« On lui a mis le contrôle parental, il est tranquille. »
C'est la phrase qu'on entend le plus souvent à la sortie de l'école en septembre, quand les téléphones de rentrée sortent des poches. Elle est rassurante, et largement fausse. La plupart des solutions de contrôle parental grand public filtrent les sites web, limitent le temps d'écran et surveillent les applications installées. Presque aucune ne touche au canal par lequel arrivent les premières tentatives d'escroquerie : les SMS.
Un enfant de 11 ans qui reçoit sa première carte SIM commence à recevoir des SMS non sollicités dans les semaines qui suivent. Pas parce qu'il a fait une bêtise : parce que les numéros mobiles français sont attribués par blocs, et que les campagnes d'envoi massif composent des plages entières de numéros sans savoir qui se trouve au bout. Le premier faux SMS de livraison peut arriver avant le premier vrai SMS d'un copain.
Voici ce qu'il faut régler le jour même, ce qui est du théâtre, et ce qui se joue ailleurs que dans les réglages.
Ce qui change entre un téléphone d'adulte et un téléphone d'enfant
Sur le papier, c'est le même appareil, le même réseau, les mêmes messages. En pratique, trois différences comptent.
L'enfant n'a pas de référentiel. Un adulte qui reçoit « Votre colis est en attente de frais de douane » se souvient s'il a commandé quelque chose. Un enfant de 11 ans ne sait pas ce qu'est un frais de douane, ne sait pas si ses parents attendent un colis, et considère qu'un message officiel affiché sur son téléphone est officiel. L'absence de repères vaut crédulité.
L'enfant ne signale pas, il efface. Devant un message bizarre, le réflexe majoritaire est la suppression silencieuse. Pas par cachotterie : parce qu'il ne lui vient pas à l'idée qu'un SMS puisse être un événement digne d'être raconté. Résultat, les parents découvrent la campagne en cours trois semaines trop tard.
Le levier n'est pas l'argent, c'est le compte. Un enfant n'a pas de carte bancaire. Il a un compte de jeu, un compte scolaire, un pseudo sur une plateforme de création, parfois un compte e-mail partagé avec un parent. C'est ce qui est visé, et c'est souvent revendable.
Cybermalveillance.gouv.fr et la plateforme officielle de signalement 33700 le documentent depuis plusieurs années : le smishing visant les mineurs ne cherche presque jamais un virement, il cherche un identifiant ou un code à usage unique.
Les six réglages à faire pendant la première heure
Faites-les avec l'enfant, pas à sa place. Un réglage expliqué se retient ; un réglage subi se désactive dès que l'appareil change de mains.
1. Désactiver l'aperçu des messages sur l'écran verrouillé
C'est le réglage le plus rentable et le plus négligé. Tant que les notifications affichent le contenu complet, n'importe qui dans le bus ou dans la cour lit les conversations — et surtout lit les codes de vérification à six chiffres.
- Sur Android : Paramètres → Notifications → Notifications sur l'écran de verrouillage → « Masquer le contenu sensible ».
- Sur iPhone : Réglages → Notifications → Afficher les aperçus → « Si déverrouillé ».
Le message arrive toujours, on voit qu'il y en a un, mais il faut déverrouiller pour le lire.
2. Couper l'ouverture automatique des liens et le téléchargement d'images
Dans Google Messages comme dans l'application Messages d'Apple, certains réglages génèrent des aperçus riches de liens reçus. Sur un téléphone d'enfant, on préfère un lien brut, moche, non cliquable par inadvertance, plutôt qu'une jolie carte avec logo d'entreprise qui donne au message frauduleux l'apparence d'une communication officielle. C'est précisément ce que recherche l'escroc.
3. Activer le filtrage des expéditeurs inconnus
iOS propose « Filtrer les expéditeurs inconnus » (Réglages → Applications → Messages). Android propose la protection contre le spam et, depuis les mises à jour déployées en France en 2026, une détection renforcée des messages de type escroquerie dans Google Messages.
Ces filtres fonctionnent bien sur le spam de masse grossier. Ils se font régulièrement contourner par les campagnes soignées, notamment celles qui usurpent un nom d'expéditeur légitime. Utile, mais ce n'est pas une barrière.
4. Bloquer les achats via SMS surtaxés auprès de l'opérateur
C'est le réglage que quasiment personne ne fait, et c'est celui qui évite les mauvaises surprises sur la facture. Tous les opérateurs français permettent de bloquer les services SMS+ et les numéros surtaxés depuis l'espace client, gratuitement. Un appel au service client suffit si l'interface est introuvable.
Les faux jeux-concours et les abonnements « premium » activés par une simple réponse SMS deviennent alors inopérants. Sur une ligne mineure, ce blocage devrait être la norme.
5. Désactiver les SMS de secours pour les comptes sensibles
Si le compte e-mail ou le compte de jeu utilise le SMS comme second facteur, un vol de téléphone ou un simple regard par-dessus l'épaule suffit. Quand la plateforme le permet, privilégiez une application d'authentification, ou mieux encore, pour les comptes vraiment importants d'un adolescent plus âgé, une clé de sécurité physique FIDO2 qui tient sur un porte-clés et ne se recopie pas.
6. Fixer le numéro de l'enfant comme donnée à ne pas diffuser
Ce n'est pas un réglage dans un menu, c'est une décision. Le numéro ne se saisit pas dans les formulaires de jeux en ligne, ne s'affiche pas sur les profils publics, ne sert pas à créer un compte sur une plateforme non essentielle. Chaque saisie augmente la probabilité que ce numéro finisse dans une base revendue.
Ce qui ne sert à rien (ou presque)
Il faut le dire clairement, parce que beaucoup de familles s'épuisent sur des dispositifs inefficaces.
| Dispositif | Ce que les parents croient | Ce que ça fait vraiment |
|---|---|---|
| Application de contrôle parental généraliste | « Elle bloque les arnaques » | Filtre le web et les applis, ignore presque toujours le contenu des SMS |
| Blocage d'un numéro d'expéditeur | « Il ne reviendra plus » | Les campagnes changent de numéro à chaque envoi, parfois à chaque destinataire |
| Répondre STOP à un SMS frauduleux | « Je me désinscris » | Confirme que la ligne est active et lue ; à réserver aux vraies campagnes commerciales |
| Lire les SMS de son enfant en douce | « Je surveille » | Détruit la confiance, et l'enfant migre ses conversations ailleurs |
| Téléphone « basique » sans internet | « Pas de smartphone, pas de risque » | Le smishing fonctionne parfaitement sur un téléphone à touches |
Ce dernier point mérite une nuance. Un téléphone simple, sans navigateur, réduit la surface d'attaque : l'enfant ne peut pas ouvrir un faux formulaire bancaire. Beaucoup de familles font ce choix pour l'entrée en sixième, avec un téléphone mobile basique à touches, et c'est défendable. Mais il reste exposé aux numéros surtaxés, aux faux jeux-concours et à l'arnaque au rappel de numéro. Le blocage SMS+ chez l'opérateur redevient alors la mesure principale.
Les trois phrases à lui apprendre
Les réglages tiennent une saison. Les réflexes tiennent des années. Trois formulations suffisent, à condition d'être répétées sans dramatiser.
« Un code reçu par SMS, ça ne se dit à personne. Jamais. Même à moi. »
C'est la règle la plus importante et la plus simple. Aucun service légitime ne demande de communiquer un code reçu par SMS. Aucune exception. En formulant « même à moi », le parent supprime l'ambiguïté et rend la règle facile à tenir face à un escroc qui se fait passer pour un adulte de confiance.
« Un message qui me met la pression, j'attends dix minutes. »
Toute la mécanique du smishing repose sur l'urgence : votre compte sera supprimé, votre colis renvoyé, votre gain expire ce soir. Dix minutes d'attente désamorcent la quasi-totalité des cas. Rien de légitime ne se perd en dix minutes.
« Si j'ai cliqué, je le dis tout de suite, il ne se passera rien de grave. »
C'est la promesse parentale la plus difficile à tenir et la plus utile. La honte est le premier carburant de ces arnaques. Un enfant qui craint la confiscation du téléphone se tait, et le délai transforme un incident anodin en compte perdu. L'engagement doit être explicite : pas de punition pour un aveu rapide.
Le cas particulier des groupes de classe
Dès la sixième, l'essentiel des échanges passe par un groupe. C'est là que circulent les liens les plus dangereux, pour une raison simple : un lien envoyé par un camarade n'est pas perçu comme un lien inconnu.
Le schéma est presque toujours le même. Un élève se fait voler son compte. L'escroc, ou un script automatisé, renvoie le lien piégé à toute sa liste de contacts. Les destinataires reconnaissent l'expéditeur, cliquent, et la chaîne continue. Sur une classe de trente, il suffit d'un maillon.
Quelques points à expliquer à l'enfant :
- Un lien envoyé par un ami peut être envoyé par quelqu'un qui a pris son compte.
- Un message qui ne ressemble pas à la façon habituelle d'écrire de la personne est suspect, même si c'est le bon numéro.
- En cas de doute, on demande de vive voix le lendemain. Pas par message.
- On prévient le camarade concerné : c'est souvent comme ça que la victime découvre le vol de son compte.
Le premier téléphone comme objet, pas seulement comme service
Deux considérations matérielles pèsent sur la sécurité, et on les oublie souvent.
La première, c'est la perte. Un téléphone d'enfant se perd, tombe, reste dans un vestiaire. Ce n'est pas l'appareil qui coûte cher, ce sont les conversations et les comptes qui restent accessibles si l'écran s'allume sans code. Un code à six chiffres, pas un schéma de déverrouillage visible à trois mètres, et la localisation de l'appareil activée dès le premier jour. Certaines familles ajoutent un traceur Bluetooth porte-clés dans le sac, ce qui permet au moins de savoir si le téléphone est resté au gymnase.
La seconde, c'est la batterie. Un téléphone déchargé ne reçoit ni les appels des parents ni les SMS, et l'enfant qui panique devant un écran noir à 18 h prend de mauvaises décisions — emprunter le téléphone d'un inconnu, par exemple. Une batterie externe compacte au fond du cartable règle une bonne partie des situations d'urgence réelles de la semaine.
Enfin, pour les familles qui veulent structurer la discussion plutôt que l'improviser, il existe des guides d'éducation au numérique pour parents qui proposent des séquences de conversation par tranche d'âge. C'est moins spectaculaire qu'une application de surveillance, et nettement plus efficace sur la durée.
Que faire quand le message est déjà arrivé
Un SMS frauduleux sur le téléphone de votre enfant n'est pas un événement exceptionnel, c'est une statistique. La bonne réaction tient en quatre gestes.
- Ne pas répondre, ne pas rappeler, ne pas cliquer. Y compris pour « voir ».
- Transférer le message au 33700, la plateforme officielle de signalement des spams et messages frauduleux, gratuite et opérée sous l'égide des pouvoirs publics avec l'appui de l'Arcep. Le transfert prend dix secondes et alimente le blocage des numéros émetteurs.
- Supprimer le message une fois signalé, pour éviter qu'il soit rouvert par curiosité.
- Faire le point si un lien a été ouvert : changer le mot de passe du compte concerné, vérifier les adresses e-mail de récupération, et surveiller la facture opérateur du mois.
Si un compte a été détourné ou si de l'argent est en jeu, Cybermalveillance.gouv.fr propose un parcours d'assistance gratuit et oriente vers le dépôt de plainte. Pour les contenus concernant un mineur (chantage, diffusion d'images), le point d'entrée est la plateforme PHAROS du ministère de l'Intérieur, ou le 3018, numéro national dédié aux violences numériques chez les jeunes, joignable gratuitement et anonymement.
Ce qu'il faut retenir
Le jour où un enfant reçoit son premier téléphone, l'essentiel se règle en une heure : masquer les aperçus sur l'écran verrouillé, activer le filtrage des expéditeurs inconnus, bloquer les SMS surtaxés chez l'opérateur, verrouiller l'appareil avec un vrai code, et poser la règle du code de vérification qu'on ne communique à personne.
Le reste ne relève pas des réglages. Il relève d'une habitude familiale : parler des messages bizarres comme on parle d'un incident de cour de récré, sans en faire un drame ni un sujet de punition. Les enfants les mieux protégés ne sont pas ceux qui ont le contrôle parental le plus verrouillé. Ce sont ceux qui savent qu'ils peuvent montrer un SMS louche à un adulte sans conséquence.
C'est gratuit, ça ne se désactive pas à la prochaine mise à jour, et ça fonctionne encore à 17 ans.
