Oui — un escroc peut faire enregistrer un identifiant d’expéditeur SMS qui vient se loger dans le même fil de discussion que votre banque, car les opérateurs affichent simplement le nom déclaré par une entreprise, sans vérifier son identité réelle. Ce n’est pas une anecdote marginale : plus largement, selon Pew Research Center, 81 % des Américains estiment que les risques liés à la collecte de leurs données personnelles par les entreprises dépassent les bénéfices, et 67 % disent comprendre peu ou pas du tout ce que deviennent ces données une fois diffusées — y compris les numéros de téléphone qui rendent ce type d’usurpation possible.
Comment un faux nom d’expéditeur se glisse dans un vrai fil
Les SMS envoyés par les entreprises transitent généralement par un identifiant alphanumérique ou un numéro court plutôt que par un numéro classique — c’est pour cela que les messages de votre banque apparaissent sous un nom comme « BNP » ou « Société Générale » au lieu d’un numéro à dix chiffres. Les opérateurs et les passerelles SMS font généralement confiance au nom déclaré par une entreprise lors de l’enregistrement d’une campagne, et la vérification de ce nom varie énormément selon le pays, l’opérateur et la passerelle choisie par l’escroc pour router ses envois. Un fraudeur qui déniche une passerelle peu regardante peut faire enregistrer exactement le même nom d’expéditeur que votre banque utilise déjà. Votre téléphone regroupe ensuite les messages par nom d’expéditeur, pas par une preuve cryptographique d’identité : le SMS frauduleux atterrit donc dans la même conversation que vos vraies alertes bancaires. L’effet visuel est redoutable : un fil continu, un nom familier, un message évoquant « une activité suspecte » ou « un virement bloqué », juste sous une alerte authentique reçue le mois précédent. Rien dans l’interface ne signale l’incohérence, car rien dans le protocole sous-jacent n’exige d’authentifier ce nom comme le fait un cadenas pour un site web. Cette faille existe parce que le SMS et la messagerie professionnelle qui s’est bâtie dessus datent d’avant toute préoccupation sur l’usurpation à grande échelle : le système a été conçu pour livrer vite une étiquette, pas pour prouver qui l’a apposée. Certains pays ont instauré des registres censés lier un identifiant d’expéditeur à une entreprise vérifiée, mais l’application reste inégale selon les opérateurs, et il suffit à l’escroc de trouver le seul maillon faible de la chaîne qui ne vérifie pas correctement. Une fois ce maillon trouvé, le nom usurpé se comporte exactement comme le vrai sur tous les appareils qui le reçoivent, ce qui explique pourquoi cette technique ressurgit sans cesse malgré les nouvelles règles de filtrage annoncées par les opérateurs.
Un SMS qui ressemble à celui de la banque
Il s’agit d’un scénario illustratif construit pour montrer le déroulement de la fraude, et non du récit d’une personne réelle.
Imaginons quelqu’un qui consulte son téléphone et voit un nouveau message dans le fil déjà utilisé pour les alertes de compte. Le message signale une tentative de retrait de 1 200 € et propose un lien pour « vérifier son identité » dans les 15 minutes. Comme il se trouve juste sous trois alertes antérieures authentiques du même expéditeur, la mise en forme et le ton correspondent parfaitement. Le lien ouvre une page qui imite au pixel près l’écran de connexion de la banque, demande identifiant, mot de passe et code à usage unique, puis transmet discrètement ces trois éléments à la session de l’escroc avant de rediriger vers le vrai site bancaire pour ne rien laisser paraître. Tout l’échange dure moins de deux minutes, sans jamais quitter l’application de messagerie déjà familière. Au moment où la victime remarque quelque chose d’anormal — peut-être un second SMS la remerciant d’avoir « confirmé » un changement de mot de passe jamais demandé — l’escroc a déjà utilisé le code à usage unique volé pour autoriser un virement, et c’est souvent le service antifraude de la banque qui signale l’activité suspecte en premier, parfois plusieurs heures plus tard.
Comment ne pas se laisser piéger par un nom d’expéditeur usurpé
La position dans le fil et le nom affiché sont les deux éléments qu’un escroc peut imiter avec succès ; tout le reste de votre réaction reste sous votre contrôle. L’objectif n’est pas de douter de chaque SMS bancaire, mais d’arrêter de considérer l’emplacement dans le fil comme une preuve d’authenticité, et d’adopter des réflexes qui fonctionnent même quand le nom affiché est parfait. Chaque étape ci-dessous ferme une partie de la chaîne dont dépend l’escroc, de sorte qu’un message impeccable n’ait plus aucune issue.
Ne jamais cliquer sur un lien dans un SMS demandant des identifiants ou un paiement
Ouvrez directement votre application bancaire ou tapez vous-même l’adresse connue du site, au lieu de toucher quoi que ce soit dans le message. Une vraie alerte de fraude ne demande presque jamais de se connecter via un lien SMS ; elle invite à appeler le numéro au dos de la carte ou à ouvrir l’application déjà installée. Si un message combine urgence et lien cliquable dans la même phrase, considérez cette combinaison comme le signal d’alerte, quel que soit le fil dans lequel il apparaît.
Appeler le numéro imprimé sur votre carte, jamais celui du SMS
Si un message évoque une activité suspecte, raccrochez mentalement avec la conversation du SMS et composez le numéro de service client inscrit au dos de votre carte physique ou dans l’application officielle de la banque. Les escrocs insèrent parfois un numéro dans le faux SMS qui renvoie vers leur propre centre d’appels : en allant chercher le numéro vous-même, vous supprimez entièrement cette couche de tromperie.
Repérer les fils dupliqués ou désordonnés
Un message usurpé crée parfois un second fil distinct plutôt que de fusionner parfaitement avec l’ancien, surtout si le nom d’expéditeur enregistré par l’escroc diffère d’un espace, d’une majuscule ou d’un mot manquant. Faites défiler l’historique de temps en temps et cherchez deux entrées portant le même nom d’entreprise, ou un fil dont le ton et la mise en forme changent brusquement à un moment donné.
Signaler le message et bloquer l’expéditeur
Transférez les SMS suspects au numéro court de signalement de votre opérateur (le 33700 en France) et bloquez l’expéditeur dans votre application de messagerie. Ce signalement aide les opérateurs à repérer la passerelle utilisée pour l’abus, ce qui peut réduire la durée pendant laquelle ce nom d’expéditeur usurpé reste exploitable contre d’autres personnes.
Pourquoi un second numéro dédié coupe cette voie d’attaque
L’usurpation de nom d’expéditeur fonctionne parce que l’escroc a seulement besoin de savoir qu’un numéro appartient à la clientèle de votre banque, pas de connaître ce numéro en particulier — or votre numéro de téléphone circule via des courtiers en données, d’anciennes inscriptions et des fuites auxquelles vous n’avez jamais consenti. Moins votre numéro principal est associé à chaque compte que vous ouvrez, plus le bassin d’attaquants capables de vous cibler avec un message crédible, calé sur un fil existant, se réduit. Séparer le numéro que vous donnez aux banques, commerçants et inscriptions ponctuelles de celui que vos proches utilisent réellement signifie qu’un message usurpé a bien plus de chances d’atterrir là où vous êtes déjà en alerte, plutôt que dans un fil que vous avez appris à considérer comme sûr depuis des années. Un service de numéro de téléphone axé sur la confidentialité permet de générer et de retirer des numéros selon leur usage : quand l’un d’eux commence à attirer du spam ou des alertes usurpées, vous pouvez le couper sans perdre votre ligne principale ni forcer vos contacts à ressaisir un nouveau numéro. Cela n’empêchera pas un escroc déterminé d’enregistrer un faux identifiant d’expéditeur, mais cela réduit le nombre de vos numéros réellement exploitables, et offre un moyen simple d’isoler et de fermer l’exposition dès qu’elle est repérée. Avec le temps, cette séparation facilite aussi la détection des anomalies : un numéro que vous n’avez donné qu’à une seule banque et qui reçoit soudain des SMS évoquant un autre compte est en soi un signal clair que quelque chose cloche, d’une manière qu’un numéro unique partagé ne révèle jamais.
Numero eSIMlien affilié
Un second numéro sans carte SIM, dans plus de 80 pays