On a appris, collectivement, à se méfier du colis bloqué en douane. Le message est devenu un running gag : « Votre colis n'a pas pu être livré, réglez 1,99 € de frais ». Même les personnes les moins à l'aise avec le numérique le reconnaissent désormais du premier coup d'œil.
Les fraudeurs le savent. Et ils ont déménagé.
Depuis 2024, et de manière beaucoup plus marquée en 2025 et 2026, une famille entière d'arnaques par SMS s'est déplacée vers un terrain autrement plus efficace : la santé. Faux rappel de rendez-vous chez un spécialiste, prétendue mise à jour de carte Vitale, résultats d'analyses « disponibles », notification de Mon espace santé, relance d'une mutuelle. Le registre a changé, le mécanisme aussi.
Car ces messages ne jouent plus sur la cupidité ni sur la peur d'une amende. Ils jouent sur quelque chose de bien plus profond : le réflexe de conformité envers le système de santé. Quand on reçoit un message qui semble venir d'un laboratoire d'analyses, on ne se demande pas « est-ce une arnaque ? ». On se demande « qu'est-ce que j'ai oublié ? ».
Pourquoi la santé est devenue le terrain de jeu idéal
Trois facteurs se sont combinés.
Le premier est la banalisation des SMS médicaux légitimes. Depuis la généralisation de la prise de rendez-vous en ligne, tout le monde reçoit vraiment des SMS de rappel : le cabinet dentaire, le centre de radiologie, le laboratoire de biologie médicale, le kinésithérapeute. Ces messages sont courts, secs, souvent envoyés depuis un numéro court ou un expéditeur alphanumérique inconnu, et contiennent fréquemment un lien. Autrement dit : le message frauduleux n'a pas besoin de ressembler à quoi que ce soit d'exceptionnel. Il lui suffit de ressembler à la norme.
Le deuxième est le déploiement de Mon espace santé. Ouvert automatiquement pour l'immense majorité des assurés, ce carnet de santé numérique reste mal connu dans son fonctionnement concret. Beaucoup de gens savent qu'ils ont un compte sans savoir précisément ce qu'il contient, qui peut y déposer un document, ni à quoi ressemble une notification officielle. Ce flou est exactement l'espace dans lequel prospère l'hameçonnage.
Le troisième est la valeur des données récoltées. Une arnaque santé ne cherche pas seulement un numéro de carte bancaire. Elle cherche un numéro de Sécurité sociale, une date de naissance, parfois une copie d'attestation de droits. Ces éléments alimentent ensuite des fraudes bien plus rentables : ouverture de comptes, usurpation d'identité, demandes de crédit, ou revente sur des places de marché criminelles.
Une carte bancaire compromise s'oppose en dix minutes et se remplace en une semaine. Un numéro de Sécurité sociale, lui, vous accompagne toute votre vie.
Les cinq scénarios les plus fréquents en 2026
1. La « mise à jour » de la carte Vitale
C'est le scénario roi. Le message annonce que votre carte Vitale arrive à expiration, doit être renouvelée, ou que vos droits vont être suspendus faute de mise à jour. Un lien renvoie vers une page qui imite l'interface d'Ameli, réclame l'état civil, le numéro de Sécurité sociale, un RIB « pour les remboursements », puis une carte bancaire « pour les frais d'envoi de 1 € ».
Le point à retenir est simple et définitif : la carte Vitale n'expire pas et son renouvellement n'est jamais payant. L'Assurance Maladie le rappelle explicitement sur son site. Une mise à jour de carte se fait en borne en pharmacie ou dans un point d'accueil, jamais via un lien reçu par SMS.
2. Les faux résultats d'analyses
« Vos résultats sont disponibles, consultez-les ici. » Le message arrive parfois quelques jours après une véritable prise de sang — coïncidence pure, ou effet de masse : quand on envoie des centaines de milliers de SMS, une partie tombe forcément sur des personnes en attente réelle de résultats.
Les vrais laboratoires envoient généralement un identifiant et renvoient vers un portail nécessitant un code fourni sur votre compte-rendu papier. Ils ne demandent jamais de numéro de carte bancaire, ni de « frais de dossier ».
3. La fausse notification Mon espace santé
Plus sophistiquée, elle imite le ton institutionnel : « Un nouveau document a été ajouté à votre dossier médical. » L'objectif est de récupérer les identifiants du compte, qui donnent accès à un historique médical complet — matière première idéale pour du chantage ou de l'ingénierie sociale ultérieure.
Rappel utile : l'accès à Mon espace santé se fait exclusivement depuis l'application officielle ou le site officiel, avec un code provisoire envoyé lors de la création. Aucune notification légitime ne demande de ressaisir un mot de passe depuis un lien SMS.
4. Le faux rendez-vous chez un spécialiste
« Votre rendez-vous du 12/09 est confirmé. Pour l'annuler : [lien]. » Ce format est particulièrement vicieux car il ne demande rien : il pousse à cliquer pour annuler quelque chose qu'on n'a pas réservé. Le réflexe est réparateur, pas cupide. Et il fonctionne.
5. La fausse mutuelle ou complémentaire santé
Message annonçant un remboursement en attente, un trop-perçu à récupérer, ou une résiliation imminente du contrat. Le nom d'une mutuelle réelle est souvent utilisé. Là encore, la promesse d'argent dû — et non demandé — désarme la vigilance.
La méthode des trois questions
Face à un SMS de ce type, inutile de mémoriser une liste de numéros frauduleux : ils changent toutes les heures. Mieux vaut appliquer une grille de lecture stable.
Question 1 : ce message me demande-t-il d'agir dans l'urgence ? Suspension de droits, expiration sous 48 h, dernier rappel. L'urgence est l'outil principal du fraudeur, parce qu'elle court-circuite la vérification. Aucun organisme de santé français ne suspend des droits par SMS avec un délai de deux jours.
Question 2 : ce message me demande-t-il des données que l'expéditeur possède déjà ? Votre caisse d'Assurance Maladie connaît votre numéro de Sécurité sociale. Votre laboratoire connaît votre nom. Un organisme légitime ne vous redemande pas ce qu'il a en base. Quand un message réclame l'ensemble de votre identité administrative, il ne vérifie pas : il collecte.
Question 3 : suis-je en train d'utiliser le lien fourni, ou mon propre chemin d'accès ? C'est le principe le plus robuste de toute la sécurité numérique quotidienne. Ne jamais entrer dans un service par la porte qu'on vous tend. Fermez le SMS, ouvrez l'application officielle ou tapez l'adresse vous-même. Si l'information est réelle, elle sera là. Si elle n'y est pas, la question est réglée.
Ce que les filtres automatiques savent (et ne savent pas) faire
En 2026, les applications de messagerie ont nettement progressé. Google Messages classe désormais une partie des SMS suspects dans un dossier séparé et affiche des avertissements sur les liens douteux ; iOS filtre les expéditeurs inconnus dans un onglet distinct depuis plusieurs versions. Ces protections détectent bien les campagnes massives, répétitives, envoyées depuis des numéros brûlés.
Elles détectent beaucoup moins bien trois choses :
- Les campagnes courtes et ciblées, envoyées à quelques milliers de numéros seulement, qui n'ont pas le temps d'être signalées avant d'avoir produit leur effet.
- Les messages sans lien, qui invitent simplement à rappeler un numéro. Le vecteur redevient alors la voix, et l'ingénierie sociale se joue en direct.
- Les messages qui s'insèrent dans un fil existant, lorsqu'un expéditeur alphanumérique légitime est usurpé et que le SMS frauduleux s'affiche dans la même conversation que les vrais.
Ce dernier point mérite d'être bien compris : un SMS frauduleux peut apparaître dans le fil de messages d'un organisme réel, parce que le nom d'expéditeur affiché n'est pas une garantie d'authenticité. L'apparence de continuité est une illusion technique, pas une preuve.
Pour les personnes qui reçoivent beaucoup de sollicitations et gèrent plusieurs lignes, un téléphone à double SIM permet au moins de cloisonner : une ligne réservée aux démarches administratives et bancaires, une autre diffusée plus largement. Ce n'est pas une protection contre l'arnaque, mais cela rend les anomalies bien plus lisibles.
Signaler : les circuits qui existent réellement en France
Le signalement n'est pas un geste symbolique. Il alimente des bases utilisées par les opérateurs pour couper les numéros émetteurs et faire fermer les domaines frauduleux.
| Canal | À quoi il sert | Comment |
|---|---|---|
| 33700 | Plateforme officielle de signalement des SMS et appels indésirables, gérée par la filière télécom | Transférer le SMS au 33700, puis envoyer le numéro de l'expéditeur quand la réponse le demande |
| Signal Conso / Phishing Initiative | Signalement des sites d'hameçonnage pour blocage | Copier l'URL sans la visiter |
| Cybermalveillance.gouv.fr | Diagnostic, conseils et mise en relation avec des prestataires | Parcours en ligne guidé |
| Assurance Maladie (Ameli) | Signalement des usurpations de son identité visuelle | Rubrique dédiée aux tentatives de fraude |
| Perceval | Signalement d'une utilisation frauduleuse de carte bancaire | Service en ligne sur service-public.fr |
Le 33700 reste le geste le plus utile au quotidien : il est gratuit, il prend trente secondes, et c'est lui qui permet la mise hors service rapide des numéros émetteurs.
J'ai cliqué. Et maintenant ?
Cliquer sur un lien n'est pas, en soi, catastrophique. Le danger commence à la saisie de données. La réaction se hiérarchise donc.
Si vous n'avez rien saisi : fermez la page, supprimez le message, signalez-le. Le risque résiduel est faible.
Si vous avez saisi des identifiants : changez immédiatement le mot de passe du service concerné, ainsi que celui de tout autre compte où le même mot de passe était réutilisé. C'est le moment de rappeler qu'un gestionnaire de mots de passe rend cette opération triviale au lieu de la rendre angoissante — et qu'il permet surtout de ne plus jamais réutiliser un mot de passe d'un service à l'autre.
Si vous avez saisi des données bancaires : appelez l'opposition de votre banque sans attendre, puis déclarez l'opération sur Perceval. La directive européenne sur les services de paiement encadre strictement les cas de remboursement en cas d'opération non autorisée : la banque doit rembourser sauf à démontrer une négligence grave de votre part, ce qui suppose de sa part une véritable démonstration, pas une simple affirmation.
Si vous avez communiqué votre numéro de Sécurité sociale et votre état civil : il n'existe pas de bouton d'annulation. Surveillez vos relevés de remboursements sur votre compte Ameli pendant plusieurs mois, et prévenez votre caisse. Notez la date et l'heure de l'incident : ces éléments comptent en cas de dépôt de plainte ultérieur.
Prendre l'habitude de conserver une trace écrite de ces incidents — dans un simple carnet de notes dédié gardé près du bureau ou dans un fichier chiffré — évite de reconstituer les faits de mémoire six mois plus tard, quand un organisme réclame des précisions.
Le cas particulier des proches vulnérables
Ces arnaques ciblent statistiquement plus les personnes suivies médicalement : patients chroniques, personnes âgées, femmes enceintes, familles avec jeunes enfants. Non par cruauté calculée, mais par mécanique : ce sont celles pour qui un SMS de santé est plausible en permanence.
Trois mesures simples, sans surveillance ni infantilisation :
- Poser une règle unique plutôt qu'une liste d'interdits. « On ne remplit jamais un formulaire arrivé par SMS » est mémorisable. « Attention aux liens .fr douteux » ne l'est pas.
- Installer un numéro de secours. Un contact désigné qu'on appelle avant de faire quoi que ce soit, sans jugement. La honte de « s'être fait avoir » est le premier facteur de silence, donc d'aggravation.
- Réduire la surface d'exposition. Sur un téléphone destiné à un usage simple, un téléphone senior à grosses touches sans navigateur web supprime purement et simplement le vecteur du lien cliquable. Ce n'est pas un retour en arrière : c'est une réduction volontaire de la surface d'attaque.
Pour aider un proche à se former sans dramatiser, un guide de vulgarisation sur la cybersécurité fait souvent mieux qu'un discours familial, parce qu'il déplace l'autorité hors de la relation.
Ce qu'il faut retenir
Les arnaques santé par SMS ne sont ni plus sophistiquées techniquement, ni plus difficiles à repérer que les précédentes. Elles sont simplement mieux calibrées psychologiquement. Elles ne demandent pas de croire à un gain improbable : elles demandent de croire à une administration normale.
La parade tient en une phrase, qui vaut pour la carte Vitale comme pour la banque, la mutuelle ou l'école : aucune information réelle ne dépend du lien qu'on vous envoie. Elle existe déjà quelque part, dans un espace auquel vous accédez par vos propres moyens. Prendre les trente secondes de vérification par ce chemin-là suffit à faire échouer la quasi-totalité de ces campagnes.
Et quand le doute persiste, le réflexe le plus économique reste le transfert au 33700 avant toute autre action. Un signalement de trente secondes protège rarement celui qui l'envoie — mais il protège souvent les milliers de personnes qui vont recevoir le même message dans l'heure qui suit.
Sources et ressources officielles : Assurance Maladie (ameli.fr), Cybermalveillance.gouv.fr, service-public.fr (Perceval), plateforme 33700, Mon espace santé (monespacesante.fr).
