond limite mécaniquement les dégâts d'un abonnement caché.
- Activer le filtre anti-spam SMS proposé par iOS et Android, et bloquer l'expéditeur après signalement.
- Poser un cadre de discussion. Un guide pratique sur les arnaques numériques laissé à portée de main, avec la règle « aucun cadeau ne se paie », vaut mieux qu'un rappel oral oublié une semaine plus tard.
- Garder l'écran lisible. Une grande partie des clics accidentels vient d'une lecture précipitée sur un écran fissuré ou sale ; un verre trempé de protection n'empêche pas l'arnaque mais rend le doute plus facile à lever quand on relit un lien caractère par caractère.
Pour les seniors équipés d'un appareil à touches, un téléphone mobile à grosses touches simplifie aussi la vie : moins d'applications, moins de navigateurs, moins de surfaces d'attaque — même si le SMS, lui, arrive toujours.
Ce qu'il faut retenir
Le faux jeu-concours par SMS n'est pas une arnaque de second rang. Il est simplement plus patient que les autres : il ne cherche pas un virement en dix minutes, il cherche une autorisation de prélèvement qui durera un an.
Trois phrases suffisent à s'en protéger durablement :
- On ne gagne pas à un jeu auquel on ne s'est pas inscrit.
- Un lot qui exige des frais de port par carte bancaire n'est pas un lot.
- Un message qui interdit de réfléchir — « il reste 1 exemplaire », « jusqu'à ce soir » — est un message qui sait qu'il ne survivrait pas à la réflexion.
Le reste est de l'habitude. Transférer au 33700 prend vingt secondes, bloquer l'expéditeur cinq, et en parler autour de soi coûte encore moins. C'est exactement ce qui fait baisser le rendement de ces campagnes : non pas une meilleure technologie, mais un réflexe collectif.
