« J'ai cliqué. J'ai entré ma carte. Et après, j'ai attendu de voir. »
C'est la phrase qui revient le plus souvent dans les récits de victimes, et c'est exactement ce qu'il ne faut pas faire. Dans une arnaque par SMS, le clic n'est presque jamais le moment décisif. Le moment décisif, ce sont les heures qui suivent : celles où l'argent circule encore, où les traces existent encore, où la banque n'a pas encore reçu d'ordre de blocage, et où les captures d'écran qui feront la différence devant un guichet de police sont encore sur le téléphone.
Passé trois jours, tout devient plus difficile. L'opération est débitée, l'URL frauduleuse est désactivée, le numéro émetteur est recyclé, et la victime doit prouver ce qui, quarante-huit heures plus tôt, s'affichait simplement à l'écran.
Voici la chronologie réelle des 72 heures qui suivent un SMS frauduleux, avec ce qui se joue à chaque étape.
Heure 0 à 1 : couper le robinet avant de comprendre
Le premier réflexe n'est pas de comprendre, c'est d'arrêter le flux. Comprendre prend des heures ; un virement frauduleux, lui, met parfois moins de dix minutes à partir.
Si des coordonnées bancaires ont été saisies, il faut faire opposition immédiatement — par l'application bancaire (la plupart proposent désormais le blocage de la carte en deux clics), puis par téléphone au service d'opposition de la banque, disponible 24h/24. En dernier recours, le serveur interbancaire d'opposition carte au 0 892 705 705 fonctionne pour toutes les banques françaises.
Si un code reçu par SMS a été communiqué, c'est plus grave qu'une simple fuite de numéro de carte : le code à usage unique est précisément ce qui valide une opération auprès de la banque. Il faut le signaler explicitement au conseiller, car cela change la qualification de l'incident.
Si des identifiants de banque en ligne ont été saisis, il faut changer le mot de passe depuis un autre appareil, et demander le blocage temporaire de l'accès en ligne.
Si rien n'a été saisi mais que le lien a été ouvert, le risque existe mais reste plus faible : sur un smartphone à jour, la simple visite d'une page ne suffit pas à compromettre l'appareil. Le danger vient des installations d'applications hors boutique officielle — si une installation a été acceptée, il faut désinstaller sans attendre et passer l'appareil en revue.
Règle simple : on bloque d'abord, on réfléchit ensuite. Aucune banque ne reprochera une opposition prononcée par excès de prudence.
Heure 1 à 3 : constituer le dossier de preuves pendant qu'il existe encore
C'est l'étape que presque tout le monde saute, et c'est celle qui décide du remboursement. Une victime qui arrive au commissariat avec une phrase (« j'ai reçu un SMS de ma banque ») n'a pas de dossier. Une victime qui arrive avec sept captures d'écran horodatées en a un.
Ce qu'il faut capturer, dans cet ordre :
| Élément | Pourquoi c'est utile |
|---|---|
| Le SMS entier, avec l'expéditeur affiché | Prouve le spoofing ou le numéro utilisé |
| Le fil de discussion complet, en remontant | Montre si le faux message s'est inséré parmi de vrais messages |
| L'URL exacte du lien (appui long → copier) | Identifie le domaine frauduleux avant sa désactivation |
| La page web frauduleuse, si encore accessible | Preuve de l'imitation de marque |
| Les notifications bancaires reçues | Horodate les opérations contestées |
| Le relevé de compte montrant le débit | Base de la demande de remboursement |
| L'historique d'appels, si un faux conseiller a téléphoné | Établit le scénario complet |
Deux précisions techniques qui comptent.
Ne supprimez pas le SMS. C'est le réflexe émotionnel le plus fréquent — effacer la trace de sa propre honte. Or le message original, encore présent dans la messagerie, reste la pièce la plus solide du dossier. On le capture, et on le laisse en place.
Sauvegardez ailleurs que sur le téléphone. Un appareil qui tombe en panne, se perd ou doit être réinitialisé emporte tout le dossier. Un export des captures vers un espace de stockage distinct, ou vers une clé USB sécurisée que l'on garde chez soi, met le dossier à l'abri. Les conseillers de Cybermalveillance.gouv.fr recommandent systématiquement de conserver une copie hors de l'appareil concerné.
Heure 3 à 12 : les trois signalements qui ne servent pas à la même chose
On confond souvent « signaler » et « porter plainte ». Ce sont trois démarches distinctes, qui produisent des effets différents. Les faire toutes prend moins de trente minutes.
Le 33700 : faire tomber la campagne
Le 33700 est la plateforme officielle de signalement des spams et fraudes par SMS, gérée par l'Association Française du Multimédia Mobile pour le compte des opérateurs français. Le principe : transférer le SMS frauduleux au 33700, puis répondre au message automatique en indiquant le numéro de l'expéditeur.
Ce signalement ne déclenche aucune enquête sur votre cas personnel. En revanche, il alimente la détection collective : au-delà d'un certain volume de signalements, l'opérateur peut bloquer le numéro émetteur et faire retirer le nom de domaine utilisé dans le lien. C'est un geste pour les autres, et il prend trente secondes.
Perceval : contester l'usage frauduleux de la carte
Perceval est le téléservice de la Gendarmerie nationale dédié aux fraudes à la carte bancaire, accessible via FranceConnect. Il s'adresse aux victimes qui sont toujours en possession de leur carte — donc à l'écrasante majorité des cas de smishing, où seules les données ont été volées.
Le signalement Perceval génère un récépissé. Ce document a une valeur concrète : il appuie la demande de remboursement auprès de la banque et alimente les statistiques nationales de la fraude. Il ne remplace pas une plainte, mais il ne la nécessite pas non plus.
Cybermalveillance.gouv.fr : être orienté et documenté
Le dispositif national d'assistance aux victimes d'actes de cybermalveillance propose un parcours en ligne qui pose les bonnes questions et délivre des fiches de conduite à tenir. Utile surtout quand la situation est confuse : plusieurs comptes touchés, doute sur ce qui a été compromis, appareil professionnel concerné.
Heure 12 à 48 : porter plainte, et le faire correctement
Le dépôt de plainte n'est pas facultatif quand des sommes ont été débitées : la banque le demandera presque systématiquement.
Où. Dans n'importe quel commissariat ou brigade de gendarmerie, sans condition de domicile. Le refus de prise de plainte est illégal. En cas de blocage, la plainte peut être adressée directement au procureur de la République du tribunal judiciaire compétent, par courrier recommandé avec accusé de réception.
La pré-plainte en ligne. Le service de pré-plainte en ligne permet de remplir le formulaire à l'avance et de réduire le passage au guichet à une signature. Pratique, mais attention : il ne vaut pas plainte tant qu'elle n'a pas été signée.
Ce qu'il faut emporter. Pièce d'identité, relevé bancaire faisant apparaître les opérations contestées, impressions des captures d'écran, récépissé Perceval si déjà obtenu, et une chronologie écrite des faits — une page suffit, avec dates et heures. Les agents traitent chaque jour des dossiers de ce type ; un dossier ordonné est enregistré plus vite et plus complètement. Un simple porte-documents à soufflets évite d'arriver avec des feuilles volantes et des relevés froissés.
Sur la qualification. Le smishing relève de l'escroquerie (article 313-1 du code pénal), souvent combinée à la collecte frauduleuse de données personnelles et à l'usurpation d'identité (article 226-4-1). Il n'appartient pas à la victime de qualifier les faits, mais mentionner que le message usurpait l'identité d'un organisme précis (banque, assurance maladie, caisse de retraite, service de livraison) aide à rattacher le dossier aux campagnes déjà identifiées.
Heure 48 à 72 : la demande de remboursement, et la loi qui la soutient
C'est le point que les victimes connaissent le moins, et c'est celui qui pèse le plus lourd financièrement.
Le code monétaire et financier est clair : en cas d'opération de paiement non autorisée signalée par l'utilisateur, la banque doit rembourser immédiatement, et au plus tard à la fin du premier jour ouvrable suivant le signalement (article L133-18). Elle ne peut refuser qu'en démontrant une négligence grave de la part du client — et c'est à elle de le prouver, pas au client de prouver son innocence.
Ce point a été renforcé par la jurisprudence de la Cour de cassation, qui a jugé à plusieurs reprises que le seul fait d'avoir communiqué un code reçu par SMS ne suffit pas à caractériser la négligence grave, notamment lorsque la victime a été mise en confiance par un message ou un appel imitant sa banque de façon convaincante.
Concrètement :
- Contestation écrite, adressée à la banque par lettre recommandée avec accusé de réception, reprenant la chronologie, les références des opérations et les pièces jointes. Le délai légal pour contester est de treize mois.
- En cas de refus, saisine du médiateur bancaire — service gratuit, dont les coordonnées figurent sur les relevés de compte et sur le site de la banque.
- En cas d'échec de la médiation, saisine du tribunal, avec l'appui éventuel d'une association de consommateurs. Les dossiers publiés par Que Choisir montrent qu'un nombre significatif de refus initiaux se renversent à ce stade.
Un conseil pratique souvent négligé : conservez une copie papier de chaque courrier envoyé, avec son accusé de réception. Une boîte d'archivage à rabat suffit à tenir un dossier complet sur les mois que peut durer la procédure.
Les erreurs qui font perdre un dossier solide
Quelques comportements, tous compréhensibles, ruinent régulièrement des dossiers qui auraient dû aboutir.
Rappeler le numéro qui a envoyé le SMS. Dans le meilleur des cas, cela ne donne rien. Dans le pire, cela relance le scénario : l'escroc se présente alors comme le « service fraude » et obtient ce qu'il n'avait pas encore.
Attendre de voir si l'argent revient tout seul. Il ne revient pas. Et chaque jour passé affaiblit l'argument de la réactivité.
Réinitialiser le téléphone dans la panique. Geste parfois utile après une installation douteuse, mais désastreux s'il est fait avant la sauvegarde des preuves.
Payer pour « récupérer » l'argent perdu. Les listes de victimes circulent, et une deuxième vague de sollicitations arrive souvent quelques semaines plus tard, sous couvert de recouvrement ou d'assistance juridique. Aucun organisme légitime ne demande un paiement préalable pour restituer des fonds volés.
Ne rien dire à son entourage. La honte est le meilleur allié de l'escroc. Les signalements de la Banque de France pointent une hausse continue des escroqueries dites « par manipulation », précisément parce qu'elles jouent sur l'isolement de la victime.
Après : refermer les portes ouvertes
Une fois la partie urgente traitée, reste le nettoyage. Il prend une soirée.
- Changer les mots de passe des comptes liés à l'adresse e-mail utilisée, en commençant par la messagerie elle-même. Un gestionnaire de mots de passe évite de répéter l'erreur du mot de passe unique ; pour ceux qui préfèrent le papier, un carnet de mots de passe rangé hors de vue reste infiniment plus sûr qu'un même mot de passe partout.
- Activer l'authentification à deux facteurs partout où c'est possible, de préférence via une application dédiée plutôt que par SMS. Pour les comptes sensibles, une clé de sécurité physique FIDO2 élimine la catégorie entière des attaques par code intercepté.
- Vérifier les prélèvements récurrents sur les trois derniers relevés : certaines fraudes s'installent sous forme d'abonnements discrets à quelques euros.
- Surveiller son dossier bancaire : en cas d'usurpation d'identité plus large, le droit d'accès au fichier central des chèques et au FICP se demande directement auprès de la Banque de France.
- Expliquer autour de soi ce qui s'est passé. C'est la mesure de prévention la plus efficace connue, et la moins coûteuse. Les ouvrages de vulgarisation sur la cybersécurité domestique aident à faire passer le message auprès des proches qui ne liront pas une fiche administrative.
Ce qu'il faut retenir
Une arnaque par SMS n'est pas une fatalité financière. Le droit français protège les victimes d'opérations non autorisées, les dispositifs de signalement existent et sont gratuits, et les banques cèdent souvent devant un dossier documenté. Mais tout repose sur une denrée périssable : la trace.
Bloquer dans l'heure, capturer dans les trois heures, signaler dans la journée, porter plainte dans les deux jours, contester par écrit dans les trois jours. Cette séquence, tenue dans l'ordre, transforme une victime en dossier. Et un dossier, contrairement à un récit, obtient des réponses.
Numéros et services utiles : 33700 (signalement SMS frauduleux), 0 892 705 705 (opposition carte bancaire interbancaire), 17 (police-secours), Perceval via FranceConnect, Cybermalveillance.gouv.fr, service de pré-plainte en ligne du ministère de l'Intérieur.
