Il y a une phrase que l'on entend souvent au téléphone, un dimanche après-midi, avec une gêne dans la voix : « J'ai reçu un message bizarre de la banque, je crois que j'ai cliqué. » Suit un blanc. Puis, presque toujours, une excuse : « Je suis bête, je n'aurais pas dû. »
Cette honte est le vrai problème. Elle retarde le signalement de plusieurs heures, parfois de plusieurs jours, alors que la fenêtre utile pour bloquer un prélèvement ou une carte se compte en minutes. Et elle repose sur un malentendu : les personnes âgées ne se font pas piéger parce qu'elles seraient « nulles en informatique ». Elles se font piéger parce que les messages frauduleux de 2026 sont conçus pour fonctionner sur tout le monde, et qu'elles disposent d'un peu moins de repères pour recouper l'information — pas d'un peu moins d'intelligence.
Accompagner un parent sur ce terrain, c'est un exercice d'équilibriste : il faut protéger sans déposséder. Voici comment s'y prendre concrètement, côté réglages, côté vocabulaire, et côté procédure quand le mal est fait.
Pourquoi le SMS reste l'angle d'attaque privilégié
On imagine volontiers l'arnaque moderne comme une affaire de faux sites web sophistiqués. En pratique, la porte d'entrée reste le message, et pour une raison structurelle : le SMS n'a pas de liste d'amis. Il n'y a ni demande de contact, ni modération, ni algorithme de tri. N'importe quel numéro dans le monde peut adresser un message à n'importe quel autre numéro.
Ajoutez trois caractéristiques propres au canal :
- Le message arrive dans un fil légitime. Sur iOS comme sur Android, un SMS envoyé avec un nom d'expéditeur usurpé peut venir s'agréger à la conversation existante de votre banque ou de votre opérateur. Le message frauduleux apparaît alors juste en dessous de messages authentiques. Aucune vigilance visuelle ne résiste à ça.
- L'écran est petit. Une URL tronquée sur un affichage de six pouces, avec une police moyenne et une presbytie, ne se lit pas. Le sous-domaine trompeur passe inaperçu.
- Le canal inspire encore confiance. Une génération entière a appris que le SMS était le canal « sérieux » : celui du médecin, du laboratoire, de la banque, de la pharmacie. Cette réputation, méritée pendant vingt ans, est aujourd'hui exploitée.
La plateforme Cybermalveillance.gouv.fr place depuis plusieurs années l'hameçonnage — dont le smishing, sa variante par SMS — en tête des demandes d'assistance des particuliers. Ce n'est pas un phénomène de niche, c'est le fond de commerce de la cybercriminalité de masse.
Ce qui a changé depuis deux ou trois ans
Le cliché du SMS bourré de fautes appartient au passé. Les outils de génération de texte ont supprimé le principal marqueur d'alerte : la maladresse de langue. Les messages sont désormais grammaticalement irréprochables, correctement accentués, dans un registre administratif crédible.
Trois évolutions concernent particulièrement les personnes âgées :
- La personnalisation. Les fuites de bases de données à répétition permettent de citer un nom, une ville, parfois une mutuelle ou un opérateur. Un message qui commence par « Bonjour Madame Duval » désarme instantanément la méfiance.
- Le rebond vocal. Le SMS n'est plus qu'un déclencheur : il invite à rappeler un numéro, où un interlocuteur humain — le « faux conseiller bancaire » — prend le relais. C'est le scénario le plus coûteux, avec des préjudices qui se chiffrent en dizaines de milliers d'euros.
- Le levier affectif. L'arnaque dite « au faux enfant » (« Maman, j'ai cassé mon téléphone, voici mon nouveau numéro ») cible explicitement les parents et grands-parents. Elle ne demande rien d'informatique : juste un virement, à quelqu'un que l'on croit aimer.
Une règle utile à transmettre : une urgence qui interdit de raccrocher et de rappeler soi-même est, par définition, une arnaque. Aucune institution française n'a jamais exigé qu'on reste en ligne.
Les cinq scénarios à connaître par cœur
Plutôt que d'apprendre une liste infinie de variantes, il vaut mieux mémoriser les cinq familles. Elles couvrent l'écrasante majorité des cas.
| Scénario | Le prétexte | Le signe qui ne trompe pas |
|---|---|---|
| Faux colis | « Frais de douane de 1,80 € à régler » | Une somme dérisoire pour capter une carte bancaire |
| Fausse banque | « Tentative de paiement suspecte, confirmez » | Demande d'un code reçu par SMS, ou rappel d'un numéro |
| Faux organisme public | Amende, impôts, Assurance Maladie, CAF | Lien direct au lieu du site officiel connu |
| Faux proche | « C'est moi, j'ai changé de numéro » | Passage rapide vers une messagerie, puis demande d'argent |
| Faux dépannage | « Votre compte sera clôturé sous 24 h » | Compte à rebours artificiel |
Le point commun de ces cinq scénarios n'est pas technique, il est émotionnel : peur, urgence, curiosité ou affection. C'est ce qu'il faut apprendre à repérer, pas les détails de l'orthographe d'une URL.
Le réflexe unique qui remplace tous les autres
Si vous ne transmettez qu'une seule chose à un parent, que ce soit celle-ci : on ne clique jamais dans un message, on ouvre soi-même le canal qu'on connaît.
Sa banque l'inquiète ? Il rappelle le numéro imprimé au dos de sa carte. L'Assurance Maladie le contacte ? Il ouvre son compte Ameli comme d'habitude. Un colis serait bloqué ? Il va sur le site du transporteur qu'il a lui-même choisi. Ce réflexe seul neutralise à peu près tout, sans exiger la moindre compétence technique.
Pour l'ancrer, rien ne vaut le support physique. Un carnet de mots de passe papier posé près du téléphone fixe, sur lequel on note les vrais numéros — banque, mutuelle, médecin, opérateur — et deux ou trois règles écrites en gros, fait souvent plus qu'une heure d'explications. L'objet est daté, mais il est consultable en trois secondes, en pleine panique, sans batterie.
Régler le téléphone : une heure bien investie
L'accompagnement ne se joue pas seulement dans la conversation. Une demi-heure de réglages réduit mécaniquement le volume de messages douteux qui atteignent l'écran.
Filtrer les expéditeurs inconnus
Sur iPhone, dans Réglages → Applications → Messages, l'option « Filtrer les expéditeurs inconnus » range automatiquement dans un onglet séparé les messages provenant de numéros absents des contacts. Ils n'apparaissent plus en notification. Le fil principal ne contient plus que la famille, les amis, et les services enregistrés.
Sur Android, Google Messages propose une protection anti-spam et une détection des messages potentiellement dangereux, activables dans Paramètres → Protection contre le spam. Les versions récentes signalent également les liens jugés suspects avant ouverture.
Ce filtrage a un coût : un message légitime d'un numéro nouveau (un artisan, un laboratoire) peut atterrir dans l'onglet secondaire. Il faut donc expliquer l'existence de cet onglet, et où le retrouver.
Verrouiller la couche financière
C'est le geste le plus rentable, et il ne concerne pas le téléphone mais la banque. Beaucoup d'établissements permettent, depuis l'application ou en agence, de :
- fixer un plafond de virement quotidien bas (quelques centaines d'euros) ;
- imposer un délai de 24 à 48 h avant qu'un nouveau bénéficiaire ne soit utilisable ;
- désactiver le paiement à l'étranger ou par internet lorsqu'il n'est pas utilisé.
Un plafond bas ne protège pas de l'arnaque, mais il transforme une catastrophe en incident. C'est exactement le rôle qu'on attend d'une mesure de sécurité.
Documenter les vrais interlocuteurs
Enregistrez dans le répertoire, sous des noms sans ambiguïté (« BANQUE — vrai numéro », « MUTUELLE — vrai numéro »), les contacts officiels. Quand un appel entrant s'affiche sans nom alors qu'il prétend venir de la banque, l'incohérence saute aux yeux.
Pour les personnes qui peinent à naviguer dans les menus, un téléphone mobile à grosses touches conservé en second appareil, avec les cinq numéros essentiels en mémoire directe, reste une solution de repli très efficace — notamment pour rappeler une banque sans passer par le smartphone potentiellement compromis.
Améliorer les conditions de lecture
Une part non négligeable des clics malheureux vient simplement du fait qu'on ne lit pas ce qu'on clique. Agrandir la taille du texte dans les réglages d'accessibilité, activer le contraste élevé, et disposer d'une paire de lunettes de lecture à portée du fauteuil change réellement la donne. Ce n'est pas un conseil de confort : c'est une mesure de sécurité.
Parler du sujet sans humilier
C'est la partie la plus délicate, et celle qu'on rate le plus souvent. Quelques principes tirés du terrain.
Ne jamais commencer par « fais attention »
« Fais attention aux arnaques » ne transmet aucune information exploitable et installe une posture de tutelle. Préférez le récit concret : raconter un message que vous avez reçu, expliquer comment vous avez vérifié, admettre que vous avez hésité. L'objectif est de montrer que douter est normal, y compris pour quelqu'un de plus jeune.
Créer un droit à l'erreur explicite
Formulez-le à voix haute, une fois, clairement : « Si tu cliques un jour sur quelque chose, tu m'appelles tout de suite, même à 23 h, même si tu penses que c'est idiot. Je ne me moquerai pas. » Cette phrase vaut tous les filtres anti-spam du monde, parce qu'elle raccourcit le délai de réaction.
Instaurer un mot de passe familial
Contre l'arnaque au faux proche, la parade est ancienne et efficace : convenir d'un mot ou d'une question que seuls les membres de la famille connaissent. Pas une date d'anniversaire (elle circule), pas un nom d'animal (il est sur Facebook). Un détail sans trace numérique. Si le prétendu petit-fils en détresse ne peut pas le donner, la conversation s'arrête là.
Passer par l'écrit et par un tiers
Certaines personnes acceptent mal les conseils de leurs enfants et très bien ceux d'un livre ou d'un atelier. Les structures France Services, les Centres communaux d'action sociale et de nombreuses médiathèques organisent des ateliers de médiation numérique gratuits. Un guide pratique de sécurité numérique laissé sur la table basse, feuilletable à son rythme, sans regard sur l'épaule, produit souvent plus d'effet qu'une démonstration.
Le clic a eu lieu : la procédure, dans l'ordre
Un lien cliqué n'est pas encore un préjudice. Ce qui compte, c'est ce qui a été saisi après le clic. Voici la marche à suivre, du plus urgent au moins urgent.
- Ne rien saisir de plus, ne rappeler aucun numéro figurant dans le message. Fermer la page.
- Si des coordonnées bancaires ont été entrées : appeler immédiatement la banque au numéro figurant au dos de la carte, faire opposition, demander le blocage des opérations en cours. En France, le service d'opposition interbancaire fonctionne 24 h/24 au 0 892 705 705.
- Si un code reçu par SMS a été communiqué : c'est le cas le plus grave, car ce code valide généralement une opération en cours. Appel à la banque en priorité absolue.
- Changer les mots de passe des comptes concernés, en commençant par la messagerie électronique, qui sert de clé de récupération à tout le reste.
- Signaler le message en le transférant au 33700, le service national de signalement des SMS indésirables opéré par les opérateurs français. Le signalement est gratuit et permet le blocage des numéros émetteurs.
- Déposer plainte en cas de préjudice financier, et signaler les faits sur la plateforme Cybermalveillance.gouv.fr, qui oriente vers les démarches et les prestataires. Pour l'hameçonnage, le site Phishing Initiative permet aussi de signaler les URL frauduleuses.
Un mot sur le remboursement : la réglementation européenne sur les services de paiement impose au prestataire de rembourser une opération non autorisée, sauf négligence grave de l'utilisateur. La frontière est disputée, et plusieurs décisions de la Cour de cassation ont rappelé qu'un client trompé par un dispositif d'usurpation particulièrement crédible n'est pas nécessairement fautif. Le refus initial de la banque n'est donc pas le dernier mot : le médiateur bancaire, puis le juge, restent saisissables.
Ce qu'il faut conserver comme preuve
Avant de supprimer quoi que ce soit, faire des captures d'écran du message, du numéro émetteur, de l'heure de réception, et de toute page consultée. Ces éléments servent à la plainte comme au dossier de contestation. Sur un ordinateur familial, un petit disque dur externe où l'on range ces captures dans un dossier daté évite qu'elles disparaissent au prochain changement de téléphone.
Protéger sans surveiller : où placer la ligne
La tentation est réelle : installer une application de contrôle, avoir accès au fil de messages, « juste au cas où ». C'est une mauvaise idée, pour trois raisons.
D'abord, la loi. Accéder aux messages d'un adulte majeur sans son consentement expose à des poursuites au titre de l'atteinte au secret des correspondances, réprimée par l'article 226-15 du code pénal. Le fait d'être un enfant aidant ne crée aucune dérogation, sauf mesure de protection juridique prononcée par un juge.
Ensuite, l'efficacité. Une surveillance passive ne prévient rien : elle constate. Et elle déresponsabilise la personne, qui s'appuie sur un filet dont elle ignore la maille.
Enfin, la relation. Le jour où votre parent découvre le dispositif, la confiance nécessaire au signalement rapide — le fameux « je t'appelle même à 23 h » — disparaît.
La bonne posture tient en une formule : on outille la personne, on ne la remplace pas. Réglages faits ensemble, plafonds bancaires décidés ensemble, numéros vérifiés ensemble, et une porte ouverte permanente en cas de doute. Le contrôle, lui, reste chez elle.
À retenir
- Les SMS frauduleux ne visent pas la naïveté mais l'émotion : peur, urgence, affection. Ils fonctionnent sur tout le monde.
- Un seul réflexe suffit dans 90 % des cas : ne jamais cliquer dans le message, toujours rouvrir soi-même le canal officiel connu.
- Le filtrage des expéditeurs inconnus (iOS et Google Messages) et des plafonds bancaires bas font l'essentiel du travail préventif.
- Un mot de passe familial neutralise l'arnaque au faux proche.
- En cas de clic : banque d'abord, mots de passe ensuite, signalement au 33700 et sur Cybermalveillance.gouv.fr, plainte si préjudice.
- Protéger n'est pas surveiller : lire les messages d'un adulte sans son accord est illégal, et contre-productif.
Le meilleur indicateur de réussite n'est pas l'absence d'incident — elle ne dépend pas de vous. C'est le délai entre le clic et le coup de fil. S'il tombe sous les dix minutes, vous avez gagné.
