Depuis des années, la lutte contre les SMS frauduleux repose sur une hypothèse simple : un SMS d'arnaque doit forcément passer quelque part. Par une plateforme d'envoi, par un agrégateur, par un opérateur. Et si un message passe par un tuyau, on peut le filtrer, le bloquer, remonter à l'expéditeur.
En 2026, cette hypothèse s'effondre. Une nouvelle génération d'arnaques n'emprunte plus aucun tuyau. Le message ne vient pas d'Orange, de SFR, de Bouygues ou de Free. Il ne vient d'aucun opérateur du tout. Il est diffusé directement dans l'air, depuis un boîtier posé dans le coffre d'une voiture qui roule ou qui stationne à cinquante mètres de vous.
C'est ce qu'on appelle un SMS Blaster — parfois « faux relais », « fake base station » ou, dans le vocabulaire plus ancien des services de renseignement, un cousin de l'IMSI catcher. Et le problème central est celui-ci : votre opérateur ne peut pas filtrer un message qu'il n'a jamais vu passer.
Ce qu'est réellement un SMS Blaster
Un téléphone mobile n'est pas un appareil méfiant. Sa logique de base, héritée des premières normes GSM des années 1990, est de se connecter à l'antenne qui offre le meilleur signal. Il ne demande pas de justificatif à cette antenne. Dans les générations les plus anciennes du réseau — la 2G en particulier — l'authentification fonctionne à sens unique : le réseau vérifie que votre carte SIM est légitime, mais votre téléphone ne vérifie pas que l'antenne l'est.
Un SMS Blaster exploite exactement cette faille de conception. Le dispositif tient dans un sac de sport ou une valise rigide : une radio logicielle, un amplificateur, une batterie, parfois un simple ordinateur portable pour piloter l'ensemble. Il se fait passer pour une antenne relais, force les téléphones alentour à quitter la 4G ou la 5G pour se rabattre sur la 2G, puis leur injecte directement un SMS.
Le rayon d'action varie selon la puissance et l'environnement — typiquement de quelques dizaines à quelques centaines de mètres en zone urbaine dense. En circulant lentement dans une avenue commerçante, un métro aérien ou un axe embouteillé, un seul appareil peut atteindre plusieurs milliers de téléphones en une heure.
Le point crucial : le SMS ainsi diffusé n'a aucune existence dans les systèmes de l'opérateur. Il n'apparaît dans aucun journal de facturation, aucune plateforme de supervision, aucun outil anti-spam. Pour le réseau, ce message n'a jamais été envoyé.
Pourquoi les défenses habituelles ne servent à rien ici
Les opérateurs français ont considérablement musclé leur arsenal ces dernières années. Le dispositif 33700, opéré par l'Association Française du Multimédia Mobile, permet de signaler un SMS indésirable et de faire couper les numéros abusifs. Les filtres réseau détectent les envois massifs, les URL blacklistées, les motifs répétitifs. Le référentiel MAN (Mécanisme d'Authentification des Numéros) a fortement compliqué l'usurpation de numéros d'appel.
Tous ces mécanismes partagent un présupposé : le message transite par une infrastructure supervisée. Le SMS Blaster fait sauter ce présupposé.
| Défense classique | Efficacité face à un SMS Blaster |
|---|---|
| Filtrage anti-spam opérateur | Nulle — le message ne traverse pas le réseau |
| Signalement au 33700 | Utile pour l'enquête, mais aucun numéro à couper |
| Blocage du numéro expéditeur | Nul — l'expéditeur est un libellé arbitraire |
| Détection d'envoi massif | Nulle — aucun volume visible côté opérateur |
| Application anti-spam sur mobile | Partielle — dépend du contenu et de l'URL |
Autre conséquence, plus perverse encore : l'expéditeur affiché est entièrement choisi par l'attaquant. Il peut être un nom de banque, un nom d'administration, un numéro court connu. Sur certains téléphones, si le libellé correspond exactement à celui d'un expéditeur légitime déjà présent dans vos conversations, le message frauduleux peut venir se ranger dans le fil de discussion existant — juste sous les vrais messages de votre banque ou de votre caisse de retraite. C'est ce mécanisme d'agrégation par nom d'expéditeur qui explique certaines vagues récentes de faux SMS affichant le nom exact d'organismes officiels.
Ce que contiennent ces messages
Le contenu ne se distingue pas fondamentalement du smishing ordinaire — c'est le vecteur qui change. On retrouve les grands classiques, dans un français impeccable :
- Le colis bloqué : des frais de douane de 1,79 € à régler d'urgence, avec un lien vers une page de paiement clonée.
- Le faux message bancaire : « Une opération de 749 € a été initiée. Si vous n'êtes pas à l'origine, cliquez ici. »
- L'administration : amende impayée, mise à jour de carte Vitale, remboursement mutuelle, régularisation de compte retraite.
- Le service de péage ou de stationnement : particulièrement efficace quand le blaster circule le long d'un axe routier.
- Le faux code de vérification suivi d'un appel : « Bonjour, service anti-fraude de votre banque, nous voyons une tentative sur votre compte. »
Le déclencheur émotionnel est toujours le même : l'urgence financière ou administrative, doublée d'une action à effectuer en moins de vingt-quatre heures.
Pourquoi cette technique s'est répandue
Trois facteurs se sont additionnés.
Le matériel est devenu abordable. Les radios logicielles programmables, initialement des outils de recherche et de radioamateurisme, coûtent aujourd'hui quelques centaines d'euros. Le savoir-faire nécessaire pour les détourner circule dans des communautés fermées, sous forme de kits prêts à l'emploi.
Le coût marginal est nul. Envoyer un SMS via un opérateur coûte de l'argent et laisse une trace comptable. Diffuser cent mille messages depuis un blaster ne coûte que de l'électricité. Le modèle économique de l'arnaque en est transformé : plus besoin de comptes prête-noms, de SIM box ou d'agrégateurs complices.
La traçabilité est quasi nulle. L'appareil n'a pas d'abonnement, pas d'identifiant réseau exploitable, pas d'adresse IP. Le seul moyen de le neutraliser est de le localiser physiquement — un travail de radiogoniométrie qui demande du temps, du matériel et une coordination entre l'ANFR (Agence nationale des fréquences), les opérateurs et les forces de l'ordre. Ces opérations existent et aboutissent, mais elles supposent d'abord que quelqu'un signale l'anomalie.
Rappelons au passage que l'usage d'un tel dispositif est en France pénalement lourd : émission sur des fréquences attribuées sans autorisation, entrave au fonctionnement d'un réseau de communications électroniques, escroquerie en bande organisée. Les peines encourues se comptent en années de prison.
Les réglages qui font réellement une différence
Il n'existe pas de bouton « anti-SMS Blaster ». Mais il existe une mesure dont l'effet est direct et mesurable : couper la 2G.
Puisque l'attaque repose sur le rabattement forcé vers un protocole où l'antenne n'a pas besoin de prouver son identité, un téléphone qui refuse purement et simplement la 2G devient beaucoup plus difficile à piéger.
Sur Android
La plupart des versions récentes d'Android proposent un interrupteur dédié. Le chemin varie selon le constructeur, mais il ressemble à : Paramètres → Réseau et Internet → Cartes SIM → sélectionner la SIM → « Autoriser la 2G », à désactiver. Certains fabricants placent l'option dans un menu « Sécurité et confidentialité ».
Android propose également, sur les versions les plus récentes, un mode de protection réseau qui refuse les connexions non chiffrées et peut alerter lorsque le téléphone détecte une station de base au comportement anormal. Si votre appareil le propose, activez-le.
Sur iPhone
iOS ne propose pas d'interrupteur 2G isolé. En revanche, le mode Isolement (Réglages → Confidentialité et sécurité → Mode Isolement) désactive notamment le repli vers les réseaux cellulaires non sécurisés. C'est un mode restrictif, pensé pour les profils exposés — journalistes, avocats, élus — et qui bride certains usages du quotidien. Pour la majorité des utilisateurs, il n'est pas recommandé au quotidien, mais il peut être activé ponctuellement dans un contexte à risque.
Le reste des réglages utiles
- Activez le filtrage des expéditeurs inconnus (iOS : Réglages → Applications → Messages ; Android : Messages → Paramètres → Protection contre le spam).
- Refusez systématiquement l'installation d'applications hors App Store ou Play Store. C'est la porte d'entrée principale des seconds étages d'attaque.
- Vérifiez que la double authentification de vos comptes sensibles ne repose pas uniquement sur le SMS. Une application d'authentification, ou mieux, une clé de sécurité FIDO2 physique, coupe court à toute la chaîne : même en récupérant vos identifiants, l'attaquant reste bloqué.
Un mot sur la couverture réseau, d'ailleurs : dans les zones où le signal 4G est faible, votre téléphone se rabat naturellement sur la 2G — ce qui vous rend plus vulnérable. Si vous vivez en zone blanche partielle, un répéteur de signal mobile homologué ARCEP, installé dans les règles, réduit ce basculement permanent. Attention : seuls les modèles agréés et déclarés sont légaux en France.
Comment reconnaître qu'on vient d'être ciblé
Quelques signaux, individuellement anodins, prennent du sens ensemble :
- Votre téléphone bascule brutalement en 2G ou « E » alors que vous êtes en pleine ville, dans une zone habituellement bien couverte.
- Vous perdez le réseau quelques secondes, puis un SMS arrive juste après la reconnexion.
- Le message ne figure nulle part dans l'historique de votre compte client opérateur.
- Plusieurs personnes autour de vous — dans le même wagon, le même hall, la même file d'attente — reçoivent le même message au même moment.
- L'expéditeur affiché est parfaitement légitime, mais le lien pointe vers un domaine légèrement différent du domaine officiel.
Ce dernier point mérite un réflexe systématique : ne jamais évaluer un SMS à l'expéditeur affiché, toujours à l'action demandée. Un organisme public ne vous demande jamais vos coordonnées bancaires complètes par SMS. Ameli le rappelle explicitement sur son site : l'Assurance Maladie ne réclame jamais de coordonnées bancaires ni de numéro de sécurité sociale par message.
Le bon réflexe en trois temps
Ne cliquez pas. C'est banal, mais c'est le seul point de rupture qui vous appartienne entièrement. Un SMS non lu ne fait rien. Un SMS lu ne fait rien. Seul le clic engage la suite.
Vérifiez par un canal que vous avez choisi. Pas le numéro contenu dans le message, pas le lien : votre application bancaire ouverte à la main, le numéro imprimé au dos de votre carte, le site officiel tapé vous-même dans le navigateur.
Signalez. Transférez le message au 33700 (gratuit, tous opérateurs) et, en cas de préjudice, déposez plainte via le service en ligne dédié. Le portail Cybermalveillance.gouv.fr oriente vers les bons interlocuteurs et propose des fiches réflexes claires. Même sans expéditeur exploitable, ces signalements alimentent les statistiques qui déclenchent les opérations de localisation de l'ANFR.
Si le mal est fait
Le clic est parti, les identifiants ont été saisis. Il reste une fenêtre d'action, et elle est courte.
- Faites opposition immédiatement auprès de votre banque, puis via le service interbancaire d'opposition sur carte au 0 892 705 705.
- Changez les mots de passe des comptes concernés depuis un autre appareil — un ordinateur, si vous suspectez que le téléphone est compromis. Un gestionnaire de mots de passe évite au passage la contamination en chaîne des comptes qui partagent le même mot de passe.
- Vérifiez vos renvois d'appels et vos règles de transfert de SMS. Une pratique fréquente consiste à activer discrètement un renvoi pour intercepter les codes de validation.
- Documentez tout : captures d'écran horodatées du message, du numéro, de l'heure. Ce sont ces éléments qui feront la différence lors du dépôt de plainte et de la demande de remboursement auprès de la banque, encadrée par les articles L.133-18 et suivants du Code monétaire et financier.
Si vous accompagnez un proche moins à l'aise avec ces réflexes, un guide pratique sur la cybersécurité au quotidien, posé sur la table du salon, fait souvent plus de travail qu'un long discours : il permet de revenir sur le sujet plusieurs fois, sans que ce soit vécu comme une leçon.
Ce qui va changer dans les prochaines années
La bonne nouvelle est que le vecteur technique est en voie d'extinction. La 2G est officiellement en cours d'arrêt chez les opérateurs français — Orange et SFR ont engagé leur calendrier de fermeture, les autres suivent. Le jour où plus aucun téléphone en circulation ne pourra se rabattre sur la 2G, cette catégorie précise d'attaque perdra l'essentiel de son terrain de jeu.
La mauvaise nouvelle est que les chercheurs documentent déjà des variantes visant la 4G, exploitant des messages de signalisation antérieurs à l'authentification complète. Le principe reste le même : entre le moment où un téléphone découvre une antenne et celui où il vérifie sa légitimité, il existe une fenêtre. Elle se réduit à chaque génération, mais elle ne disparaît pas encore.
D'ici là, le raisonnement à garder en tête est simple, et il vaut bien au-delà du SMS Blaster : l'origine apparente d'un message n'est jamais une preuve. Ni le nom de l'expéditeur, ni le fil de discussion dans lequel il apparaît, ni la qualité de la rédaction. Seule compte la question de ce que le message vous demande de faire — et si l'action engage votre argent, vos identifiants ou vos données personnelles, elle mérite d'être vérifiée ailleurs, par un chemin que vous avez choisi vous-même.
