Arnaques par SMS : 5 exemples de messages frauduleux

Le smishing : une menace qui se développe

Les arnaques par SMS se développent considérablement. Le smishing, terme désignant l’hameçonnage par texto, a en effet connu une forte accélération ces dernières années, comme le note cybermalveillance.gouv :

Depuis 2020, Cybermalveillance.gouv.fr constate une forte croissance de l’hameçonnage par SMS et cette tendance ne fait que s’accentuer. Les cybercriminels ciblent en effet de plus en plus les utilisateurs de téléphones mobiles par ce moyen.

La plateforme gouvernementale estime par ailleurs que le SMS offre un avantage aux usurpateurs par rapport aux emails : « Ils permettent aux cybercriminels de s’exprimer brièvement, avec un langage moins élaboré et plus direct, souvent caractéristique de ce type de messages, réduisant ainsi les risques de commettre des fautes d’orthographe ou de syntaxe susceptibles d’éveiller des soupçons. » In fine, le smishing peut mener au vol d’informations personnelles, parfois à des fins de revente, ou à l’installation de logiciels malveillants.

Ci-dessous, découvrez 5 stratégies régulièrement utilisées par les pirates afin de tromper les utilisateurs via SMS.

5 exemples de SMS frauduleux courants

1. Le faux colis

Les messages usurpant les noms de grands services de livraison représentent probablement les cas de smishing les plus fréquents. En effet, le SMS étant un mode de communication habituel pour informer de la livraison d’un colis, il est facile pour un pirate de concevoir un faux message renvoyant vers un lien frauduleux. Le message peut prétexter un problème ou simplement proposer de suivre l’acheminement du colis.

2. L’assurance maladie

Les faux SMS prétendant venir de l’assurance maladie sont également courants. Sur son espace dédié, ameli met en garde : « L’Assurance Maladie peut effectivement vous contacter par SMS. Ces messages peuvent inclure des liens vers des pages d’information du site ameli.fr ou votre compte ameli […] Cependant, l’Assurance Maladie ne vous demandera jamais de fournir des informations personnelles (informations médicales, numéro de sécurité sociale, coordonnées bancaires) par SMS. »

Si vous recevez un message demandant une ou plusieurs informations de cet ordre, il s’agit donc de smishing.

3. Les institutions financières

Les messages se faisant passer pour des institutions financières représentent une tactique de smishing extrêmement répandue. Les pirates utilisent le nom de grandes banques pour susciter un sentiment d’urgence afin d’inciter l’utilisateur à réagir de manière impulsive. Ces SMS peuvent prétendre que votre compte est verrouillé, qu’un message important doit être consulté, ou qu’un problème est survenu avec le service.

Les banques, de leur côté, alertent régulièrement les utilisateurs sur ces pratiques frauduleuses. Elles rappellent, par exemple, que leurs SMS officiels ne contiennent jamais de liens et qu’aucune information bancaire ne peut être demandée via ce canal.

4. Les amendes ou impôts

Les services de l’État, en tant que figures d’autorité, sont eux aussi ciblés par des usurpations. Bien que cette pratique soit particulièrement courante dans le phishing par email, elle est également fréquente pas SMS. Certains services, tels que les Finances publiques (DGFiP) ou l’Agence nationale de traitement automatisé des infractions (ANTAI), sont spécifiquement visés par les fraudeurs. Les messages frauduleux prétendent une contravention ou un défaut de paiement, à régler au plus vite.

5. Les vignettes Crit’Air

La vignette Crit’Air est une pastille créée en septembre 2022, qui indique le niveau de pollution des véhicules sur une échelle de 0 à 5. Dans les zones à faibles émissions (ZFE), cette vignette est obligatoire.

Les fraudeurs n’ont pas tardé à se saisir de ce dispositif pour mettre en place des campagnes d’hameçonnage par SMS. Les messages indiquent généralement que vous n’avez pas équipé votre véhicule de cette vignette et vous fournissent un lien pour la télécharger. Dans certains cas, ils mentionnent la possibilité d’une amende en cas de non-téléchargement de la vignette.

La multiplication de ces SMS frauduleux a amené le ministère de l’Intérieur à produire un spot vidéo, publié à l’automne dernier sur son compte X (Twitter).

#MardiConseil | Commande de vignette Crit’Air, amende non réglée… vous avez déjà reçu ce type de SMS frauduleux ?

❌Ne répondez pas, ne cliquez pas
✉️Transférez le message à la plateforme de lutte contre les spams vocaux et SMS au 33 700
🆘Signalez sur https://t.co/u1tQ9fy4r2 pic.twitter.com/nCrxgZF9Zz

— Ministère de l’Intérieur et des Outre-mer (@Interieur_Gouv) September 19, 2023

Comment se protéger du smishing ?

Si les exemples mentionnés précédemment figurent parmi les plus courants, le smishing peut également usurper d’autres types de services (Netflix, Navigo, CPF, etc.) et évolue constamment. Il est donc crucial d’apprendre à identifier les caractéristiques du phishing. Pour vous protéger du hameçonnage par SMS, restez vigilants face aux messages reçus, en particulier ceux qui créent un sentiment d’urgence.

Pour reconnaître les SMS frauduleux, Cybermalveillance.gouv offre les cinq conseils suivants :

1. Ne pas communiquer d’informations sensibles : les usurpateurs utilisent parfois le nom d’institutions pour demander directement des données personnelles (coordonnées bancaires, mots de passe, etc.). Il est essentiel de ne jamais les fournir par SMS.
2. Vérifier les informations : une simple recherche peut souvent révéler si l’information dans le message est authentique. Par exemple, vous pouvez visiter le site officiel de l’organisme mentionné.
3. Inspecter le lien : avant de cliquer sur un lien, « vérifiez sa vraisemblance », conseille Cybermalveillance.gouv. La méthode la plus sûre est de rechercher le site par vous-même pour comparer les URL.
4. Ne pas télécharger d’applications depuis les liens : les applications doivent être téléchargées uniquement depuis des plateformes fiables telles que l’App Store, le Google Play Store ou le Galaxy Store.
5. Bloquer l’émetteur : si vous identifiez un message comme frauduleux, transférez-le par SMS au 33700 pour bloquer son émetteur.