Le phishing par SMS : le smishing : a connu une mutation radicale en 2026. Là où les vieilles campagnes se trahissaient par leur mauvais français et leurs liens bizarres, les nouvelles utilisent l'IA générative pour créer des messages indiscernables d'un vrai SMS de votre banque. L'ANSSI a enregistré une hausse de 340% des incidents smishing entre 2024 et 2026. Voici ce que vous devez savoir.
Les 7 techniques de smishing les plus utilisées en 2026
1. Faux SMS bancaire avec IA conversationnelle
La technique la plus sophistiquée : vous recevez un SMS de votre banque signalant une transaction suspecte. Si vous répondez, un chatbot IA prend le relais : il connaît votre prénom, les 4 derniers chiffres de votre carte, et répond en temps réel à vos questions. Le but est d'obtenir votre code OTP ou de vous faire appeler un numéro frauduleux.
Indices : Le vrai numéro de votre banque ne vous demandera jamais votre code SMS. Jamais.
2. Smishing aux colis (faux La Poste / DHL / Colissimo)
Le plus répandu. Vous recevez "Votre colis est bloqué en douane, 1,99€ de frais requis." Le lien mène à une fausse page avec le logo La Poste parfaitement reproduit. Vous entrez votre carte bancaire pour "1,99€"... qui devient 299€ d'abonnements frauduleux dans la semaine.
Règle absolue : La Poste, DHL et Colissimo ne demandent jamais de paiement par SMS. Accédez toujours à votre espace client directement.
3. Quishing : QR codes dans les SMS
Technique émergente : le SMS contient un QR code (image) qui pointe vers un site frauduleux. Les filtres anti-phishing analysent les URLs textuelles : un QR code les contourne. Scannez uniquement les QR codes dont vous connaissez l'origine.
4. Deepfake vocal suivi d'un SMS
Vous recevez un appel de votre "conseiller bancaire" (voix clonée IA) qui vous annonce un virement frauduleux sur votre compte, puis un SMS avec un "code de sécurité" à renvoyer. Ce SMS est le code OTP pour valider un vrai virement frauduleux chez votre vrai banquier.
5. Faux SMS d'opérateur téléphonique
"Votre forfait expire demain, renouvelez maintenant pour 9,99€/mois." L'expéditeur affiche "Orange", "SFR" ou "Bouygues" grâce au SMS spoofing. Vérifiez toujours votre espace client, ne cliquez jamais sur le lien du SMS.
6. Smishing fiscal (faux remboursement impôts)
"Vous avez un remboursement de 156€ à percevoir auprès des impôts." La fausse page des impôts vous demande votre RIB et carte bancaire "pour vérification". Les impôts envoient leurs remboursements directement sur votre RIB déclaré : ils ne vous demandent jamais votre carte.
7. Faux SMS AMELI / Vitale
"Votre carte Vitale doit être mise à jour, accédez à votre espace." La fausse page AMELI collecte votre numéro de Sécurité Sociale et vos documents d'identité pour une usurpation d'identité médicale.
Comment vous protéger concrètement
Règle n°1 : Ne cliquez jamais sur un lien dans un SMS non sollicité. Tapez l'URL directement dans votre navigateur.
Règle n°2 : Aucun organisme légitime (banque, impôts, AMELI, opérateur) ne vous demandera votre code SMS ou votre mot de passe par SMS.
Règle n°3 : Signalez tout SMS suspect au 33700 (service gratuit de signalement SMS frauduleux en France).
Règle n°4 : Activez les filtres anti-spam SMS de votre opérateur. Orange, SFR et Bouygues proposent tous une protection intégrée.
Règle n°5 : Sur iPhone, activez "Filtrer les expéditeurs inconnus" dans Réglages → Messages. Sur Android, utilisez Google Messages avec la détection de spam activée.
Que faire si vous avez cliqué
- Ne remplissez aucun formulaire sur la page ouverte : fermez immédiatement
- Si vous avez entré des données de carte : appelez votre banque pour bloquer la carte (numéro au dos)
- Si vous avez donné un code OTP : votre banque peut annuler certains virements dans les 2 heures : agissez vite
- Déposez plainte au commissariat ou via Thésée (plateforme de plainte en ligne)
- Signalez sur Signal-Spam et au 33700
Ressources officielles
- Cybermalveillance.gouv.fr : assistance aux victimes
- Info-Escroqueries : 0 805 805 817 (numéro gratuit)
- Signal-Spam : signalement des SMS frauduleux
