Il existe une catégorie d'arnaques par SMS dont on parle peu, parce qu'elle ne ressemble pas à une arnaque. Pas de faux site bancaire, pas de code à six chiffres à recopier d'urgence, pas de menace de suspension de compte. Juste une bonne nouvelle : vous avez été tiré au sort, votre fidélité est récompensée, votre colis est offert, il ne reste qu'à régler 1,95 € de frais de livraison.
Six semaines plus tard, votre relevé bancaire affiche trois prélèvements de 49,90 € au profit d'une société dont vous n'avez jamais entendu parler. Et la partie la plus désagréable de l'histoire est celle-ci : quelque part, sur la page que vous avez remplie en trente secondes, il était écrit — en gris clair, en corps 7, sous le bouton de validation — que vous souscriviez un abonnement mensuel reconductible.
C'est ce qu'on appelle dans le jargon anglo-saxon un negative option billing, en français une souscription par défaut ou un abonnement caché. Ce n'est pas exactement du vol. C'est bien pire à traiter : c'est une zone grise juridique conçue pour ressembler à un contrat.
Pourquoi ce piège fonctionne mieux qu'un faux site bancaire
Les campagnes de smishing classiques — faux SMS de La Poste, de l'Assurance Maladie, de votre banque — reposent sur la peur et l'urgence. Elles fonctionnent, mais elles rencontrent aujourd'hui une résistance croissante : le grand public a été massivement sensibilisé, les banques rappellent qu'elles ne demandent jamais un code par SMS, et Cybermalveillance.gouv.fr martèle le message depuis des années.
Le SMS cadeau contourne entièrement cette défense mentale. Il ne déclenche aucune des alarmes que vous avez appris à écouter :
- Il ne demande aucun mot de passe.
- Il ne demande aucun code de validation bancaire — enfin, si, mais plus tard, et pour un montant dérisoire que vous validez sans y penser.
- Il n'usurpe pas nécessairement l'identité d'un organisme public : il se contente souvent d'évoquer vaguement « votre opérateur », « une grande enseigne », « notre partenaire ».
- Il ne vous met pas en danger, il vous fait plaisir.
Le levier psychologique n'est pas la peur mais la réciprocité et l'effet de dotation : à partir du moment où l'on vous annonce que quelque chose vous appartient déjà, y renoncer est vécu comme une perte. Ajoutez un compte à rebours à l'écran (« votre lot est réservé 9 min 47 »), et le temps de réflexion disparaît.
Les escrocs qui exploitent ce modèle ne cherchent pas à voler 800 € d'un coup. Ils cherchent à prélever 49 € pendant six mois à des milliers de personnes qui, individuellement, ne porteront jamais plainte pour cette somme.
Le mécanisme, étape par étape
1. Le message d'appel
Le SMS est court, souvent sans faute, et de plus en plus personnalisé — croisement avec des bases de données fuitées oblige. Les formulations récurrentes en 2026 :
- « Bonjour [Prénom], votre commande n° 8842 est éligible à un cadeau. Choisissez-le ici : … »
- « Votre forfait vous donne droit à 1 accessoire offert ce mois-ci. »
- « Remboursement de 74,32 € disponible sur votre dossier. Confirmez vos coordonnées. »
- « Test produit : recevez [marque connue] et gardez-le. »
Le lien pointe vers un domaine récent, court, sans rapport avec la marque évoquée, souvent hébergé sur une extension exotique ou un sous-domaine générique.
2. Le tunnel de qualification
La page ne demande pas immédiatement votre carte. Elle vous fait d'abord jouer : une roue qui tourne, trois coffres à ouvrir, un quiz de quatre questions. Ce détour n'est pas décoratif. Il a deux fonctions :
- Vous engager progressivement. Quelqu'un qui a déjà répondu à quatre questions abandonne beaucoup moins facilement à la cinquième étape.
- Collecter vos données. Âge, situation, centres d'intérêt, code postal : ces informations valent parfois plus que l'abonnement lui-même sur les marchés de la revente de fichiers.
3. La carte bancaire pour « les frais »
Puis vient la demande de coordonnées bancaires, justifiée par un montant minuscule : 1 €, 1,95 €, 2,90 € de participation aux frais de port. Vous validez avec votre application bancaire — l'authentification forte fonctionne parfaitement, elle valide un paiement que vous avez réellement autorisé.
C'est le cœur du problème : la DSP2 et l'authentification à deux facteurs ne vous protègent pas d'un contrat que vous avez signé sans le lire. Elles vérifient que c'est bien vous, pas que la transaction est honnête.
4. La clause invisible
Sous le bouton, dans un bloc de texte gris sur fond blanc, une phrase du type : « En validant, vous adhérez au service Premium au tarif de 49,90 € par mois après une période d'essai de 3 jours, résiliable à tout moment. » Le premier prélèvement tombe une semaine plus tard, avec un libellé bancaire opaque : sigle de trois lettres, société établie hors de France, aucun rapport avec le SMS d'origine.
Ce que dit le droit français — et pourquoi c'est de votre côté
Contrairement à ce que croient beaucoup de victimes, cette pratique n'est pas légale simplement parce que la clause existait. Le droit français et européen encadre très strictement ce type de vente à distance.
| Règle | Texte applicable | Ce que ça change pour vous |
|---|---|---|
| Consentement exprès à tout paiement supplémentaire | Article L. 224-2 du Code de la consommation | Une case pré-cochée ou une mention noyée ne vaut pas consentement |
| Pratique commerciale trompeuse | Articles L. 121-2 et suivants | Dissimuler une information substantielle (le prix réel) est un délit |
| Droit de rétractation de 14 jours | Article L. 221-18 | Il court à partir de la conclusion du contrat pour un service |
| Information précontractuelle claire et compréhensible | Article L. 221-5 | Un corps 7 gris clair sous le bouton n'est ni clair ni lisible |
| Contestation d'un paiement non autorisé | Article L. 133-18 du Code monétaire et financier | Remboursement par la banque, avec des conditions |
La Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) publie régulièrement des mises en garde sur ces « jeux-concours » aboutissant à des abonnements. Le signalement passe par la plateforme SignalConso. Pour la dimension cybercriminelle, Cybermalveillance.gouv.fr oriente vers les dispositifs adaptés, et la plateforme Pharos reçoit les signalements de contenus illicites.
Concernant le SMS lui-même : tout message frauduleux peut être transféré gratuitement au 33700, le dispositif national de signalement des spams SMS géré par l'Association Française du Multimédia Mobile en lien avec les opérateurs.
Que faire si vous êtes déjà prélevé
L'ordre compte. Beaucoup de victimes commencent par écrire au service client de la société — c'est la pire étape en premier, car elle fait perdre des jours pendant lesquels de nouveaux prélèvements tombent.
Étape 1 — Bloquer le flux, pas seulement le contester
Appelez votre banque et demandez explicitement :
- l'opposition sur le commerçant (blocage des prélèvements futurs de ce bénéficiaire) ;
- et, si le doute est important, le remplacement de la carte. Le nouveau numéro rend caduques les autorisations récurrentes.
Attention : une simple « opposition pour perte » ne suffit pas toujours à stopper des paiements récurrents déjà autorisés. Employez les mots exacts : « je conteste une autorisation de paiement récurrente et je demande son blocage ».
Étape 2 — Réclamer le remboursement par écrit
Adressez à votre banque une contestation écrite (courrier recommandé ou messagerie sécurisée de l'espace client) en invoquant l'absence de consentement exprès. Joignez :
- la capture du SMS reçu ;
- l'adresse du site, si vous l'avez encore dans l'historique ;
- le relevé des prélèvements ;
- la chronologie précise.
Le délai légal pour contester une opération non autorisée est de 13 mois à compter du débit (article L. 133-24 du Code monétaire et financier). Ne laissez pas ce délai filer en pensant que « c'est trop tard ».
Étape 3 — Résilier formellement, même si le contrat est bancal
Envoyez une lettre recommandée de résiliation et de rétractation à l'adresse figurant dans les mentions légales du site. C'est le document qui vous servira ensuite. Beaucoup de gens ne conservent aucune trace papier de leurs démarches ; garder les accusés de réception dans un classeur à pochettes transparentes évite de reconstituer le dossier en urgence six mois plus tard.
Étape 4 — Signaler
- SignalConso (DGCCRF) pour la pratique commerciale.
- 33700 pour le SMS.
- Plainte en gendarmerie ou commissariat si le montant est significatif, ou pré-plainte en ligne.
- Votre association de consommateurs (UFC-Que Choisir, CLCV) si vous butez sur la banque.
Sept réflexes qui neutralisent ce type de piège
1. Aucune loterie ne vous connaît. Vous ne pouvez pas gagner à un jeu auquel vous n'avez pas joué. Cette règle, à elle seule, élimine 90 % des cas.
2. Méfiez-vous des micro-paiements. Un montant volontairement dérisoire est un signal, pas une garantie. Son seul rôle est d'obtenir vos coordonnées bancaires et votre validation.
3. Lisez ce qui est sous le bouton, pas au-dessus. Les conditions déterminantes sont systématiquement placées après l'appel à l'action, dans une couleur peu contrastée.
4. Cloisonnez vos moyens de paiement. Réservez une carte virtuelle à usage unique ou une carte prépayée rechargeable aux achats sur des sites que vous ne connaissez pas. Le plafond limite mécaniquement les dégâts. La plupart des banques françaises proposent ce service dans leur application.
5. Vérifiez vos relevés tous les mois. Un prélèvement de 49 € passe inaperçu chez quelqu'un qui ne regarde que son solde. Un simple carnet de comptes personnel, ou un tableur, suffit à repérer un libellé inconnu.
6. Ne réutilisez pas votre numéro principal partout. Chaque formulaire de jeu-concours, chaque tirage au sort en centre commercial alimente les fichiers revendus. Pour les inscriptions non essentielles, un second numéro sur une carte SIM prépayée sans engagement fait très bien l'affaire.
7. Ne répondez jamais « STOP » à un message frauduleux. Le STOP légal ne fonctionne que pour la prospection déclarée d'entreprises identifiées. Face à un escroc, il confirme simplement que le numéro est actif.
Le cas particulier des personnes vulnérables
Ce type d'arnaque frappe très inégalement. Les personnes isolées, peu à l'aise avec les interfaces, ou qui utilisent leur smartphone sans lunettes adaptées, ne verront tout simplement jamais la mention en corps 7. Ce n'est pas un défaut d'attention : c'est une conception délibérément hostile.
Quelques mesures concrètes, sans infantiliser :
- Activer l'agrandissement du texte et le contraste élevé dans les réglages d'accessibilité du téléphone.
- Pour la lecture d'écran prolongée, des lunettes loupe à fort grossissement rendent lisibles les mentions légales que les interfaces enterrent volontairement.
- Convenir d'une règle simple et non négociable au sein de la famille : aucune carte bancaire saisie depuis un lien reçu par SMS, jamais, quelle que soit la raison.
- Mettre en place un plafond de paiement bas sur la carte, ajustable ponctuellement.
Pour ceux qui veulent comprendre plus largement les ressorts de ces manipulations, plusieurs ouvrages de vulgarisation sur la cybersécurité destinés au grand public expliquent très bien les mécanismes d'ingénierie sociale sans exiger de connaissances techniques.
Et si vous n'avez fait que cliquer ?
Cliquer sur le lien sans rien remplir est, dans l'immense majorité des cas, sans conséquence directe sur un smartphone à jour. Le vrai risque commence à la saisie d'informations. Cela dit, quelques précautions raisonnables :
- Vérifiez que votre système d'exploitation est à jour — c'est la protection la plus efficace, et la plus négligée.
- Sur Android, contrôlez qu'aucune application n'a été installée hors boutique officielle.
- Si vous avez saisi votre adresse e-mail, attendez-vous à une hausse du spam ; envisagez un gestionnaire de mots de passe pour cloisonner vos accès si vous réutilisez le même mot de passe partout.
- Surveillez vos comptes pendant trois mois.
Ce qu'il faut retenir
Le SMS cadeau est le visage souriant du smishing. Il n'attaque pas votre banque, il attaque votre lecture. Il ne mise pas sur la panique, il mise sur trente secondes d'enthousiasme et sur une typographie conçue pour être ignorée.
La contre-mesure n'est ni technique ni compliquée : aucun paiement, même d'un euro, ne se saisit depuis un lien reçu par SMS. Si l'offre est réelle, elle existera aussi en tapant vous-même l'adresse du site officiel dans votre navigateur. Et si elle n'existe que dans le SMS, elle n'a jamais existé.
En cas de doute, transférez le message au 33700, signalez sur SignalConso, et supprimez. Un cadeau qui exige votre carte bancaire n'est pas un cadeau : c'est une facture déguisée.
