SMS d'arnaque : ce que montre l'écran, et ce qu'il cache

Sur un smartphone, un SMS d’arnaque se trahit rarement par son apparence : le nom affiché, la conversation où il s’insère et le lien peuvent être imités. Les vrais indices sont ailleurs : l’adresse complète du lien, l’urgence du ton, ce que le message vous demande. Vérifiez-les avant de toucher l’écran.

Ce que l’expéditeur affiché ne prouve pas

En haut de chaque conversation, l’expéditeur prend l’une de trois formes. Un nom en toutes lettres, celui d’un service client, d’une enseigne ou d’une administration. Un numéro mobile ordinaire, en 06 ou en 07, comme celui de n’importe quel particulier. Ou un numéro court à cinq chiffres, format que la plateforme 33700.fr associe aussi aux services surtaxés.

Aucune de ces formes ne certifie l’auteur. Cybermalveillance.gouv.fr relève qu’un SMS n’affiche, pour tout expéditeur, qu’un numéro classique, parfois étranger, un numéro court ou un libellé succinct, ce qui empêche de juger simplement de son authenticité. Un expéditeur inconnu qui parle au nom d’un organisme depuis une ligne mobile banale mérite déjà un temps d’arrêt.

Le cas le plus déroutant concerne les messages qui semblent venir d’un expéditeur familier. L’Arcep classe sous le nom de spoofing la réception d’un appel ou d’un SMS qui usurpe un numéro, généralement celui d’une entité de confiance. Or votre téléphone range les messages d’après l’expéditeur affiché : un faux texte qui reprend l’intitulé exact d’un service peut se loger dans le fil de ses vrais messages, juste sous le dernier code de connexion reçu.

L’historique devient alors un argument trompeur : le nouveau message hérite de la crédibilité des anciens. Retenez la règle inverse : la place d’un SMS dans vos conversations ne dit rien de son auteur.

Avant de cliquer, faites lire le message

Puisque le nom, le numéro et jusqu’au fil de discussion se copient, le seul terrain solide reste le texte. Le problème ? Sur un petit écran, entre deux stations ou deux tâches, il se lit en diagonale, et le pouce atteint le lien avant que la lecture soit finie. Pour vérifier un message suspect, le plus efficace consiste à le soumettre à un regard extérieur avant tout geste.

Ce regard peut être celui d’un outil. Méfio propose un outil de vérification gratuit, cette solution à garder en favori pour les messages qui vous font hésiter : vous y copiez le contenu du SMS ou y déposez une capture d’écran, sans créer de compte, et il passe en revue les signaux un par un, du ton pressant à la destination réelle du lien, sans oublier ce que le message vous réclame. Il ne déclare jamais qu’un message est sûr, et ce parti pris vous sert : il expose les indices, puis vous laisse trancher. Le message d’origine n’est pas conservé, un détail appréciable quand la capture montre votre prénom ou un morceau de conversation.

Prenez un cas inventé pour l’exemple, bâti sur un modèle courant. Un soir, un numéro mobile inconnu vous annonce un remboursement d’une somme modeste, un dossier clos à minuit et une confirmation de carte à effectuer sur rembourse-dossier-suivi[.]info. Lu signal par signal, le texte se défait : un numéro de particulier qui parle au nom d’un service, une échéance qui interdit toute vérification, une adresse dont le nom de domaine aligne trois mots passe-partout et une extension en .info, sans rapport avec un organisme que vous connaissez. Reste la demande, la plus parlante : votre carte bancaire pour recevoir de l’argent, alors que Cybermalveillance.gouv.fr rappelle qu’aucune administration ni société sérieuse ne réclame de données bancaires par SMS.

Lien raccourci et adresse tronquée : lisez le domaine à l’envers

Deux formats de lien dominent. Le lien raccourci d’abord : une adresse de quelques caractères, produite par un service de raccourcissement, qui ne laisse rien voir de sa destination. Ces services ont des usages honnêtes, ce qui arrange les escrocs : rien ne distingue un envoi légitime d’un piège.

Le second format joue sur la longueur. Cybermalveillance.gouv.fr souligne que l’écran réduit d’un téléphone coupe généralement l’adresse d’un site : les mots rassurants passent en tête, la partie qui compte disparaît en fin de ligne. Pour la retrouver, procédez dans cet ordre :

• repérez la première barre oblique qui suit « https:// » : tout se joue avant elle
• lisez ce segment de droite à gauche, l’extension (.fr, .com, .info) puis le mot qui la précède, jusqu’au point suivant
• ce couple forme le nom de domaine, le seul qui désigne le propriétaire du site
• tout ce qui est à sa gauche reste un sous-domaine, baptisé librement par ce propriétaire

Exemple fictif, écrit sans son préfixe : espace-client.votre-caisse.fr.regularisation-dossier[.]info/connexion. En remontant depuis la barre oblique, vous lisez regularisation-dossier[.]info, le vrai propriétaire ; « espace-client », « votre-caisse » et ce « .fr » glissé au milieu ne sont qu’un décor. Cybermalveillance.gouv.fr ajoute qu’un seul caractère modifié suffit parfois à imiter une adresse familière : lisez lettre par lettre.

Voir où mène un lien sans l’ouvrir

Sur ordinateur, Cybermalveillance.gouv.fr conseille de survoler un lien avec la souris, sans cliquer, pour afficher l’adresse réelle. Sur téléphone, l’équivalent s’appelle l’appui long : posez le doigt sur le lien et maintenez-le, sans tapoter.

Selon le modèle, un menu s’ouvre avec l’adresse, une commande pour la copier et parfois un aperçu de la page. Méfiez-vous de cet aperçu : sur certains appareils, il charge la page elle-même, ce qui revient à la visiter. Copiez plutôt l’adresse, collez-la dans une note sans la toucher ensuite, et lisez-la de droite à gauche. Un lien raccourci, même copié, ne vous apprendra rien : écartez-le.

Le meilleur contrôle reste le détour. Si le message évoque un colis, un remboursement ou un compte, ouvrez vous-même l’application officielle du service ou son site par un favori que vous avez créé, comme le recommande Cybermalveillance.gouv.fr. Un dossier qui vous attend vraiment y figure aussi.

Urgence et petits montants, les ressorts du SMS d’arnaque

Presque tous ces messages reposent sur deux leviers. Le premier est l’urgence : Cybermalveillance.gouv.fr décrit des textes alarmants qui exigent une action rapide sous peine de suspension de compte ou de pénalité. « Avant ce soir », « dernier rappel » : l’échéance sert à raccourcir votre réflexion, jamais à vous rendre service.

Le second levier est la modestie de la somme. Des frais minimes, un petit trop-perçu : le montant paraît trop faible pour justifier la méfiance. Il n’est pas l’objectif. Le formulaire vise votre carte, vos identifiants, parfois un code de validation reçu par SMS, celui-là même qui protège vos comptes par la double authentification et qui ne se transmet à personne.

Le faux SMS de colis, l’exemple que tout le monde a reçu

Un paquet en attente, une adresse incomplète, des frais de réexpédition modiques : le faux colis fonctionne parce que presque tout le monde attend une livraison à un moment ou à un autre. Un vrai suivi se consulte chez le vendeur, avec le numéro qu’il vous a fourni, jamais par un lien arrivé seul.

Le faux remboursement, la promesse plutôt que la menace

Ce scénario-là ne menace pas : il fait plaisir. Un organisme, une caisse ou un opérateur vous devrait de l’argent, à réclamer avant une date butoir, et le faux remboursement fait passer la demande de carte pour une formalité. Certaines versions n’ont même pas de lien et invitent à rappeler un numéro, une variante que Cybermalveillance.gouv.fr décrit comme une voie vers un faux conseiller ou une ligne surtaxée.

Filtrer et bloquer : les réglages de l’iPhone et d’Android

Aucun réglage ne remplace la lecture, mais le tri en amont allège la tâche. Sur iPhone, d’après le support Apple, tout se règle dans l’app Messages :

• dans la liste des conversations, touchez le bouton des filtres, puis « Gérer le filtrage »
• activez « Filtrer les expéditeurs inconnus » : les numéros absents de vos contacts rejoignent le dossier « Expéditeurs inconnus », sans notification sauf pour les catégories autorisées, comme les codes de validation
• pour bloquer un numéro, ouvrez la conversation, touchez l’icône du contact, puis « Infos » et « Bloquer le contact »

Apple précise que les liens d’un expéditeur filtré deviennent ouvrables une fois celui-ci marqué comme connu, et que le filtre ignore les expéditeurs auxquels vous avez répondu trois fois ou plus. Le blocage s’étend à Téléphone, FaceTime et Mail, sans que l’expéditeur le sache.

Sur Android, tout dépend de la messagerie installée. Dans Google Messages, l’aide de Google indique que la protection antispam s’active automatiquement quand l’appareil la propose :

• pour le vérifier, touchez votre photo de profil, puis « Paramètres de Messages », « Protection et sécurité » et « Protection antispam »
• pour bloquer, appuyez de manière prolongée sur la conversation, puis touchez « Bloquer », « Signaler comme spam » et « OK »

Les messageries d’autres fabricants offrent des options voisines, sous d’autres noms. Bloquer protège votre téléphone, signaler aide tout le monde : la plateforme 33700.fr transmet chaque jour aux opérateurs les signalements de SMS indésirables, et Cybermalveillance.gouv.fr précise que le transfert d’un message au 33700 est gratuit.

Pour le reste, du code de verrouillage aux mises à jour, appliquez les bons réflexes pour protéger vos données personnelles sur smartphone.

Le prochain SMS douteux, geste par geste

Le jour où un message vous fait hésiter, déroulez cette séquence :

• laissez le lien de côté et lisez le texte jusqu’au bout
• jugez l’expéditeur sans vous fier au fil où il apparaît
• repérez l’urgence, la somme et ce qui vous est demandé
• copiez l’adresse par un appui long, lisez le domaine de droite à gauche
• vérifiez par l’application officielle, puis signalez et bloquez

Ce soir, prenez trois minutes pour activer le filtrage ou vérifier la protection antispam, une étape à refaire le jour où vous transférerez vos données vers un nouveau smartphone. Effacez ensuite les captures prises pour faire examiner un message : elles encombrent la galerie, comme le rappelle notre guide sur le stockage d’un téléphone plein. Reconnaître un SMS d’arnaque devient alors une habitude de lecture, bien plus qu’une affaire de chance.