Il est 17 h 40 un vendredi. Vous rangez vos affaires. Le téléphone vibre, un numéro inconnu, un message court :
« Bonjour, c'est Laurent. Je suis en réunion, je ne peux pas décrocher. J'ai besoin de vous pour une opération confidentielle, vous êtes disponible ? »
Laurent, c'est le prénom de votre directeur général. Le message est poli, sans faute, sans lien, sans pièce jointe. Il ne demande rien — pas encore. Il demande juste si vous êtes là. Et c'est précisément parce qu'il ne demande rien que la plupart des gens répondent « oui ».
Le smishing d'entreprise a longtemps été traité comme un problème de service informatique, réglé à coups de filtres sur la messagerie professionnelle. En 2026, il a changé de porte d'entrée : il passe par le téléphone mobile des salariés, un terrain où l'employeur ne filtre rien, où les alertes de sécurité n'existent pas, et où le message arrive au milieu des SMS du dentiste et de l'école.
Pourquoi le mobile est devenu le maillon choisi
Une entreprise, même petite, protège assez bien ses boîtes mail. Antispam, bannière « expéditeur externe », blocage des pièces jointes exécutables, authentification à plusieurs facteurs : l'e-mail frauduleux a de bonnes chances d'être écarté ou signalé avant d'être lu.
Le SMS professionnel, lui, n'existe pas vraiment en tant que canal encadré. Dans l'immense majorité des structures françaises, les échanges internes urgents passent par le mobile personnel ou par un mobile de fonction non supervisé. Résultat :
- Aucun filtrage comparable à celui du courrier électronique.
- Aucune bannière signalant un expéditeur externe ou inhabituel.
- Un écran étroit, où l'on lit vite, souvent debout, souvent en marchant.
- Une norme sociale de brièveté : un SMS de trois lignes sans formule de politesse ne choque personne, alors qu'un e-mail équivalent semblerait suspect.
À cela s'ajoute la disponibilité massive des informations professionnelles. Un escroc n'a plus besoin d'infiltrer quoi que ce soit : les organigrammes publics, les réseaux professionnels, les communiqués de presse, les mentions légales et les annonces de recrutement suffisent à reconstituer qui dirige, qui gère la paie, qui signe les virements et qui vient d'arriver dans l'équipe. Le nouvel arrivant, d'ailleurs, est une cible statistiquement privilégiée : il ne connaît pas encore les habitudes de la maison et n'osera pas dire non.
Les quatre scénarios qui reviennent le plus souvent
1. La fraude au dirigeant, version SMS
C'est le scénario d'ouverture décrit plus haut. Il ne commence jamais par une demande d'argent. Il commence par une prise de contact anodine — « êtes-vous disponible ? », « je change de numéro, notez celui-ci » — dont l'unique but est d'obtenir une première réponse. Cette réponse fait basculer la relation : à partir du moment où vous avez écrit « oui, je vous écoute », vous êtes dans une conversation, et une conversation crée une obligation implicite de répondre à la suite.
La suite, justement, arrive rarement sous forme de virement direct. Elle prend souvent des chemins plus discrets : achat de cartes cadeaux dématérialisées « pour un client », envoi urgent d'un scan de document, transmission d'une liste de contacts, ou validation d'un paiement déjà « préparé par le cabinet ».
La police nationale et le dispositif public Cybermalveillance.gouv.fr documentent depuis plusieurs années cette famille d'escroqueries dite « au faux ordre de virement ». Sa version mobile n'en est qu'une adaptation au canal le plus rapide.
2. Le faux service informatique
Ici, le message imite un ticket ou une alerte technique :
« [DSI] Votre session Microsoft expire aujourd'hui. Reconnectez-vous pour éviter la suspension de votre compte : … »
Ce scénario vise le mot de passe et, surtout, le code de validation à usage unique. Sa variante la plus efficace en 2026 combine SMS et appel : vous recevez d'abord le message, puis un correspondant très calme vous explique qu'il « traite le ticket » et vous demande de lui lire le code que vous venez de recevoir. Ce code, c'est celui que le fraudeur a lui-même déclenché en tentant de se connecter à votre compte professionnel.
3. Le changement de coordonnées bancaires
Version comptable de l'arnaque. Un message se présente comme venant d'un fournisseur habituel et annonce un changement de RIB, avec parfois une référence de facture exacte — obtenue lors d'une compromission antérieure de la boîte mail du vrai fournisseur. Le SMS sert de rappel ou de confirmation à un e-mail frauduleux : le fait de recevoir la même information par deux canaux différents crée une impression de cohérence redoutablement efficace.
4. Le faux message RH
« Mise à jour obligatoire de votre dossier salarié avant le 15/09 : attestation, RIB et pièce d'identité à déposer ici. »
Cette campagne vise directement le salarié, pas l'entreprise. L'objectif est de collecter une identité complète : justificatif, RIB, numéro de sécurité sociale. De quoi ouvrir des crédits à la consommation, détourner un remboursement, ou nourrir un dossier d'usurpation d'identité qui ressortira des mois plus tard.
Ce qui rend ces messages difficiles à repérer en 2026
Trois évolutions ont fait tomber les repères habituels.
La qualité de la langue. Les fautes d'orthographe et les traductions approximatives ne sont plus un indice fiable. Les textes sont désormais fluides, correctement ponctués, et adaptés au vocabulaire du secteur visé.
Le numéro affiché. L'usurpation d'identifiant d'expéditeur permet de faire apparaître un nom au lieu d'un numéro, parfois dans le fil de discussion d'un contact existant. L'Arcep et la Fédération française des télécoms ont soutenu la mise en place du mécanisme d'authentification des numéros — le « MAN » — qui limite le phénomène pour les appels, mais l'écosystème des expéditeurs alphanumériques reste imparfaitement étanche.
La connaissance du contexte. Le fraudeur cite un vrai nom de projet, une vraie échéance, un vrai nom de client. Cette information vient rarement d'un piratage : elle vient des publications de l'entreprise elle-même.
Le bon réflexe n'est plus « ce message est-il crédible ? » mais « cette demande est-elle normale par ce canal ? ». Un dirigeant qui demande une opération financière par SMS, c'est anormal, même si tout le reste semble parfait.
La règle unique qui protège le mieux : le rappel par un canal choisi par vous
Toutes les recommandations tiennent en une phrase : on ne vérifie jamais une demande en utilisant les coordonnées fournies par la demande elle-même.
Concrètement :
- Ne répondez pas au SMS, même par « qui êtes-vous ? ». Toute réponse confirme que le numéro est actif et que vous lisez.
- Rappelez la personne sur le numéro que vous avez déjà dans votre répertoire, ou via l'annuaire interne, ou en passant la tête par la porte du bureau d'à côté.
- Si la demande porte sur de l'argent, appliquez la règle du double contrôle : deux personnes, deux canaux différents, aucune exception pour cause d'urgence.
- Signalez le message au 33700, le service national de signalement des SMS indésirables, et transférez-le à votre responsable informatique ou à votre direction.
- Conservez une capture d'écran datée : elle servira si une plainte doit être déposée.
L'urgence est le seul outil vraiment indispensable du fraudeur. Un escroc qui ne peut pas presser sa victime n'a plus de scénario. C'est pour cela que la parade la plus efficace, dans une entreprise, n'est pas technique mais culturelle : instaurer explicitement qu'aucune demande urgente n'a jamais besoin d'être traitée en moins d'une heure, et que personne ne sera jamais reproché d'avoir vérifié.
Séparer le professionnel du personnel, sans se compliquer la vie
Une partie du problème vient du mélange des usages. Quand le même téléphone reçoit les SMS de la banque, ceux de la crèche et ceux du travail, tout se ressemble et rien ne se vérifie.
Plusieurs solutions simples existent, sans passer par une politique d'entreprise lourde :
- Le second numéro. Un téléphone à double SIM, ou une eSIM secondaire dédiée au travail, permet de cloisonner. Un message professionnel arrivant sur la ligne personnelle devient immédiatement suspect — c'est un signal gratuit et très fiable.
- Le profil professionnel. Android propose un espace de travail séparé ; iOS permet des modes de concentration distincts. Les notifications professionnelles cessent d'apparaître le soir, ce qui réduit mécaniquement la fenêtre d'attaque des messages envoyés en dehors des heures ouvrées.
- Le carnet de contacts à jour. Un répertoire complet et rigoureux, avec photo si possible, transforme un numéro inconnu en signal d'alerte. C'est la mesure la moins coûteuse et la plus négligée.
Pour les salariés qui manipulent des comptes sensibles — comptabilité, paie, administration des systèmes —, remplacer le code reçu par SMS par une clé de sécurité physique FIDO2 change la nature du risque : un code peut être dicté au téléphone à un escroc, une clé physique ne peut pas l'être. C'est aujourd'hui la seule protection qui résiste au scénario « le faux support informatique vous appelle ».
Dans le même esprit, un gestionnaire de mots de passe évite la réutilisation d'un même identifiant entre un service personnel compromis et un accès professionnel. Et sur les ordinateurs portables utilisés en open space, en train ou en coworking, un filtre de confidentialité pour écran empêche la lecture latérale de ces mêmes informations — les fraudeurs les plus organisés collectent aussi hors ligne.
Ce que dit le cadre français
Trois points méritent d'être connus par tout salarié.
Le mobile personnel ne peut pas être surveillé. Si vous utilisez votre propre téléphone pour le travail, l'employeur ne peut pas y installer d'outil de contrôle sans encadrement strict et information préalable. La CNIL rappelle régulièrement que la mise en place de dispositifs de sécurité sur des équipements personnels suppose transparence, proportionnalité et consultation des instances représentatives. Un salarié victime de smishing n'a donc pas à craindre un examen de son téléphone privé.
Le signalement n'est pas une faute. Beaucoup de salariés se taisent après avoir cliqué, par honte ou par peur de la sanction. C'est le pire scénario possible : le délai entre le clic et le signalement est la variable qui détermine l'ampleur des dégâts. Une entreprise qui sanctionne le signalement s'assure simplement de ne plus être informée.
Le remboursement bancaire dépend du canal. Le code monétaire et financier prévoit le remboursement des opérations de paiement non autorisées, mais une opération que la victime a elle-même validée sur son application relève d'un autre régime, celui de la négligence grave, apprécié au cas par cas. La jurisprudence de la Cour de cassation a plusieurs fois retenu que la sophistication du procédé — notamment l'usurpation du numéro d'appel de la banque — pouvait écarter cette négligence grave. Autrement dit : la qualité de l'imitation joue en faveur de la victime, à condition de pouvoir la documenter.
Un plan simple à afficher dans l'entreprise
| Situation | Réflexe immédiat | À éviter absolument |
|---|---|---|
| SMS d'un dirigeant depuis un numéro inconnu | Rappeler sur le numéro du répertoire interne | Répondre « oui » ou « c'est vous ? » |
| Demande de code reçu par SMS | Raccrocher, aucune exception | Dicter le code, même à un « technicien » |
| Changement de RIB annoncé par message | Appeler le fournisseur au numéro d'une facture ancienne | Valider sur la base du seul message |
| Lien vers un portail RH ou informatique | Ouvrir le portail via un favori existant | Cliquer depuis le SMS |
| Message déjà cliqué | Prévenir la DSI dans l'heure, changer le mot de passe | Attendre de voir si ça a des conséquences |
Pour les structures qui n'ont pas de service informatique, un guide pratique de cybersécurité pour les TPE-PME en format papier, laissé dans la salle de pause, fait souvent plus qu'une note de service : il donne un vocabulaire commun et légitime le fait de poser des questions.
Le fond du problème
Le smishing professionnel ne repose sur aucune prouesse technique. Il repose sur une organisation du travail où l'urgence est valorisée, où le mobile personnel absorbe des flux professionnels, et où dire « je vérifie » passe encore pour un manque de réactivité.
Les campagnes de 2026 exploitent cette zone grise avec une efficacité redoutable, parce qu'elles n'attaquent pas des systèmes mais des habitudes. La bonne nouvelle, c'est que les habitudes se changent plus vite qu'une infrastructure : décider collectivement qu'aucune demande financière ne se traite par SMS suffit à rendre inopérante toute une famille d'escroqueries.
Et si le message vous a déjà mis dans le doute, gardez cette règle en tête : un vrai dirigeant, un vrai fournisseur, un vrai service informatique comprendront toujours que vous ayez pris cinq minutes pour vérifier. Un escroc, jamais.
Ressources utiles : signalement des SMS frauduleux au 33700 ; plateforme Cybermalveillance.gouv.fr pour le diagnostic et l'assistance ; dispositif Perceval (service-public.fr) pour les usages frauduleux de carte bancaire ; Info Escroqueries au 0 805 805 817 (appel gratuit).
