Il y a une catégorie d'arnaques où le SMS ne sert à rien d'autre qu'à faire sonner votre téléphone une seconde fois. Le message ne contient parfois même pas de lien. Il dit simplement :
« ALERTE : tentative de paiement de 749,00 € chez ELEC-STORE non reconnue. Si vous n'êtes pas à l'origine de cette opération, ne faites rien, un conseiller vous contacte. »
Aucun lien à cliquer, aucun formulaire, rien qui ressemble aux campagnes de phishing dont on vous a appris à vous méfier. Vous relisez, vous cherchez le piège, vous ne le trouvez pas. Trois minutes plus tard, le téléphone sonne — et l'écran affiche le numéro de votre agence, celui que vous avez vous-même enregistré dans vos contacts. C'est là que l'arnaque commence vraiment.
La Banque de France, dans ses travaux réguliers de l'Observatoire de la sécurité des moyens de paiement, souligne depuis plusieurs exercices la progression des fraudes dites « par manipulation » : celles où l'escroc n'a besoin d'aucune faille technique parce que c'est la victime elle-même qui valide les opérations. Le SMS n'est plus l'arme. Il est la sonnette.
Pourquoi ce scénario a remplacé le simple lien piégé
Pendant dix ans, le smishing bancaire fonctionnait sur un modèle simple : un SMS, un lien, une fausse page de connexion, des identifiants récoltés. Ce modèle s'essouffle pour trois raisons très concrètes.
D'abord, les banques ont généralisé la validation forte des opérations. Voler vos identifiants ne suffit plus : il faut aussi que quelqu'un appuie sur « Valider » dans l'application. Ensuite, les navigateurs et les systèmes mobiles bloquent une part croissante des faux domaines en quelques heures. Enfin, le public a intégré le réflexe « je ne clique pas sur les liens des SMS ».
Les fraudeurs ont donc déplacé le problème : puisqu'il faut de toute façon que la victime valide elle-même, autant obtenir cette validation par la parole. C'est plus lent, plus artisanal, mais infiniment plus rentable. Un lien piégé rapporte des identifiants revendus quelques euros. Un appel réussi rapporte un virement à quatre ou cinq chiffres.
Le SMS conserve un rôle précis dans ce dispositif :
- il crée l'attente. Vous ne recevez pas un appel inattendu, vous recevez l'appel annoncé. La méfiance normale devant un numéro inconnu ne se déclenche pas ;
- il installe le vocabulaire. « Opération non reconnue », « service anti-fraude », « mise en sécurité » : les mots de la suite de la conversation sont déjà posés ;
- il déclenche l'adrénaline. Sept cent quarante-neuf euros, c'est assez pour faire monter le pouls, assez peu pour rester crédible.
L'affichage du numéro de votre banque ne prouve plus rien
Le point de bascule, dans presque tous les témoignages, c'est l'écran d'appel. Le numéro affiché est le vrai numéro du service client, parfois même le numéro direct de l'agence. Certaines victimes racontent avoir vérifié le numéro sur le dos de leur carte bancaire pendant la conversation, et l'avoir trouvé identique.
Ce n'est pas de la magie, c'est du spoofing téléphonique : la falsification du numéro appelant. Le protocole d'acheminement des appels a été conçu à une époque où l'on ne prévoyait pas que quelqu'un mentirait sur son identité, et l'information « numéro appelant » reste, pour l'essentiel, déclarative.
La France a durci le cadre avec le mécanisme d'authentification des numéros (dit MAN) imposé par l'Arcep aux opérateurs depuis 2024-2025 : les appels provenant de l'étranger et affichant un numéro fixe français non authentifié doivent être bloqués. Le dispositif a fait chuter une partie du démarchage frauduleux, mais il a des angles morts : les numéros mobiles français légitimement utilisés en itinérance, les plages de numéros louées à des opérateurs peu regardants, les appels passés depuis le territoire national via des passerelles.
Retenez une règle simple, valable en 2026 comme en 2020 : un numéro affiché n'est pas une identité. C'est une étiquette collée sur l'enveloppe par celui qui l'envoie.
Il en va de même pour le fil de discussion SMS. Un message frauduleux utilisant le même expéditeur alphanumérique que votre banque vient se ranger dans la conversation existante, sous les vrais messages, avec le vrai historique au-dessus. L'illusion est totale.
Le script, phase par phase
Les appels frauduleux suivent des scripts remarquablement stables. En connaître la structure vaut mieux que n'importe quelle liste de « signaux d'alerte », parce que la structure, elle, ne change pas.
Phase 1 — La prise de contrôle par la légitimité
L'interlocuteur se présente avec un prénom, un nom, un « matricule ». Il vous donne des informations que seule votre banque est censée détenir : les quatre derniers chiffres de votre carte, votre agence, parfois un ou deux prélèvements récents. Ces données proviennent de fuites de bases commerciales, revendues au kilo. Elles ne prouvent rien, mais elles achètent votre confiance en dix secondes.
Phase 2 — L'inversion des rôles
Il ne vous demande rien. Au contraire, il vous protège. C'est le renversement le plus efficace du script : la victime cesse de se demander « à qui je parle » pour se demander « comment je m'en sors ». On passe de la vigilance à la coopération.
Phase 3 — Le test de loyauté
« Je ne vous demanderai jamais votre code, vous le savez bien ? » Cette phrase, prononcée par le fraudeur lui-même, désarme complètement. Elle reprend mot pour mot la consigne officielle des banques, et son énonciation vous fait classer l'interlocuteur du bon côté.
Phase 4 — La « mise en sécurité »
C'est le cœur de l'escroquerie. Il faut, dit-il, mettre vos fonds à l'abri sur un « compte tampon », « compte séquestre » ou « compte technique » le temps de bloquer la carte compromise. Vous allez recevoir une notification dans votre application : c'est l'annulation de l'opération frauduleuse, il suffit de la valider. En réalité, vous validez un virement sortant, l'ajout d'un bénéficiaire, ou l'enrôlement de son téléphone à la place du vôtre.
Phase 5 — Le verrouillage du temps
« Restez en ligne, ne raccrochez pas, la procédure expire dans quatre minutes. » Tant que vous êtes au téléphone, vous ne pouvez pas appeler votre banque, ni demander l'avis d'un proche. La contrainte temporelle n'a aucune fonction technique : elle sert uniquement à vous empêcher de vérifier.
Ce qui ne relève pas de la naïveté
Il faut le dire clairement, parce que la honte est le principal obstacle au signalement : ces escroqueries ne visent pas les gens crédules. Elles visent les gens disponibles. Un cadre en réunion, un parent qui surveille un enfant, un artisan sur un chantier, quelqu'un qui vient justement de commander en ligne. La cible n'est pas une personne, c'est un moment d'attention divisée.
Les scripts sont écrits par des équipes qui les testent sur des milliers d'appels et gardent ce qui convertit. Face à un professionnel de la persuasion travaillant huit heures par jour, l'intelligence ne protège pas. Seule la procédure protège : une règle décidée à froid, appliquée mécaniquement à chaud.
La procédure qui coupe court, en quatre gestes
1. Raccrochez. Toujours. Il n'existe aucune situation bancaire, aucune, qui exige de rester en ligne. Un vrai conseiller comprendra parfaitement que vous rappeliez. Un faux conseiller vous suppliera de ne pas raccrocher — c'est le meilleur test qui existe.
2. Rappelez, mais pas tout de suite et pas depuis le même appel. Deux pièges classiques. Le rappel du numéro qui vient d'appeler ne prouve rien : le fraudeur peut avoir usurpé un numéro qu'il ne contrôle pas, et vous tomberez sur la vraie banque, ce qui vous rassurera à tort sur le premier appel. Surtout, sur certaines lignes fixes, la ligne peut rester ouverte quelques secondes si l'appelant ne raccroche pas : composez le numéro depuis un autre appareil, ou attendez une minute pleine. Utilisez uniquement le numéro figurant au dos de votre carte ou dans votre application.
3. Ouvrez votre application vous-même et lisez le libellé complet de chaque notification avant de valider. Les applications bancaires françaises affichent désormais l'objet réel de l'opération : « Ajout du bénéficiaire X », « Virement de 4 200 € », « Nouvel appareil de confiance ». Ce libellé est la seule vérité de l'échange. Lisez-le lentement, à voix haute si nécessaire.
4. Notez tout, tout de suite. Heure de l'appel, numéro affiché, prénom donné, montants annoncés. Une capture d'écran du SMS initial vaut mieux qu'un souvenir. Si l'affaire va jusqu'à la plainte, ces éléments feront la différence.
Pour les personnes qui gèrent leurs comptes depuis un ordinateur familial, une checklist plastifiée posée près du poste — ou une simple fiche cartonnée écrite à la main et glissée dans un porte-document rigide — a un effet disproportionné : elle transforme un réflexe émotionnel en geste administratif.
Le cas particulier des proches aidants
Ce scénario est particulièrement redoutable auprès des personnes âgées, pour une raison qui n'a rien à voir avec la lucidité : elles ont été éduquées à une époque où l'on répondait au téléphone et où l'on faisait confiance à une voix qui se présente. Le refus de raccrocher au nez de quelqu'un est une politesse profondément ancrée.
Quelques aménagements concrets, sans infantiliser :
- installer un téléphone fixe à grosses touches avec filtrage d'appels et liste blanche, qui laisse passer les numéros connus et envoie les autres vers un message ;
- convenir d'un mot de passe familial, un mot connu de vous seuls, à demander à toute personne qui appelle au nom d'une institution ;
- afficher au mur, près du téléphone, la phrase à dire : « Je ne traite jamais par téléphone, je rappelle mon agence » — un simple bloc-notes aimanté collé au réfrigérateur suffit ;
- vérifier que le plafond de virement en ligne est fixé à un montant bas, et qu'il faut passer en agence pour le relever.
Le plafond est probablement la mesure la plus efficace de toute cette liste. Elle ne dépend d'aucune vigilance et fonctionne même un jour de fatigue.
Et si c'est arrivé : ce que dit le droit
Le code monétaire et financier (articles L133-18 et suivants) pose un principe fort : en cas d'opération de paiement non autorisée, la banque rembourse immédiatement, sauf fraude ou négligence grave du client. Toute la bataille juridique porte donc sur deux mots : « autorisée » et « négligence grave ».
La position des tribunaux a évolué dans un sens plutôt favorable aux victimes. La Cour de cassation, dans plusieurs décisions rendues depuis 2023, a jugé que le fait d'avoir communiqué un code après avoir été trompé par un dispositif frauduleux sophistiqué — notamment lorsque le numéro de la banque était usurpé — ne caractérise pas automatiquement une négligence grave. La charge de la preuve pèse sur la banque, qui doit démontrer précisément le manquement, et non se contenter d'affirmer que le client « a validé ».
Cela ne signifie pas un remboursement automatique. Cela signifie qu'un refus de principe se conteste.
Les étapes, dans l'ordre :
| Étape | Où | Délai à respecter |
|---|---|---|
| Faire opposition | Numéro d'urgence de la banque, puis confirmation écrite | Immédiatement |
| Contester par écrit | Lettre recommandée à l'agence, en réclamant le remboursement au titre de L133-18 | 13 mois maximum |
| Déposer plainte | Commissariat, gendarmerie ou plainte en ligne | Sans attendre |
| Signaler le SMS | Plateforme 33700 (par transfert du message) | Immédiatement |
| Saisir le médiateur | Médiateur bancaire, gratuit | Après refus écrit de la banque |
| Alerter | Info Escroqueries 0 805 805 817, Cybermalveillance.gouv.fr | À tout moment |
Un conseil pratique souvent négligé : envoyez la lettre de contestation même si un conseiller vous a dit oralement que « le dossier est en cours ». L'oral ne laisse aucune trace, et le délai de treize mois court. Un lot d'enveloppes pré-affranchies pour recommandé ou simplement un carnet de suivi des courriers évite de perdre ces dates.
Trois idées reçues à jeter
« Ma banque ne m'appellera jamais. » Faux, et c'est justement ce qui rend l'arnaque possible. Les services anti-fraude appellent réellement, souvent depuis des numéros inconnus. La bonne règle n'est pas « ma banque n'appelle pas » mais « je ne traite jamais rien pendant un appel entrant ».
« Un SMS sans lien est inoffensif. » C'est exactement le modèle décrit ici. L'absence de lien est un argument de crédibilité, pas une preuve d'innocence.
« Le 2FA me protège. » L'authentification à deux facteurs protège contre celui qui vole vos identifiants, pas contre celui qui vous demande gentiment d'appuyer sur « Valider ». Tout l'effort des fraudeurs porte désormais sur ce dernier geste.
Ce qu'il faut garder en tête
L'escroquerie par manipulation ne se combat pas avec un antivirus, un filtre ni une application. Elle se combat avec une phrase apprise par cœur et un plafond de virement raisonnable.
La phrase, la voici : « Je vais raccrocher et rappeler ma banque au numéro qui figure au dos de ma carte. » Dite calmement, elle met fin à 100 % des appels frauduleux. Aucun escroc ne reste en ligne après ça. Aucun vrai conseiller ne s'en offusque.
Pour aller plus loin, les ressources publiques françaises sont solides et gratuites : les fiches réflexes de Cybermalveillance.gouv.fr, les publications de l'Observatoire de la sécurité des moyens de paiement de la Banque de France, les alertes de la DGCCRF, et le service 33700 pour signaler les SMS frauduleux par simple transfert. Un guide pratique de cybersécurité pour particuliers au format papier peut aussi servir de support de discussion en famille, notamment avec des adolescents ou des parents âgés — le sujet passe souvent mieux autour d'un livre que sous forme de recommandation frontale.
Et si vous avez déjà validé quelque chose : ne perdez pas une heure à avoir honte. Cette heure-là, elle compte pour bloquer un virement.
