« Papa, j'ai fait une bêtise. »
Théo a 14 ans. Il a reçu un SMS lui annonçant qu'il avait été tiré au sort pour recevoir 5 000 unités de monnaie virtuelle sur son jeu préféré. Un lien, un formulaire, son identifiant, son mot de passe, puis un code à six chiffres reçu par SMS qu'on lui demandait de « confirmer ». Quarante minutes plus tard, son compte — trois ans de progression et 400 € d'achats cumulés — était revendu sur un forum. Et comme il utilisait le même mot de passe pour son adresse e-mail, l'escroc a enchaîné.
Ses parents ont découvert l'affaire parce qu'il a fini par en parler. Beaucoup d'adolescents ne le font pas. C'est précisément sur ce silence que reposent la plupart des arnaques qui les visent.
Pourquoi les ados sont une cible à part
On imagine souvent que les jeunes, « nés avec un téléphone dans la main », seraient naturellement immunisés. L'observation des signalements sur la plateforme 33700 et des dossiers traités par Cybermalveillance.gouv.fr raconte l'inverse : leur aisance technique ne les protège pas, elle les expose autrement.
Quatre facteurs jouent.
La vitesse de réponse. Un adulte laisse traîner un SMS suspect une heure. Un adolescent répond en moins de deux minutes, souvent sans quitter l'application qu'il était en train d'utiliser. Le temps de réflexion, qui est la meilleure défense contre le smishing, disparaît.
La valeur réelle des comptes de jeu. Un compte Fortnite, Roblox ou Steam bien fourni se revend entre 50 et plusieurs centaines d'euros sur des marchés parallèles. L'escroc n'a pas besoin de carte bancaire : le compte est la marchandise.
La honte. C'est le levier décisif. Un adolescent piégé par une arnaque à la photo intime, ou qui a perdu le compte payé par ses parents, calcule d'abord le risque de se faire confisquer son téléphone. Il paie, il négocie, il se tait.
Une faible exposition aux campagnes de prévention. Les messages institutionnels sur les arnaques bancaires ou les faux SMS d'impôts ne les concernent pas. Personne ne leur a expliqué à quoi ressemble un smishing calibré pour eux.
Les six scénarios qui reviennent le plus
1. Le faux cadeau de monnaie virtuelle
Le grand classique. « Félicitations, ton compte a été sélectionné », « générateur gratuit », « code créateur offert ». Le lien mène vers une copie très correcte de la page de connexion officielle. La victime saisit ses identifiants ; le site demande ensuite le code de vérification à usage unique reçu par SMS, censé « valider la livraison ». C'est en réalité le code de double authentification que le site officiel vient d'envoyer parce que l'escroc est en train de se connecter.
Le signal à retenir : aucun éditeur de jeu n'offre de monnaie virtuelle par SMS, et aucun ne demande jamais un code reçu par SMS sur un autre site que le sien.
2. Le faux petit boulot
« Bonjour, nous recherchons des profils pour tester des applications, 40 € par tâche, 15 minutes par jour. » Ces campagnes visent en priorité les 16-22 ans, souvent en période de vacances scolaires. Deux variantes :
- Le task scam : les premières « missions » rapportent réellement 5 ou 10 €, versés rapidement. Puis on demande un dépôt pour « débloquer les tâches premium ». L'argent ne revient jamais.
- La mule bancaire : on propose au jeune de recevoir un virement sur son compte, d'en garder 10 % et de renvoyer le reste en espèces ou en cryptomonnaie. C'est du blanchiment. Le mineur ou le jeune majeur est juridiquement responsable et risque une interdiction bancaire, une poursuite pénale et la fermeture de son compte. La Fédération bancaire française alerte régulièrement sur cette dérive auprès des lycées.
3. La sextorsion
Le scénario est brutal. Une prise de contact chaleureuse sur un réseau social, un basculement rapide vers le SMS ou une messagerie, un échange d'images, puis le chantage : « envoie 200 € en carte cadeau ou je diffuse tout à ta liste de contacts ». Les escrocs montrent parfois des captures de la liste d'amis pour prouver leur capacité de nuisance.
La règle absolue, martelée par l'association e-Enfance et son numéro 3018 : ne jamais payer, ne rien supprimer, tout capturer, et parler à un adulte. Payer ne fait qu'ouvrir un second cycle de demandes. Le 3018 dispose d'une procédure de signalement accélérée auprès des plateformes pour obtenir le retrait rapide des contenus.
4. Le compte de messagerie piraté
« Salut c'est moi, je participe à un concours, tu peux voter pour moi ? » Le message vient réellement du compte d'un ami, parce que cet ami s'est fait piéger avant. Le lien récupère les identifiants, et le cycle recommence avec sa propre liste de contacts. C'est la mécanique de propagation la plus efficace : la confiance est préinstallée.
5. Le faux abonnement streaming ou la fausse amende de plateforme
Plus rare mais en hausse : « Ton abonnement a été suspendu, régularise 1,99 € ». La somme dérisoire désamorce la méfiance. L'objectif n'est pas les 1,99 €, c'est le numéro de carte bancaire — souvent celle d'un parent, enregistrée sur le téléphone.
6. Le SMS « ce n'est pas le bon numéro »
Un message anodin, une conversation qui s'installe sur plusieurs jours, puis une proposition d'investissement en cryptomonnaie. Ce scénario, connu sous le nom de pig butchering, ne visait au départ que les adultes. Il descend désormais vers les 17-20 ans, avec des promesses de rendement adaptées à de petits montants.
D'où les escrocs sortent-ils le numéro d'un collégien ?
La question revient systématiquement chez les parents. Les sources sont banales.
| Origine | Mécanisme |
|---|---|
| Fuites de données de plateformes de jeu ou d'apps | Numéros revendus en lots sur des forums |
| Inscriptions à des concours, quiz, « tests de personnalité » | Consentement noyé dans des conditions générales |
| Listes de diffusion revendues | Achat groupé auprès de courtiers en données |
| Numérotation aléatoire | Génération automatique de plages de numéros mobiles français |
| Contacts récupérés dans un compte piraté | Le carnet d'adresses d'un camarade |
Autrement dit : recevoir un SMS frauduleux ne signifie pas que l'adolescent a « fait une bêtise ». C'est un point important à dire à la maison, parce que la culpabilité anticipée est exactement ce qui empêche de venir en parler.
Ce qui protège réellement, par ordre d'efficacité
La double authentification par application, pas par SMS
C'est la mesure la plus rentable. Sur les comptes de jeu, les réseaux sociaux et l'adresse e-mail, activer une authentification à deux facteurs via une application dédiée (Google Authenticator, Authy, ou l'application de la plateforme) plutôt que par SMS. Un code envoyé par SMS peut être soutiré par ingénierie sociale ou par échange de carte SIM ; un code généré localement, beaucoup plus difficilement.
Pour les comptes les plus sensibles d'un jeune majeur — messagerie principale, banque — une clé de sécurité physique type FIDO2 rend l'hameçonnage quasiment inopérant : la clé refuse de s'authentifier sur un faux domaine, même si l'utilisateur, lui, y croit.
Des mots de passe qui ne se recyclent pas
Le vrai dégât dans l'histoire de Théo n'est pas la perte du compte de jeu : c'est le mot de passe réutilisé sur l'adresse e-mail. Installer un gestionnaire de mots de passe sur le téléphone de l'adolescent, et le configurer ensemble, prend vingt minutes et supprime une catégorie entière de risques. La CNIL et l'ANSSI recommandent toutes deux cette approche dans leurs guides grand public.
Le filtrage natif du téléphone
Android et iOS savent désormais classer les expéditeurs inconnus et signaler les messages suspects — Google a d'ailleurs étendu en 2026 sa détection d'arnaques par SMS au marché français. Sur iPhone : Réglages → Messages → Filtrer les expéditeurs inconnus. Sur Android Messages : la protection contre le spam dans les paramètres. Ce n'est pas infaillible, mais cela retire de la vue une grande partie du bruit.
Le réflexe 33700
Transférer gratuitement le SMS suspect au 33700 (service officiel de signalement des spams SMS, géré par l'Association française du multimédia mobile avec les opérateurs). Le service répond en demandant le numéro de l'expéditeur, qu'il suffit de renvoyer. Faire la manipulation une fois avec son ado, ensemble, vaut tous les discours : cela transforme un message anxiogène en geste concret.
Pour les contenus impliquant un mineur : 3018 (e-Enfance, gratuit, 7j/7) et la plateforme PHAROS du ministère de l'Intérieur pour les contenus illicites.
Le matériel, quand il a du sens
Quelques équipements changent la donne sans transformer la maison en poste de contrôle. Un routeur avec contrôle parental intégré permet de poser des plages horaires et un filtrage DNS pour toute la maison, sans application espionne sur le téléphone de l'enfant. Pour les plus jeunes, un téléphone mobile simplifié sans navigateur internet reste une transition raisonnable avant le smartphone complet. Et pour les familles qui veulent aborder le sujet autrement qu'en liste d'interdits, un livre de prévention sur les usages numériques des adolescents ouvre souvent des conversations que les recommandations orales ne déclenchent pas.
Comment en parler sans provoquer le silence
C'est la partie la plus difficile, et la plus déterminante.
Annoncer la règle avant l'incident. La phrase à poser, calmement, une fois : « quoi qu'il arrive, si tu te fais piéger, tu ne perdras pas ton téléphone parce que tu es venu m'en parler ». Cette garantie explicite est ce qui fait la différence entre une victime qui parle au bout d'une heure et une victime qui paie pendant trois semaines.
Raconter des cas, pas des règles. « Ne clique pas sur les liens » ne produit rien. « Un garçon de ta classe a perdu son compte parce qu'il a donné le code à six chiffres reçu par SMS » produit un réflexe.
Donner un critère unique, mémorisable. Celui qui fonctionne le mieux : un code reçu par SMS ne se donne jamais, à personne, jamais, même à quelqu'un qui dit être le support officiel. Un seul critère bien ancré vaut mieux que dix conseils oubliés.
Ne pas monopoliser la vérification. Apprendre à l'adolescent à ouvrir lui-même l'application officielle plutôt que de cliquer sur le lien. C'est une compétence, pas une surveillance.
Que faire dans l'heure qui suit un piège
Trois actions dans l'ordre, sans discussion : couper l'accès, documenter, signaler.
- Changer le mot de passe du compte concerné — et de tous les comptes qui partageaient le même mot de passe. Depuis un autre appareil si possible.
- Déconnecter toutes les sessions actives dans les paramètres de sécurité du compte.
- Capturer les échanges, le numéro de l'expéditeur, l'URL du lien, avant toute suppression. Ce sont les pièces d'un futur dépôt de plainte.
- Prévenir la banque immédiatement si des coordonnées bancaires ont circulé : faire opposition et demander le blocage. Le droit au remboursement pour opération non autorisée est prévu par le code monétaire et financier (articles L133-18 et suivants) — encore faut-il signaler vite.
- Signaler : 33700 pour le SMS, 3018 si un mineur est concerné, PHAROS pour le contenu illicite, et dépôt de plainte au commissariat ou via la pré-plainte en ligne.
- Prévenir les contacts si le compte servait à propager le message : un simple « mon compte a été piraté, ne cliquez pas » coupe la chaîne.
Le point aveugle : les comptes ouverts avant 15 ans
Depuis la loi du 7 juillet 2023 visant à instaurer une majorité numérique, l'inscription d'un mineur de moins de 15 ans sur un réseau social requiert en principe l'accord des titulaires de l'autorité parentale. Dans les faits, la vérification reste largement déclarative. Résultat : beaucoup d'adolescents ont des comptes dont leurs parents ignorent l'existence, associés à un numéro de mobile et à une adresse e-mail parfois créée pour l'occasion.
Cela ne se règle pas par une fouille. Cela se règle par un inventaire fait ensemble, une fois par an, en listant simplement : quels comptes existent, quel e-mail est associé, lequel a la double authentification active. L'exercice dure une demi-heure et découvre presque toujours deux ou trois comptes oubliés, encore actifs, avec un vieux mot de passe.
Ce qu'il faut retenir
Les SMS d'arnaque qui visent les adolescents ne sont pas des versions atténuées de ceux qui visent les adultes. Ils exploitent d'autres ressorts : la valeur d'un compte de jeu, l'envie d'argent rapide, la peur du jugement, la vitesse de réaction.
La protection technique compte — double authentification hors SMS, mots de passe uniques, filtrage des expéditeurs inconnus. Mais elle ne vaut que si le canal de parole reste ouvert. Un adolescent qui sait qu'il peut arriver en disant « j'ai fait une bêtise » sans perdre son téléphone signale en une heure ce que la honte aurait fait durer un mois.
C'est, de très loin, la mesure de sécurité la plus efficace du foyer.
