« Bonjour, c'est pour la cagnotte de Sophie de l'équipe compta, son départ est vendredi. Il ne manque que 200 € sur les 600. Ta part : 15 € → cagnotte-solidaire-participation.fr »
Karim travaille effectivement avec une Sophie. Le montant est dérisoire. Le ton est celui d'un collègue pressé. Il clique, saisit sa carte, valide. Deux jours plus tard, un débit de 349 € part vers un prestataire étranger, puis un autre de 349 € le mois suivant.
Il n'y avait pas de cagnotte. Il y avait un numéro de mobile loué pour deux heures, un message envoyé à quatre mille personnes, et un formulaire de paiement récurrent déguisé en participation unique.
L'arnaque au don n'est pas nouvelle — elle existait avec les fausses quêtes sur la voie publique. Ce qui a changé en 2026, c'est qu'elle passe désormais par le canal le plus intime et le plus crédible qui soit : votre fil de SMS.
Pourquoi la générosité est une faille de sécurité
Toutes les campagnes de smishing exploitent une émotion. Le faux colis joue sur l'attente, le faux conseiller bancaire sur la peur, la fausse amende sur la culpabilité. Le faux appel aux dons, lui, joue sur quelque chose de beaucoup plus difficile à neutraliser : l'envie de bien faire, et la honte de refuser.
Trois mécanismes se superposent.
1. Le montant est volontairement minuscule. 10 €, 15 €, 20 €. En dessous du seuil où l'on prend le temps de vérifier. C'est le principe même de l'arnaque : ce n'est pas la somme affichée qui est volée, c'est le numéro de carte qui est capturé — et parfois l'autorisation de prélèvement récurrent glissée en caractères pâles sous le bouton de validation.
2. Le refus a un coût social. Face à un faux message de banque, dire non ne coûte rien. Face à « la cagnotte pour les obsèques du fils de Martine », hésiter donne l'impression d'être radin. Les escrocs le savent et calibrent leurs textes pour que la vérification paraisse indélicate.
3. L'urgence est plausible. Une cagnotte a une date de clôture naturelle. Une collecte après une catastrophe a une utilité immédiate. Contrairement à « votre compte sera suspendu sous 24 h », le compte à rebours ne sonne pas faux.
Un appel au don légitime ne vous reprochera jamais de prendre vingt-quatre heures pour vérifier. Un escroc, si.
Les quatre scénarios dominants en 2026
La cagnotte entre collègues ou entre parents d'élèves
C'est le format le plus efficace, parce qu'il est microciblé. Les escrocs récupèrent des listes issues de fuites de données : annuaires internes d'entreprises, listes de diffusion d'associations sportives, groupes de parents d'élèves. Un simple prénom crédible suffit à faire basculer la vigilance. Aucun logo, aucune marque : juste un ton familier.
Signal typique : le message ne dit jamais qui écrit. « C'est pour la cagnotte de… » sans signature. Un collègue vous dirait son prénom.
Le faux appel aux dons d'une grande association
Croix-Rouge française, Restos du Cœur, Secours populaire, Fondation pour la recherche médicale, SPA : toutes ces marques sont imitées, généralement quelques jours après un événement médiatique — tempête, incendie, crise humanitaire. L'expéditeur alphanumérique peut afficher un nom d'association, puisque ce champ n'est pas authentifié de bout en bout et reste usurpable.
Le Comité de la Charte / Don en Confiance labellise en France les organisations qui acceptent un contrôle externe de leurs pratiques de collecte. Vérifier qu'une association figure bien dans la liste publiée sur le site de Don en Confiance prend trente secondes et élimine l'immense majorité des faux.
Le SMS de « solidarité locale »
« Collecte pour les familles sinistrées de la commune, participation libre ». Ce format prospère après une inondation ou un incendie local. Il est redoutable parce que le destinataire connaît l'événement : il a vu les images, il sait que c'est vrai. Il ne lui vient pas à l'esprit que seul l'appel au don est faux.
Une commune, une préfecture ou un centre communal d'action sociale n'organise pas de collecte de dons par SMS avec paiement par carte sur un site inconnu. Les vraies collectes passent par la mairie, une association identifiée ou une plateforme officielle annoncée sur le site de la commune.
Le don « au nom d'un proche »
Variante la plus cruelle : un message évoquant une maladie, une hospitalisation ou un décès dans votre entourage, parfois nourri par des informations réellement publiées sur les réseaux sociaux. Le lien renvoie vers une page de cagnotte imitant l'interface d'une plateforme connue.
Comment distinguer une vraie cagnotte d'une fausse
Les plateformes françaises légitimes de cagnottes (Leetchi, Le Pot Commun, HelloAsso pour le secteur associatif, ou les pages de dons hébergées par les associations elles-mêmes) partagent des caractéristiques que les copies reproduisent mal.
| Élément | Cagnotte légitime | Fausse cagnotte |
|---|---|---|
| Domaine du lien | Domaine de la plateforme, sans mots ajoutés | Nom de plateforme + tirets + mots (« -participation », « -solidaire », « -fr ») |
| Organisateur | Identité affichée, souvent photo et historique | Prénom seul ou anonyme |
| Montant | Libre, saisi par le donateur | Montant imposé, bouton unique |
| Moyens de paiement | Carte + parfois virement, via prestataire connu | Carte uniquement, formulaire brut |
| Reçu fiscal | Proposé si l'organisme y donne droit | Absent ou « envoyé plus tard » |
| Conditions | CGU accessibles, mentions légales complètes | Liens morts ou pages vides |
Le test le plus fiable reste le plus simple : ne jamais passer par le lien du SMS. Ouvrez votre navigateur, tapez vous-même le nom de la plateforme ou de l'association, et cherchez la collecte depuis leur moteur interne. Une vraie cagnotte publique est retrouvable ; une fausse n'existe que dans le message.
Sur un ordinateur portable, survoler un lien pour lire l'adresse réelle est instantané. Sur mobile, c'est l'inverse : l'URL est tronquée, le doigt est plus rapide que l'œil. C'est une des raisons pour lesquelles le smishing rapporte plus que le phishing par e-mail. Un support pour téléphone posé sur le bureau, qui vous oblige à lire l'écran à distance plutôt qu'à faire défiler machinalement, change davantage de comportements qu'on ne l'imagine.
Les trois pièges de paiement à connaître
Le prélèvement récurrent déguisé
C'est le cœur du modèle économique. Vous croyez payer 15 € une fois ; vous autorisez en réalité un abonnement. La mention légale existe — elle est écrite en gris clair, en corps 8, sous le bouton. Juridiquement, cela permet à l'opérateur de se défendre ; pratiquement, personne ne la lit.
Réflexe : avant toute validation, cherchez les mots « mensuel », « récurrent », « renouvellement », « jusqu'à résiliation ». S'ils apparaissent quelque part, ce n'est pas un don ponctuel.
Le paiement par carte cadeau ou crypto
Aucune association déclarée ne demandera jamais un don sous forme de cartes prépayées, de coupons Neosurf/PCS ou de transfert en cryptomonnaie. C'est le marqueur le plus binaire qui existe : dès qu'il apparaît, l'affaire est close, c'est une escroquerie.
Le virement instantané
Depuis la généralisation du virement instantané, les escrocs poussent ce moyen de paiement parce qu'il est irrévocable en pratique. Un paiement par carte laisse une chance de contestation ; un virement instantané vers un compte étranger, presque aucune. Si un interlocuteur insiste pour un virement plutôt qu'une carte, ce n'est jamais pour votre confort.
Ce que vous pouvez faire en deux minutes avant de donner
- Identifiez l'émetteur réel. Si c'est un proche, appelez-le sur le numéro que vous avez déjà en mémoire — jamais celui du SMS. Trente secondes suffisent.
- Vérifiez l'association. Consultez le site officiel, le Journal officiel des associations, ou la liste Don en Confiance. Une association reconnue d'utilité publique est facilement vérifiable.
- Regardez le domaine à la loupe. Les faux domaines sont presque toujours récents. Un nom de domaine créé il y a trois jours pour une « collecte nationale » n'a aucun sens.
- Cherchez le reçu fiscal. Un don à un organisme d'intérêt général ouvre droit à une réduction d'impôt (66 % du montant dans la limite de 20 % du revenu imposable, 75 % pour les organismes d'aide aux personnes en difficulté, selon les règles rappelées par la Direction générale des finances publiques). Un organisme légitime le mentionne. Un escroc l'évite.
- Payez depuis une source que vous avez choisie, pas depuis un lien qu'on vous a envoyé.
Pour les personnes qui donnent régulièrement, tenir une trace écrite change tout au moment de la déclaration d'impôts comme en cas de litige : un carnet de comptes personnel ou un simple classeur à intercalaires où l'on range reçus et confirmations permet de repérer immédiatement un débit qui ne correspond à aucun don consenti.
Si le paiement est déjà parti
Le temps est le seul facteur qui compte.
Immédiatement :
- Appelez votre banque et demandez l'opposition sur la carte. Utilisez le numéro figurant au dos de la carte ou dans votre application bancaire, jamais un numéro reçu par message.
- Demandez explicitement le blocage de tout mandat de prélèvement récurrent associé à l'opération. Une opposition sur la carte ne suffit pas toujours à stopper un abonnement déjà autorisé.
- Conservez le SMS : ne le supprimez pas. Faites-en une capture d'écran, avec le numéro d'expéditeur et la date visibles.
Dans les 24 à 48 heures :
- Contestez l'opération. Le code monétaire et financier prévoit un droit au remboursement des opérations de paiement non autorisées ; la Banque de France et la Fédération bancaire française rappellent régulièrement que le délai de contestation est de 13 mois pour une opération au sein de l'Espace économique européen. Plus vous agissez tôt, plus le dossier est solide.
- Signalez le message au 33700, le numéro national de signalement des SMS frauduleux : transférez le SMS au 33700, puis envoyez le numéro de l'expéditeur quand on vous le demande.
- Déposez un signalement sur cybermalveillance.gouv.fr, qui oriente vers les démarches adaptées, et sur la plateforme PHAROS (internet-signalement.gouv.fr) pour le contenu en ligne.
- Portez plainte : commissariat, gendarmerie ou plainte en ligne via le service THESEE, dédié aux escroqueries numériques.
Dans les semaines suivantes :
Surveillez vos relevés pendant au moins trois mois. Les prélèvements frauduleux commencent souvent avec un décalage volontaire, pour que la victime ne fasse pas le lien. Un carnet de suivi des dépenses tenu à la main, posé près du courrier, reste pour beaucoup plus efficace qu'une application ouverte une fois par trimestre.
Attendez-vous aussi à recevoir, quelques semaines plus tard, un message proposant de « récupérer les fonds perdus ». C'est le deuxième étage de la fusée, et il vise spécifiquement les victimes déjà identifiées.
Protéger les personnes les plus exposées
Les campagnes de faux dons ciblent en priorité deux profils : les personnes âgées, statistiquement plus généreuses et plus souvent déjà donatrices, et les personnes engagées dans des réseaux associatifs, dont les coordonnées circulent davantage.
Quelques mesures concrètes, sans infantiliser :
- Convenir d'une règle familiale simple : aucun don par SMS, jamais, quelle que soit la cause. Les dons se font par un canal choisi à l'avance (prélèvement annuel, chèque, site officiel).
- Plafonner la carte de paiement utilisée au quotidien. La plupart des banques permettent d'abaisser le plafond en ligne en trois clics.
- Activer le filtrage des expéditeurs inconnus sur le téléphone, disponible sur iOS comme sur Android : les messages d'émetteurs non enregistrés basculent dans un onglet séparé, ce qui casse l'automatisme du clic.
- Documenter les vrais engagements. Une liste écrite des associations réellement soutenues, gardée dans un porte-documents à compartiments avec les reçus fiscaux, permet de répondre en une seconde à « est-ce que je donne à cet organisme ? ».
Pour les proches qui préfèrent les supports papier, un guide pratique sur les arnaques numériques, feuilleté tranquillement, passe souvent mieux qu'une démonstration sur écran. La lecture laisse le temps d'assimiler ; la démonstration met en position d'élève.
L'essentiel à retenir
La générosité n'est pas une faiblesse, et se méfier d'un SMS ne rend personne moins solidaire. Les vraies associations françaises collectent très majoritairement par courrier, par prélèvement, par leur site ou lors de campagnes clairement identifiées — pas par un texto anonyme contenant un lien à cliquer dans la minute.
Trois phrases suffisent à résumer la défense :
- Un don ne se déclenche jamais depuis un lien reçu par SMS.
- Un montant imposé et un paiement irréversible sont deux signaux d'alarme, pas des détails.
- Vérifier avant de donner n'offense personne — et prend moins de temps que contester un prélèvement.
Si un message vous met mal à l'aise sans que vous sachiez dire pourquoi, ce malaise est souvent l'information la plus fiable du message. Transférez-le au 33700, supprimez-le, et donnez autrement.
