On lit toujours un SMS dans le mauvais ordre. D'abord le texte, la promesse ou la menace qu'il contient, puis — parfois, trop tard — la ligne du dessus : celle qui indique qui écrit. Or c'est cette ligne qui contient presque toute l'information utile.
Car en France, un message peut arriver sous au moins cinq identités techniques différentes : un numéro mobile classique en 06 ou 07, un numéro géographique, un numéro court à quatre ou cinq chiffres, un nom écrit en lettres (« AMELI », « Colissimo », « BANQUE »), ou un numéro international. Chacun de ces formats obéit à des règles distinctes, coûte un prix différent à l'expéditeur, et offre un niveau de garantie très inégal.
Savoir les distinguer ne remplace pas la prudence, mais change radicalement la donne : cela permet de trier en trois secondes, avant même d'avoir lu le corps du message, ce qui est plausible et ce qui ne l'est pas.
Les cinq visages d'un expéditeur de SMS
1. Le numéro mobile classique (06 / 07)
C'est le format d'un particulier. Un vrai numéro mobile français attribué par l'ARCEP à un opérateur, puis à un abonné. Il permet de répondre, il permet d'appeler.
Une entreprise ou une administration n'a normalement aucune raison de vous écrire depuis un 06 ou un 07 pour une notification officielle. Quand cela arrive — « Votre colis est bloqué, régularisez ici » signé d'un 07 —, l'expéditeur est soit un particulier, soit, bien plus souvent, un fraudeur équipé de cartes SIM prépayées ou d'un boîtier d'envoi automatisé (les fameuses « SIM box »).
Retenez ce réflexe simple : un message institutionnel envoyé depuis un numéro mobile personnel est une anomalie, indépendamment de son contenu.
2. Le numéro court (4 à 5 chiffres)
Les numéros courts sont attribués et encadrés en France par l'ARCEP, dans le cadre du plan de numérotation. Ils se répartissent en grandes familles reconnaissables à leur préfixe :
| Format | Usage | Exemple d'usage réel |
|---|---|---|
| 3xxxx (5 chiffres) | Services SMS, dont MAN (Multi-Access Number) | Notifications de suivi, alertes |
| 36xxx / 38xxx | SMS Multi-Access Number, dont 38028 (Signal Spam / 33700) | Signalement de spam |
| 7xxxx / 8xxxx | SMS surtaxés, jeux, votes, dons | Dons à une association |
| 1xx | Services d'urgence et sociaux (112, 114, 115, 119) | 114 : urgences par SMS pour sourds et malentendants |
Deux numéros courts méritent d'être mémorisés en France :
- 33700 : le service de signalement des SMS et appels indésirables, opéré par les opérateurs français. On lui transfère le message frauduleux, puis on lui renvoie le numéro de l'expéditeur quand il le demande.
- 114 : le numéro d'urgence accessible par SMS, destiné aux personnes sourdes, malentendantes ou dans l'impossibilité de parler.
Un point important : les numéros courts sont loués auprès d'agrégateurs, pas achetés définitivement. Un même 5 chiffres peut donc servir successivement à plusieurs annonceurs. Un numéro court « déjà vu » n'est pas une preuve d'authenticité — c'est seulement un signe que l'expéditeur est passé par un circuit professionnel déclaré.
3. L'expéditeur alphanumérique (un nom au lieu d'un numéro)
C'est le format le plus trompeur, et celui qu'il faut comprendre en priorité. Quand votre téléphone affiche « AMELI », « SFR » ou « LIVRAISON » en haut de la conversation, il n'affiche pas une identité vérifiée : il affiche une chaîne de caractères fournie par l'expéditeur lui-même dans un champ technique du message, appelé sender ID ou OADC (Originating Address).
Techniquement, ce champ est déclaratif. Rien, dans le protocole SMS, ne le certifie. C'est ce qui rend possible le spoofing d'expéditeur : usurper le nom d'une marque pour que le message s'affiche à la bonne place.
Et c'est là que se joue le piège le plus efficace du smishing français : le regroupement de conversation. Si un message frauduleux utilise exactement le même sender ID qu'un message légitime reçu auparavant, votre application de messagerie peut l'insérer dans le même fil que les vrais messages de l'organisme. Le SMS de phishing apparaît alors juste sous le vrai SMS de rendez-vous médical ou de code de livraison. Le contexte fait le reste du travail.
Un fil de conversation n'authentifie rien. Un message frauduleux peut se glisser dans une conversation légitime existante s'il réutilise le même nom d'expéditeur.
La France a mis en place, depuis 2023-2024, un dispositif de lutte : le référentiel MAN et l'obligation, pour les opérateurs, de filtrer les sender ID alphanumériques non déclarés dans un registre. L'idée est de n'accepter en France que les noms d'expéditeurs enregistrés par des entreprises identifiées. Le dispositif a réduit le volume de spoofing pur, mais il ne l'a pas éliminé : les campagnes contournent le filtre en passant par des routes internationales, ou en enregistrant des noms génériques crédibles (« INFO-COLIS », « SECURITE ») qui ne sont pas des marques protégées.
4. Le numéro géographique (01 à 05, ou 09)
Recevoir un SMS depuis un 01 ou un 09 n'est plus rare : les numéros fixes peuvent techniquement porter des SMS depuis plusieurs années. Certains cabinets médicaux, garages ou petits commerces l'utilisent pour leurs rappels de rendez-vous, via leur logiciel de gestion.
Le 09 mérite une attention particulière : ces numéros « non géographiques » sont massivement utilisés en téléphonie sur IP, donc faciles à obtenir en volume et à jeter. Beaucoup de démarchage — et une partie de la fraude — passe par là.
5. Le numéro international
Un +44, +212, +48 ou +1 sur un SMS censé venir de votre banque française est une incohérence majeure. Les campagnes de smishing utilisent souvent des routes internationales bon marché parce qu'elles échappent partiellement aux filtres nationaux.
Attention toutefois à une nuance : certains services étrangers parfaitement légitimes (une plateforme de réservation, une messagerie américaine envoyant un code de vérification) écrivent depuis un numéro international. Le critère n'est pas « international = fraude », mais « international alors que l'organisme est purement français = fraude ».
Ce que votre téléphone ne vous montre pas
Aucun système d'exploitation grand public n'affiche l'en-tête complet d'un SMS. Vous ne verrez pas l'identifiant du centre de messagerie (SMSC) qui a acheminé le message, ni la route emprunt��e, ni l'horodatage réseau réel. Ces éléments existent — ils sont même exploitables par les opérateurs et, en cas de procédure, par les enquêteurs — mais ils ne remontent pas jusqu'à l'écran.
Ce que vous pouvez faire, en revanche :
- Appuyer longuement sur le message puis afficher les détails : sur Android, le menu « Détails » indique parfois l'expéditeur brut, l'heure de réception réseau et le type (SMS, MMS, RCS).
- Vérifier le canal : un message RCS s'affiche avec un accusé de lecture et souvent un logo de marque vérifié (RCS Business Messaging). Un message qui prétend venir d'une grande marque en SMS brut, alors que la même marque vous écrit habituellement en RCS avec logo, doit alerter.
- Regarder la longueur : un SMS de plus de 160 caractères est concaténé. Ce n'est pas un signal de fraude en soi, mais les campagnes automatisées ont souvent des formulations calibrées et répétitives.
Le test des trois questions
Avant de cliquer sur quoi que ce soit, trois questions suffisent dans la grande majorité des cas.
1. Le format d'expéditeur correspond-il à l'organisme annoncé ?
Une administration ou une grande entreprise française écrit depuis un numéro court, un expéditeur alphanumérique déclaré, ou en RCS vérifié. Pas depuis un 07, pas depuis un +33 7 « bizarre », pas depuis un numéro étranger.
2. Le message demande-t-il une action urgente impliquant un paiement ou une identification ?
Les trois combinaisons gagnantes de la fraude en France restent : un petit montant à régler (frais de douane, réexpédition de colis, amende), une « mise à jour » de coordonnées bancaires, et une « vérification de compte » avec code reçu par ailleurs. L'urgence est l'ingrédient actif.
3. Le lien pointe-t-il vers un domaine officiel ?
Les organismes publics français utilisent des domaines en .gouv.fr ou des domaines de marque connus. Un lien raccourci, un domaine composé (ameli-remboursement-fr.com), un sous-domaine trompeur (ameli.fr.securite-connexion.net) : tout cela est disqualifiant. À noter que la lecture d'une URL longue sur un écran de 6 pouces est un exercice pénible ; beaucoup de lecteurs y gagnent à utiliser un support de téléphone réglable pour examiner un message douteux à hauteur d'yeux plutôt qu'à bout de bras, ou simplement à consulter le message depuis un écran plus grand.
Vérifier sans cliquer : la méthode du canal parallèle
La règle la plus efficace contre le smishing tient en une phrase : on ne vérifie jamais un message par le message lui-même.
Concrètement :
- Un SMS de votre banque ? On ouvre l'application bancaire, ou on appelle le numéro figurant au dos de la carte.
- Un SMS de l'Assurance Maladie ? On se connecte sur le compte Ameli en tapant l'adresse soi-même, ou on utilise l'application officielle.
- Un SMS de transporteur ? On reprend le numéro de suivi sur le site du transporteur, sans passer par le lien.
- Un SMS des impôts ? On passe par impots.gouv.fr et son espace particulier.
Cette discipline demande dix secondes de plus. Elle neutralise à peu près tout, y compris les campagnes très soignées.
Pour les foyers qui veulent formaliser ces réflexes — notamment avec des adolescents ou des proches moins à l'aise —, quelques pages d'un guide de cybersécurité pour débutants posées près de l'ordinateur familial font souvent plus d'effet qu'un long discours : le fait de voir les mécanismes écrits noir sur blanc les rend concrets.
Signaler : ce que ça change vraiment
Beaucoup de lecteurs supposent qu'un signalement disparaît dans le vide. En réalité, en France, deux circuits fonctionnent :
- 33700 (SMS, appels et messages indésirables), dispositif porté par les opérateurs. On transfère le message au 33700, on répond ensuite avec le numéro de l'expéditeur. Les numéros massivement signalés sont bloqués, et les émetteurs identifiés peuvent être sanctionnés.
- cybermalveillance.gouv.fr et la plateforme THESEE pour un dépôt de plainte en ligne pour escroquerie sur internet. Signal Spam complète le dispositif côté e-mail.
L'ARCEP et la DGCCRF suivent par ailleurs les manquements aux règles de prospection. Et côté données personnelles, la CNIL rappelle régulièrement que la prospection par SMS exige un consentement préalable explicite : un message commercial non sollicité auquel vous n'avez jamais consenti est déjà, en soi, une irrégularité — même s'il n'est pas frauduleux.
Réduire la surface d'exposition
Identifier un expéditeur est une compétence défensive. On peut aussi jouer en amont, en limitant le nombre de messages douteux qui arrivent.
Filtrer côté téléphone. iOS propose le filtrage des expéditeurs inconnus (Réglages → Apps → Messages → « Filtrer les expéditeurs inconnus »), qui range les messages de numéros absents de vos contacts dans un onglet séparé. Google Messages, côté Android, dispose d'une protection anti-spam qui s'est nettement renforcée en 2025-2026, avec détection des schémas d'arnaque et masquage des liens dans les messages suspects.
Cloisonner ses numéros. Utiliser un numéro secondaire — seconde ligne d'un forfait, eSIM dédiée, numéro d'un service en ligne — pour les inscriptions commerciales, les annonces et les livraisons. Le numéro principal reste réservé aux proches, à la banque et à l'administration. Une carte SIM prépayée sans engagement suffit largement pour ce rôle et coûte quelques euros.
Sécuriser ce qui protège vos comptes. Le SMS reste le maillon faible de l'authentification à deux facteurs, parce qu'il dépend d'un numéro qui peut être détourné. Basculer les comptes sensibles vers une application d'authentification, ou vers une clé de sécurité physique FIDO2, retire au SMS son rôle de clé maîtresse. C'est le geste qui rend un smishing réussi beaucoup moins coûteux.
Soigner le matériel de lecture. Détail prosaïque mais réel : une bonne partie des clics accidentels vient d'un écran rayé, d'un doigt mouillé ou d'une lecture dans le métro. Un film de protection en verre trempé et un peu de lumière suffisent à réduire les faux gestes.
Le cas particulier des SMS politiques et institutionnels
Le printemps 2026 a rappelé, à l'occasion des municipales, qu'un SMS parfaitement légal peut être parfaitement agaçant. Les messages de campagne envoyés depuis des expéditeurs alphanumériques ont suscité de nombreuses réactions, et beaucoup de destinataires se sont demandé comment leur numéro avait été obtenu.
Deux choses à distinguer ici :
- Un SMS frauduleux cherche à obtenir de l'argent ou des identifiants. Il se signale au 33700 et se supprime.
- Un SMS non sollicité mais licite ou semi-licite relève du droit de la prospection. Là, le levier est le RGPD : demander à l'expéditeur l'origine des données, exercer son droit d'opposition, et saisir la CNIL en cas de refus. Le mot-clé « STOP » reste obligatoire dans les SMS commerciaux — il n'a en revanche aucune valeur, et aucun intérêt, face à une campagne de fraude, où répondre confirme seulement que le numéro est actif.
Trois secondes, cinq formats
À force, la lecture de l'expéditeur devient automatique. Un numéro court connu : plausible. Un nom de marque dans un fil déjà existant : plausible, mais le lien reste à vérifier. Un 07 signé d'une administration : à jeter. Un +48 signé d'une banque française : à jeter. Un 09 avec un lien raccourci : à jeter.
Le SMS n'a jamais été conçu pour prouver qui parle. Il a été conçu, en 1992, pour transporter 160 caractères dans un canal de signalisation résiduel. Trente-quatre ans plus tard, il transporte des rendez-vous médicaux, des codes bancaires et des convocations administratives — sans jamais avoir gagné de mécanisme d'authentification digne de ce nom. C'est au destinataire de combler l'écart, et cela commence par lire la première ligne avant les autres.
