Comment distinguer un faux SMS bancaire d'un vrai simplement en le regardant ?

C'est souvent impossible, et c'est justement le but de l'arnaque : un numéro usurpé peut s'afficher dans le même fil que d'anciennes alertes authentiques, et le texte reprend fréquemment le vocabulaire des vrais messages bancaires. Plutôt que de juger le SMS lui-même, vérifiez de façon indépendante en ouvrant directement l'application ou le site de votre banque pour voir si la même alerte y figure. Si ce n'est pas le cas, le SMS était faux, peu importe son apparence convaincante.

Que faire si j'ai déjà cliqué sur le lien et saisi mes identifiants ?

Changez immédiatement votre mot de passe bancaire en ligne depuis un appareil de confiance, en passant par l'application ou le site officiel de votre banque, jamais par un lien issu du SMS. Appelez votre banque en utilisant le numéro inscrit au dos de votre carte pour signaler l'incident, demandez une surveillance ou un blocage du compte, et vérifiez attentivement les transactions récentes. Si vous avez aussi transmis un code à usage unique, considérez le compte comme compromis jusqu'à confirmation contraire de votre banque.

Les banques envoient-elles parfois de vrais SMS avec un lien à cliquer ?

Certaines banques envoient effectivement des SMS avec un lien pour des actions comme confirmer un nouvel appareil ou réinitialiser un mot de passe, mais ces cas sont rares et déclenchés par une action que vous venez d'effectuer vous-même. Si vous ne vous attendiez pas au message, ou s'il vous presse d'agir immédiatement sous peine de frais ou de blocage de compte, traitez-le comme suspect et vérifiez via l'application plutôt que de cliquer sur quoi que ce soit dans le SMS.

Le SMS qui ressemble à s'y méprendre à celui de votre banque

Les faux SMS bancaires copient logo, ton et fil de discussion réels : comment repérer l'arnaque et vérifier avant de cliquer.

Un SMS arrive annonçant que votre carte a été refusée, et il ressemble trait pour trait aux alertes que votre banque vous envoie d’habitude. Cette ressemblance est justement le but : les pertes déclarées liées aux SMS frauduleux ont atteint 330 millions de dollars en 2022 aux États-Unis, selon la Federal Trade Commission, et l’usurpation d’identité bancaire était la catégorie la plus signalée, avec une perte médiane de 1 000 dollars selon les mêmes données de la FTC. Le message n’a pas besoin d’être sophistiqué. Il doit juste arriver au bon moment, se glisser parmi les dizaines de textos qu’on lit chaque jour sans y prêter attention, et demander une petite action urgente, du genre qu’on a déjà accomplie sans réfléchir.

Comment fonctionne réellement le faux SMS bancaire

Tout commence par un numéro usurpé, capable de s’afficher dans le même fil que les précédents messages authentiques de votre banque, si bien que le faux SMS se glisse juste sous un vrai et hérite de sa crédibilité. Le texte reprend presque mot pour mot le vocabulaire des alertes réelles : carte bloquée, connexion suspecte, paiement à confirmer. Un lien suit, raccourci ou déguisé sous un nom de domaine qui ressemble suffisamment à celui de la banque pour passer un rapide coup d’œil. En cliquant, on atterrit sur une page de connexion clonée qui capture identifiant et mot de passe en temps réel, parfois même le code à usage unique tapé quelques secondes plus tard, transmis directement à la session active de l’escroc. Tout l’échange peut se terminer avant même qu’on ait eu le temps de douter. Certaines versions n’incluent aucun lien et se contentent d’un numéro à appeler, où un faux conseiller fait « vérifier l’identité » en demandant de lire le numéro de carte et le code confidentiel. L’infrastructure derrière ces campagnes est souvent bon marché et jetable : numéros temporaires, pages clonées à partir de modèles mis à jour dès qu’une banque change son design, envois massifs sachant qu’un taux de réponse minime suffit à rentabiliser l’opération. Le même scénario est ainsi réutilisé contre plusieurs banques, seul le logo et les couleurs changeant, ce qui explique pourquoi le format paraît si familier même quand la banque citée n’est pas la vôtre.

Un SMS qui tombe au pire moment

Ceci est un scénario illustratif, pas un témoignage ni un cas réel.

C’est la fin d’après-midi, en pleine course, quand un message s’affiche : « Activité inhabituelle détectée sur votre compte se terminant par 4821. Vérifiez maintenant pour éviter un blocage. » Le numéro semble faire partie du même fil que l’alerte de fraude reçue le mois dernier. Le lien ouvre une page avec le bon logo, la bonne nuance de bleu, un champ de connexion exactement à sa place habituelle. Identifiant, mot de passe, puis un code à six chiffres reçu quelques instants après, saisi sans hésitation puisque la page le demandait de la même façon que l’application officielle le fait toujours. Ce n’est qu’en consultant plus tard le compte via l’application réelle qu’un virement de plusieurs centaines d’euros apparaît, déjà effectué, déjà parti. Tout l’échange, du premier vibreur du téléphone au dernier geste, a duré moins de deux minutes, moins de temps qu’il n’en faut pour relire deux fois une vraie notification bancaire. Cette rapidité fait partie du procédé : la séquence est construite pour qu’aucun temps mort ne laisse place au doute, chaque étape paraissant simplement la suite logique de la précédente.

Comment stopper un faux SMS bancaire avant qu’il coûte quoi que ce soit

Les banques suivent des schémas vérifiables, et l’arnaque ne fonctionne que si l’on agit à l’intérieur même du message. La parade consiste à ne jamais traiter le SMS comme point de départ pour vérifier quoi que ce soit, mais comme une invitation à aller contrôler par un canal que l’on maîtrise soi-même. Aucune des étapes suivantes ne demande de compétence technique particulière : il s’agit surtout de rompre l’habitude de répondre à un texto sur ses propres termes.

Ne jamais toucher au lien contenu dans le SMS

Fermez le message et ouvrez directement l’application de votre banque, ou tapez son adresse depuis un favori ou de mémoire. Les vraies alertes de fraude ou de blocage de carte apparaissent aussi dans l’application ou l’espace client en ligne : si rien n’y correspond, le SMS était faux, quelle que soit son apparence convaincante. Cette seule habitude suffit à déjouer la grande majorité de ces arnaques, car la page clonée ne fonctionne que si l’on y arrive par le lien de l’escroc et non par son propre raccourci ou icône d’application.

Appeler le numéro inscrit sur la carte, jamais celui du message

Si un SMS ou une page liée fournit un numéro à appeler, ignorez-le. Le numéro imprimé au dos de votre carte bancaire mène toujours au véritable service anti-fraude de votre banque. Les escrocs contrôlent à la fois le faux lien et la fausse hotline, donc tout numéro provenant du message suspect est par définition non fiable. Enregistrez ce numéro dans vos contacts sous un intitulé clair comme « Fraude banque », pour ne jamais être tenté de le rechercher en ligne et tomber sur un résultat usurpé.

Considérer toute demande de code à usage unique comme un signal d’alarme immédiat

Les banques envoient des codes à usage unique pour confirmer une action que vous avez initiée : elles n’appellent ni n’écrivent jamais pour demander de le leur communiquer. Si l’on vous demande de partager un code reçu, que ce soit par SMS, par téléphone ou via un formulaire, arrêtez tout de suite. Ce chiffre est souvent la dernière pièce dont l’escroc a besoin pour prendre le contrôle de la session. Même si l’interlocuteur semble professionnel, cite de vraies informations sur votre compte, ou prétend que le code sert à « annuler » une transaction suspecte, la réponse reste la même : raccrochez et appelez le numéro inscrit sur la carte.

Signaler, bloquer, puis vérifier ses relevés

Transférez les SMS suspects au signalement anti-spam de votre opérateur et bloquez l’expéditeur. Connectez-vous ensuite à votre compte via un canal de confiance et examinez les transactions récentes, y compris les petits montants inhabituels, parfois utilisés par les escrocs pour tester si une carte volée est encore active. Si vous repérez quelque chose d’anormal, signalez-le immédiatement à votre banque : la plupart des établissements offrent une meilleure protection contre la fraude si l’alerte est donnée rapidement, et chaque jour d’attente peut réduire les chances d’un remboursement complet.

Pourquoi un filtrage des appels et SMS devient utile une fois le schéma repéré

Une fois qu’on connaît le fonctionnement d’un faux SMS bancaire, la vraie difficulté est de le repérer avant même d’avoir eu le temps de le lire attentivement. Une application dédiée au filtrage des appels et des SMS compare les numéros entrants à des bases de numéros frauduleux connus et de schémas d’usurpation, en bloquant ou en signalant les messages avant qu’ils n’atterrissent dans le fil habituel, juste à côté des vraies alertes bancaires. Cette séparation compte : une partie de ce qui rend ces textos convaincants tient à leur placement dans une conversation familière, et un filtrage qui intercepte les numéros usurpés avant livraison supprime ce ressort visuel. Les bons outils de protection téléphonique permettent aussi de signaler un numéro en un geste, ce qui alimente les mêmes bases de données utilisées pour protéger la personne suivante qui recevra exactement le même message. Rien de tout cela ne remplace la vérification du compte via les canaux officiels, mais cela réduit la fréquence à laquelle on est amené à trancher sous pression, précisément le moment où les erreurs se produisent. Pour quiconque a déjà été ciblé une fois, cette couche de filtrage supplémentaire peut faire la différence entre un SMS frauduleux qui n’arrive jamais à provoquer le moindre doute et un autre qui se glisse, déguisé, comme le quatrième message d’un après-midi par ailleurs ordinaire.

Téléphone