Il existe une catégorie de SMS d'arnaque contre laquelle tous les conseils habituels tombent à plat.
« Vérifiez le numéro de l'expéditeur. » Il est bon. « Regardez si le message arrive d'un numéro inconnu. » Il n'arrive pas d'un numéro inconnu. « Comparez avec les messages précédents de votre banque. » Il est juste en dessous des messages précédents de votre banque, dans le même fil, avec la même en-tête, le même nom d'expéditeur, la même mise en page.
Ce phénomène porte un nom : l'usurpation d'expéditeur, ou spoofing. Ce n'est pas une nouveauté technique — la faiblesse est aussi vieille que le SMS commercial — mais son industrialisation par les réseaux de fraude, combinée à l'automatisation par IA des scénarios de manipulation, en a fait le vecteur numéro un des escroqueries bancaires par téléphone en France.
Et contrairement au faux colis ou au faux rappel médical, ce type de message ne peut pas être détecté par l'œil nu. Il faut changer de méthode.
Pourquoi un fraudeur peut écrire « CreditMutuel » dans le champ expéditeur
Quand une entreprise vous envoie un SMS, elle n'utilise généralement pas un numéro de téléphone mais un identifiant alphanumérique : « Ameli », « Colissimo », « SFR », « BNPPARIBAS ». Techniquement, ce champ s'appelle le Sender ID et il est défini dans la norme GSM depuis les années 1990.
Le problème tient en une phrase : ce champ est déclaratif.
Il n'y a, dans le protocole SMS d'origine, aucun mécanisme d'authentification comparable à ce que l'on connaît pour l'e-mail (SPF, DKIM, DMARC). L'émetteur remplit une chaîne de onze caractères maximum, et le réseau la transporte telle quelle jusqu'à votre écran. Rien, dans la norme, ne vérifie que l'organisation qui écrit « CAISSEEPARGNE » est bien la Caisse d'Épargne.
Sur un opérateur français sérieux et une route dite « premium », les contrôles existent : l'agrégateur A2P (Application-to-Person) exige un mandat, vérifie l'identité du donneur d'ordre, enregistre le Sender ID. Mais le SMS est un réseau mondial interconnecté. Un message peut être injecté depuis un opérateur étranger, via une route « grise » achetée à bas coût, et arriver en France avec un identifiant usurpé. C'est exactement ce que font les plateformes de fraude, souvent hébergées hors d'Europe et vendues en abonnement.
Le détail qui rend le spoofing dévastateur : le regroupement de fil
Là où l'affaire devient sérieuse, c'est côté smartphone.
iOS comme Android regroupent les conversations par identifiant d'expéditeur, pas par route technique ni par certificat. Si votre banque vous écrit depuis « MABANQUE » et qu'un fraudeur injecte un message avec la chaîne exactement identique, les deux atterrissent dans la même conversation.
Le message frauduleux hérite alors de tout le capital de confiance accumulé :
- il apparaît sous vos vrais codes de validation ;
- il partage l'historique visible de vos échanges légitimes ;
- il bénéficie du contexte (« ah oui, c'est bien le fil de ma banque ») ;
- il échappe aux filtres anti-spam basés sur les numéros inconnus.
Aucune vigilance visuelle ne peut compenser cela. C'est structurel.
Le scénario type de 2026 : le SMS n'est qu'une amorce
L'erreur serait de croire que l'objectif du message est de vous faire cliquer sur un lien. De plus en plus souvent, il n'y a pas de lien du tout — ce qui déjoue les filtres automatiques et les alertes de sécurité.
Le schéma dominant est celui-ci :
- Le SMS d'alerte. « Tentative de paiement de 749 € chez [enseigne] détectée. Si vous n'êtes pas à l'origine de cette opération, contactez le 09 XX XX XX XX. » Il apparaît dans le fil légitime de la banque.
- L'appel. Soit vous appelez le numéro fourni, soit — variante plus agressive — un « conseiller » vous appelle dans les minutes qui suivent, avec un numéro affiché lui aussi usurpé (le spoofing existe aussi en téléphonie vocale).
- La manipulation. L'interlocuteur connaît votre nom, parfois vos derniers achats, votre agence. Il est calme, professionnel, il vous déconseille toute précipitation. Il vous demande de « bloquer » la transaction frauduleuse.
- La captation. Il vous fait valider une opération dans votre application bancaire, dicter un code reçu par SMS, ou enrôler un nouvel appareil sur votre compte. C'est vous qui autorisez le virement.
C'est la fraude dite « au faux conseiller bancaire », que la Banque de France et l'Observatoire de la sécurité des moyens de paiement documentent année après année comme l'une des plus coûteuses par victime. Le SMS spoofé n'est pas l'arnaque : c'est la clé qui ouvre la porte.
La règle qui protège de 90 % de ces scénarios tient en une phrase : aucune banque ne vous demandera jamais de valider, d'annuler ou de « bloquer » une opération en dictant un code ou en confirmant une notification pendant un appel téléphonique. Une validation ne sert qu'à autoriser, jamais à annuler.
Ce que la France a mis en place (et ses limites)
Contrairement à une idée reçue, le sujet n'est pas ignoré par le régulateur.
La loi du 30 mai 2023 visant à lutter contre les fraudes et les abus dans le démarchage téléphonique a posé le principe d'un mécanisme d'authentification des numéros. L'Arcep a ensuite publié le référentiel technique dit MAN (Mécanisme d'Authentification des Numéros), entré en application par étapes depuis octobre 2024 pour les numéros fixes, puis pour les numéros mobiles.
Le principe : un opérateur français doit vérifier qu'un appel ou un message présenté avec un numéro français provient bien d'un utilisateur légitime de ce numéro. À défaut, le trafic doit être coupé. Les résultats sont réels sur les appels frauduleux affichant de faux numéros géographiques français.
Mais il faut être honnête sur ce que ce dispositif ne règle pas :
| Cas de figure | Couvert par le MAN ? |
|---|---|
| Appel affichant un faux 01/09 français | Oui, largement filtré |
| Appel affichant un faux numéro mobile français | Oui, depuis l'extension du dispositif |
| SMS avec un faux numéro français | Partiellement |
| SMS avec un Sender ID alphanumérique usurpé | Non, hors périmètre direct |
| SMS injecté depuis l'étranger avec un identifiant de marque | Dépend des filtres de l'opérateur d'arrivée |
En parallèle, la Fédération française des télécoms et les opérateurs ont développé des listes d'identifiants alphanumériques protégés : une marque enregistre son Sender ID, et les opérateurs bloquent les messages étrangers qui tentent de l'usurper. Ce système fonctionne — mais il repose sur le volontariat des entreprises et ne couvre pas les milliers de marques non enregistrées, ni les variantes typographiques (« MA-BANQUE », « MABANQUE1 »).
Autrement dit : la situation s'améliore, elle n'est pas réglée.
La méthode de vérification qui marche, en trois temps
Puisque l'inspection visuelle est inopérante, il faut basculer sur une logique de vérification hors canal. Le principe est simple : ne jamais valider une information dans le canal qui l'a apportée.
1. Suspendre l'action, pas la réflexion
Tous ces scénarios reposent sur l'urgence artificielle. Le montant est élevé, le délai est court, l'interlocuteur crée une tension. La contre-mesure est mécanique : rien de bancaire ne se décide dans les cinq minutes. Aucune opération frauduleuse détectée par une banque n'exige votre intervention immédiate par téléphone ; les procédures d'opposition existent et fonctionnent après coup.
2. Raccrocher et rappeler soi-même
Le numéro à composer n'est jamais celui fourni dans le message ni celui affiché à l'écran. C'est celui inscrit au dos de votre carte bancaire ou dans votre application officielle. Point important, souvent ignoré : sur les lignes fixes anciennes, un fraudeur pouvait maintenir la ligne ouverte pour simuler un rappel. Sur mobile, ce risque est quasi nul, mais attendez tout de même quelques secondes avant de composer.
Pour les personnes qui gèrent plusieurs comptes ou plusieurs cartes, garder les numéros d'opposition consignés hors du téléphone reste la solution la plus robuste : un simple carnet répertoire téléphonique posé près du bureau, ou une fiche plastifiée dans le portefeuille, vaut mieux qu'une note perdue dans un smartphone qui peut être volé ou compromis.
3. Vérifier dans l'application, jamais depuis un lien
Ouvrez votre application bancaire depuis l'icône, pas depuis le SMS. Si une opération suspecte existe, elle y figure. Si rien n'apparaît, le message est faux. Cette vérification prend vingt secondes et neutralise l'écrasante majorité des tentatives.
Réduire la surface d'attaque en amont
Le spoofing fonctionne d'autant mieux que le fraudeur en sait long sur vous. Le message « votre carte se terminant par 4412 » n'a rien de magique : ces données circulent après des fuites de bases clients. Quelques mesures limitent l'exposition.
Cloisonner son numéro principal. Utiliser une seconde ligne — carte prépayée ou eSIM secondaire — pour les inscriptions commerciales, les livraisons et les petites annonces réduit fortement le volume de messages frauduleux ciblés sur votre ligne bancaire. Les téléphones double SIM se sont banalisés et rendent l'opération indolore.
Basculer l'authentification hors du SMS. Le code à usage unique par SMS reste le maillon faible : il est interceptable, transférable par manipulation, et vulnérable au SIM swapping. Quand un service le permet, une application d'authentification à deux facteurs, voire une clé de sécurité physique FIDO2 pour les comptes les plus sensibles (messagerie principale, gestionnaire de mots de passe), change complètement le niveau de protection. Une clé matérielle ne peut pas être dictée par téléphone à un faux conseiller.
Éviter les mots de passe réutilisés. Le scénario du faux conseiller devient beaucoup plus crédible quand l'escroc a déjà accès à un compte marchand. Un gestionnaire de mots de passe, y compris dans ses versions gratuites, coupe cette chaîne. Pour ceux qui préfèrent le papier, un carnet de mots de passe verrouillé conservé chez soi reste très supérieur au post-it sous le clavier.
Signaler systématiquement. Le 33700 est le service national de signalement des SMS et appels indésirables, opéré par les opérateurs français. Transférez le message au 33700, puis répondez avec le numéro de l'expéditeur si demandé. C'est gratuit et c'est ce qui alimente les listes de blocage. En complément, la plateforme Cybermalveillance.gouv.fr oriente vers les démarches et Perceval, sur service-public.fr, permet de signaler l'usage frauduleux d'une carte bancaire.
Le RCS change-t-il la donne ?
C'est la vraie bonne nouvelle de la période. Le RCS (Rich Communication Services), successeur du SMS déployé par les opérateurs et désormais pris en charge par iOS comme par Android, intègre une notion absente du SMS : l'expéditeur vérifié.
Dans le cadre du RCS Business Messaging, une entreprise doit faire valider son identité auprès d'un agrégateur agréé. Le message arrive alors avec un logo, un nom vérifié et un badge de vérification affiché par l'application de messagerie. Google Messages a par ailleurs renforcé en 2025 et 2026 sa détection automatique des arnaques, avec un classement des messages suspects effectué localement sur l'appareil.
Deux nuances, cependant :
- La cohabitation crée une zone grise. Tant que le SMS classique existe comme repli, un fraudeur peut viser précisément ce canal non authentifié. Un message non vérifié n'est pas forcément frauduleux — beaucoup de PME n'ont pas basculé — mais un message vérifié est, lui, une garantie solide.
- Le badge protège l'identité, pas le contenu. Une marque légitime peut envoyer une campagne agressive ; à l'inverse, l'absence de badge sur un message d'apparence bancaire doit désormais être considérée comme un signal d'alerte à part entière.
L'habitude à prendre est donc simple : sur un message à enjeu financier, cherchez le badge. S'il n'y est pas, appliquez la procédure de vérification hors canal sans exception.
Ce qu'il faut retenir
- Le champ expéditeur d'un SMS est déclaratif : il peut être usurpé, et le message frauduleux se range alors dans le fil légitime de votre banque.
- L'inspection visuelle ne sert à rien dans ce cas précis. Seule la vérification hors canal protège.
- Le dispositif français d'authentification des numéros (référentiel MAN de l'Arcep) a fortement réduit les appels usurpant des numéros français, mais ne couvre pas les identifiants alphanumériques.
- Aucune banque ne demande de valider, dicter ou confirmer quoi que ce soit pendant un appel.
- Le RCS avec expéditeur vérifié constitue la première réponse structurelle au problème ; son adoption complète prendra encore du temps.
Le SMS a été conçu en 1992 comme un canal de service technique entre ingénieurs. Il est devenu, trente-quatre ans plus tard, la porte d'entrée de nos comptes bancaires — sans jamais avoir reçu les mécanismes d'authentification correspondants. Tant que cet écart n'est pas comblé, la meilleure protection reste un réflexe très humain : sortir du canal pour vérifier.
