Il y a une expérience que presque tout le monde a vécue, et dont presque personne ne parle : recevoir un message qui, manifestement, ne vous était pas destiné.
Parfois c'est anodin — « On se retrouve à 19h devant le cinéma ? » d'un inconnu. Parfois c'est beaucoup moins anodin : un code de connexion à un compte bancaire, un résultat d'analyse médicale, une convocation, un message de rupture, la photo d'un enfant. Vous n'avez rien demandé, rien piraté, rien intercepté. Le message est arrivé chez vous parce que quelqu'un s'est trompé d'un chiffre, ou parce que votre numéro appartenait à quelqu'un d'autre avant vous.
Et là, une série de questions se posent auxquelles personne ne vous a jamais répondu. Ai-je le droit de lire ? Dois-je répondre ? Est-ce que je risque quelque chose ? Comment faire pour que ça s'arrête ?
Pourquoi votre numéro reçoit les messages d'un autre
Il existe quatre causes principales, et elles n'appellent pas les mêmes réponses.
Le numéro recyclé. C'est de loin le cas le plus fréquent et le plus durable. En France, un numéro mobile résilié n'est pas détruit : il retourne dans le stock de l'opérateur, qui doit respecter un délai de « quarantaine » avant de le réattribuer. L'ARCEP encadre ce mécanisme dans son plan national de numérotation, mais le délai reste de quelques mois seulement. Passé ce cap, votre numéro tout neuf a déjà une vie antérieure : un abonnement à une salle de sport, un compte client chez un opérateur d'énergie, une inscription sur une plateforme de livraison, un dossier chez un laboratoire d'analyses. Toutes ces bases de données continuent d'écrire à l'ancien titulaire — chez vous.
L'erreur de saisie. Un chiffre inversé au comptoir d'une pharmacie, une ordonnance dictée au téléphone, un formulaire rempli à la hâte. Le message part chez un inconnu qui ne sait même pas qu'il existe un problème.
La base client jamais nettoyée. Une entreprise dispose d'un numéro obtenu il y a huit ans et n'a jamais vérifié qu'il était toujours valide. Le RGPD impose pourtant une exigence d'exactitude des données (article 5.1.d) : les données inexactes doivent être « effacées ou rectifiées sans tarder ». En pratique, cette obligation est massivement ignorée dans les bases marketing.
Le SMS frauduleux déguisé en erreur. C'est le quatrième cas, et le plus retors. Un message du type « Salut, c'est Marie, on se voit toujours demain ? » n'est pas une erreur : c'est l'amorce d'une arnaque relationnelle, souvent orientée vers une escroquerie à l'investissement en cryptomonnaies. Le scénario, appelé pig butchering dans la littérature de cybersécurité, commence toujours par un faux message envoyé « par erreur » pour engager la conversation.
Distinguer ces quatre cas est la première chose à faire, parce que la conduite à tenir est radicalement différente dans le dernier.
Ce que dit le droit français : lire n'est pas une faute, exploiter en est une
Beaucoup de gens croient qu'ouvrir un message qui ne leur est pas destiné constitue déjà une infraction. C'est faux, et la nuance mérite d'être posée clairement.
Le secret des correspondances est protégé par l'article 226-15 du Code pénal, qui punit d'un an d'emprisonnement et de 45 000 € d'amende « le fait, commis de mauvaise foi, d'ouvrir, de supprimer, de retarder ou de détourner des correspondances arrivées ou non à destination et adressées à des tiers ». Deux éléments comptent ici :
- la mauvaise foi : il faut une intention. Recevoir passivement un SMS sur son propre téléphone et le lire dans la notification n'a rien d'intentionnel ;
- le détournement : le texte vise celui qui va chercher la correspondance d'autrui, pas celui à qui elle est livrée par erreur.
En clair : vous n'avez commis aucune infraction en lisant un message arrivé spontanément chez vous. La ligne rouge se situe ailleurs.
Ce qui est illicite, ce n'est pas d'avoir vu le message. C'est de l'utiliser, de le rediffuser, ou de s'en servir pour accéder à quelque chose qui ne vous appartient pas.
Trois comportements font basculer la situation :
- Utiliser un code reçu par erreur. Si un code de validation bancaire ou un code de connexion arrive chez vous et que vous vous en servez, vous sortez immédiatement du champ de l'erreur pour entrer dans celui de l'accès frauduleux à un système de traitement automatisé de données (article 323-1 du Code pénal) et, selon l'usage, de l'escroquerie.
- Rediffuser le contenu. Publier une capture d'écran d'un message intime reçu par erreur, avec le numéro ou le nom lisible, peut relever de l'atteinte à la vie privée (article 226-1) et, s'il s'agit d'un contenu à caractère sexuel, de la diffusion sans consentement (article 226-2-1).
- Conserver et exploiter des données de santé. Un résultat d'analyse arrivé chez vous reste couvert par le secret médical. Vous n'y êtes pas soumis personnellement, mais toute exploitation vous exposerait.
Autrement dit, le droit protège plutôt bien le destinataire involontaire — à condition qu'il se comporte en destinataire involontaire.
Faut-il répondre ? La règle des trois réponses
C'est la question la plus fréquente, et la bonne réponse dépend du type de message.
Cas 1 : message personnel manifestement humain
Un ami qui écrit à un ami, un parent qui écrit à son enfant, un rendez-vous fixé. Ici, répondre est non seulement autorisé mais utile : « Bonjour, ce numéro n'est pas celui de la personne que vous cherchez, vous vous êtes trompé de destinataire. » Une phrase, neutre, sans commenter le contenu.
Ce type de réponse évite le pire : le cas d'une urgence familiale où personne ne comprend pourquoi l'autre ne répond pas.
Une précaution toutefois : répondez par SMS, pas en rappelant, surtout si le numéro affiché est étranger ou commence par un préfixe surtaxé.
Cas 2 : message automatisé d'une entreprise ou d'un organisme
Rendez-vous médical, relance de facture, notification de livraison, code de sécurité. Ne répondez pas au message lui-même : la plupart de ces envois partent de numéros courts non aboutissables, et votre réponse tombera dans le vide.
La démarche efficace consiste à contacter directement l'organisme par son canal officiel — pas via un lien contenu dans le SMS — et à demander la suppression ou la rectification du numéro. Vous pouvez invoquer explicitement le droit de rectification prévu par l'article 16 du RGPD. Formulation qui fonctionne :
« Votre organisme envoie des SMS contenant des données personnelles concernant un tiers à mon numéro, dont je suis titulaire depuis [date]. Je vous demande, sur le fondement de l'article 16 du RGPD, de rectifier ou supprimer ce numéro dans le dossier concerné, et de me confirmer cette mise à jour. »
Si l'entreprise ne réagit pas sous un mois, la CNIL accepte les plaintes en ligne pour ce motif précis. Ce n'est pas un usage marginal du dispositif : la mauvaise tenue des bases de contact est un motif de plainte parfaitement recevable.
Cas 3 : message qui sent le scénario
« Bonjour, êtes-vous bien le docteur Chen ? » « Excusez-moi, c'est bien le numéro de Sophie ? » « Désolée, mauvais numéro… vous êtes de quelle région ? »
Ne répondez rien. Absolument rien, pas même « mauvais numéro ». Toute réponse confirme que la ligne est active et lue par un humain, ce qui augmente la valeur de votre numéro dans les bases revendues.
Signalez le message au 33700, la plateforme officielle française de signalement des SMS indésirables et frauduleux, gérée par les opérateurs sous l'égide des pouvoirs publics. Transférez le message au 33700, puis envoyez le numéro de l'expéditeur quand la plateforme vous le demande. Vous pouvez également déposer un signalement sur cybermalveillance.gouv.fr, qui centralise l'accompagnement des victimes.
Le cas particulier des codes de vérification qui ne vous concernent pas
Recevoir un code à usage unique destiné à quelqu'un d'autre est banal quand on hérite d'un numéro recyclé — et c'est le scénario le plus délicat.
D'abord, une bonne nouvelle : cela signifie généralement qu'un ancien titulaire n'a pas mis à jour ses comptes en ligne, pas qu'on essaie de vous pirater.
Mais deux situations doivent alerter :
| Ce que vous recevez | Ce que ça signifie probablement | Réaction |
|---|---|---|
| Un code isolé, une fois par mois | Ancien compte jamais mis à jour | Contacter le service, demander la suppression |
| Une rafale de codes en quelques minutes | Tentative d'accès en cours sur un compte lié à ce numéro | Ne rien faire du code, signaler au service concerné |
| Un code accompagné d'un appel « du service sécurité » | Tentative d'arnaque visant vous | Raccrocher, ne jamais communiquer le code |
Le troisième cas mérite d'être connu : les fraudeurs déclenchent volontairement l'envoi d'un code, puis appellent la victime en se faisant passer pour le service de sécurité de la banque ou de la plateforme, et demandent le code « pour vérification ». Aucun établissement français ne demandera jamais de lire un code par téléphone. C'est la règle numéro un, et elle est rappelée par la Fédération bancaire française comme par les Assurances.
Si vous héritez d'un numéro et recevez régulièrement des codes, l'audit à mener sur vos propres comptes vaut aussi la peine : basculer vos authentifications à double facteur du SMS vers une application dédiée, voire vers une clé de sécurité physique FIDO2, supprime tout le problème de racine. Un guide sur la cybersécurité au quotidien est un investissement raisonnable si le sujet vous paraît opaque : le SMS reste le facteur d'authentification le plus fragile de l'écosystème actuel, et l'ANSSI ne le recommande plus comme second facteur pour les usages sensibles.
Reprendre la main quand votre numéro est un numéro recyclé
Si les messages arrivent en flux continu et proviennent de sources multiples, ce n'est pas une erreur ponctuelle : votre numéro traîne dans des dizaines de bases. La méthode qui fonctionne se déroule en quatre temps.
1. Faire l'inventaire pendant deux semaines. Notez chaque expéditeur, la nature du message et la fréquence. Un simple carnet de notes à spirale suffit, mais l'important est la trace : elle vous servira à prioriser et, éventuellement, à documenter une plainte CNIL.
2. Traiter les émetteurs identifiables un par un. Pour chaque organisme reconnaissable, envoyez la demande de rectification RGPD. C'est fastidieux, mais c'est le seul geste qui arrête définitivement le flux. Comptez trois à quatre semaines par dossier.
3. Activer les filtres du téléphone. iOS comme Android permettent de filtrer les expéditeurs inconnus dans un onglet séparé, et de bloquer un numéro en deux gestes. Sur Android, le filtrage anti-spam de Messages Google intercepte une bonne partie des envois automatisés. Sur iPhone, l'option « Filtrer les expéditeurs inconnus » dans les réglages Messages fait le même travail. Ces filtres ne suppriment rien mais rendent le bruit supportable.
4. Inscrire le numéro sur Bloctel. Le dispositif public d'opposition au démarchage téléphonique ne couvre pas les SMS marketing de la même manière que les appels, mais il assainit l'ensemble. Depuis l'entrée en vigueur des évolutions législatives sur le consentement préalable, le démarchage sans accord explicite est de plus en plus fermement sanctionné par la DGCCRF.
Et si c'est vous qui envoyez au mauvais numéro ?
Le problème a un versant symétrique dont on parle encore moins.
Si vous vous rendez compte d'avoir envoyé un message sensible au mauvais destinataire, sachez qu'un SMS remis ne peut pas être rappelé : le réseau ne connaît pas la fonction « annuler l'envoi ». Le RCS, sur Android, permet dans certaines configurations de supprimer un message pour tout le monde, mais uniquement si les deux interlocuteurs sont en RCS — ce qui est rarement le cas avec un inconnu.
Ce qui reste possible :
- envoyer immédiatement un second message demandant la suppression, poliment ;
- si le message contenait un code ou un identifiant, invalider ce code sans attendre en relançant une nouvelle authentification ;
- si le message contenait des données professionnelles, prévenir le délégué à la protection des données de votre organisation : une divulgation accidentelle de données personnelles à un tiers constitue une violation de données au sens de l'article 33 du RGPD, potentiellement notifiable à la CNIL sous 72 heures.
La meilleure parade reste préventive : vérifier les trois derniers chiffres avant d'envoyer un message contenant une information sensible, et ne jamais transmettre par SMS un identifiant, un code d'accès ou un numéro complet de carte. Pour les mots de passe et identifiants partagés en famille ou entre collègues, un gestionnaire de mots de passe ou un simple carnet de mots de passe sécurisé rangé chez soi élimine complètement le besoin de les faire circuler par message.
Ce qu'il faut retenir
- Recevoir et lire un message qui ne vous est pas destiné n'est pas une infraction ; l'exploiter, le rediffuser ou utiliser un code reçu en est une.
- Pour un message humain isolé : une réponse neutre et courte, sans commenter le contenu.
- Pour un message automatisé : contacter l'organisme par son canal officiel et invoquer le droit de rectification (article 16 du RGPD).
- Pour un message qui cherche à engager la conversation : ne rien répondre, transférer au 33700.
- Aucun code de vérification ne se communique par téléphone, jamais, à personne.
- Si votre numéro est recyclé, seul un nettoyage méthodique des bases émettrices met fin au flux ; les filtres du téléphone ne font que masquer le bruit.
Un SMS mal adressé n'est jamais qu'une erreur de plus dans un système qui en produit des millions par jour. Mais c'est aussi, parfois, un fragment de la vie de quelqu'un d'autre qui atterrit sur votre écran. La bonne attitude tient en une phrase : signaler l'erreur, ne rien exploiter, et faire ce qu'il faut pour qu'elle ne se répète pas.
