On ne va pas se mentir : en 2026, recevoir un SMS légitime relève presque de l'anomalie statistique. Entre le faux livreur Chronopost qui pleure pour un colis bloqué, l'arnaque à la vignette Crit'Air ressuscité pour la quarantième fois, et les faux messages de votre banque générés à la volée par des LLM locaux tournant sous Ollama dans des caves à l'autre bout du monde, le smishing a atteint un niveau industriel. Spoiler : les filtres par défaut d'Apple et Google sont complètement largués.
Pourquoi c'est important
Le smishing (ou hameçonnage par SMS pour les puristes de l'Académie) n'est plus ce spam grossier bourré de fautes d'orthographe qu'on repérait à dix kilomètres en 2018. Aujourd'hui, les attaquants utilisent des passerelles SMS compromises, de l'usurpation d'expéditeur (SMS spoofing) parfaitement transparente via des failles SS7 jamais colmatées, et des tunnels de reverse proxy automatisés comme Evilginx pour intercepter vos jetons de session et contourner la double authentification (2FA) par SMS. Bref, si vous croyez encore être immunisé parce que vous êtes un "utilisateur averti", vous êtes précisément la cible idéale.
Si un service critique vous envoie encore des codes de sécurité temporaires par SMS non chiffré en 2026, c'est purement et simplement du foutage de gueule architectural.
1. Tuez la 2FA par SMS sans hésiter
La première mesure d'hygiène numérique consiste à éradiquer le SMS comme second facteur d'authentification. C'est une passoire historique sujette au SIM swapping et au détournement d'itinérance. Basculez immédiatement tous vos comptes sensibles (banques, boîtes mail, hébergeurs) vers une application TOTP locale ou, mieux encore, des clés physiques FIDO2 / Passkeys. Installez un gestionnaire de mots de passe digne de ce nom comme Bitwarden (ou son alternative open source auto-hébergeable Vaultwarden). Bitwarden gère nativement le remplissage automatique conditionnel : si le nom de domaine de la page de connexion ne matche pas au millimètre près, aucun identifiant n'est injecté. Même piégé par un lien malveillant, le mot de passe ne partira pas.
2. Verrouillez votre résolution DNS sur mobile
Les liens frauduleux s'appuient sur des domaines jetables enregistrés quelques minutes avant l'envoi de la campagne via des registrars complaisants. Pour couper l'herbe sous le pied de ces redirections, forcez un filtrage DNS sérieux directement sur votre smartphone via DNS-over-HTTPS (DoH) ou DNS-over-TLS (DoT). Configurez NextDNS ou déployez votre propre instance d'AdGuard Home avec des listes d'anti-phishing communautaires mises à jour toutes les heures (comme Phishing Army ou URLhaus). Résultat : quand vous cliquez par mégarde sur un lien raccourci du type ameli-miseajour-secu.top, la requête DNS est tuée dans l'œuf avec une page de blocage immédiate.
3. Adoptez des bloqueurs d'appels et SMS open source
Plutôt que de confier la lecture intégrale de votre messagerie privée à Google Messages ou à des applications tierces douteuses gavées de trackers publicitaires, tournez-vous vers l'écosystème F-Droid. Sur Android, installez une application comme Yet Another Call Blocker (YACB) ou des utilitaires de filtrage regex locaux. Vous pouvez configurer des règles strictes pour bloquer systématiquement les SMS contenant des URL raccourcies (bit.ly, tinyurl, t.co) ou des mots-clés typiques de l'urgence bancaire provenant de numéros non enregistrés dans votre carnet d'adresses.
4. Analysez les liens douteux sans prendre de risque
Un doute sur un message semblant provenir de votre opérateur ou des impôts ? Ne chargez jamais l'URL sur le navigateur de votre téléphone. Isolez la charge utile. Copiez l'URL brute, balancez-la dans une sandbox web ou un outil d'inspection comme urlscan.io ou VirusTotal. Si vous avez une âme de sysadmin et une machine virtuelle sous la main, inspectez les en-têtes HTTP et le comportement du serveur via un simple curl -I -A "Mozilla/5.0" [URL] pour voir où mènent les redirections successives sans exécuter le moindre JavaScript piégé.
Les erreurs à éviter
- Cliquer pour "se désinscrire" : Répondre "STOP" ou cliquer sur un lien de désinscription sur un SMS suspect confirme simplement aux attaquants que votre numéro est actif et monitoré par un humain. C'est le ticket d'or pour être inscrit sur des listes revendues sur Telegram.
- Faire confiance au nom de l'expéditeur : Le protocole SMS permet de modifier arbitrairement l'identifiant texte de l'émetteur (Sender ID). Voir s'afficher "MaBanque" ou "InfoColis" dans le fil de discussion ne prouve absolument rien techniquement.
- Croire que les navigateurs mobiles vous protègent : Sur smartphone, la barre d'adresse tronque souvent les sous-domaines longs pour des raisons d'affichage, rendant les attaques homographes ou l'usage de sous-domaines trompeurs particulièrement redoutables pour l'œil humain.
- Transférer le message à vos proches pour vérifier : En propageant le lien brut par messagerie instantanée, vous risquez de contaminer des contacts moins alertes via des prévisualisations automatiques de liens non sécurisées.
Notre verdict
Le SMS n'a jamais été pensé pour être sécurisé ; c'est un protocole des années 90 rafistolé avec du scotch pour maintenir l'illusion en 2026. L'action concrète à faire aujourd'hui, sans attendre : ouvrez les paramètres réseau de votre téléphone, virez le DNS par défaut de votre opérateur et configurez un profil NextDNS sécurisé. Cela vous prendra exactement trois minutes et neutralisera 90 % des infrastructures d'attaque avant même qu'elles n'atteignent votre écran.
