Réponse courte : oui, ouvrir un compte dans une banque en ligne ou une néobanque (Boursobank, Fortuneo, Hello bank!, Revolut, N26, Nickel, Monabanq…) déclenche une série de SMS parfaitement normaux : code de vérification du numéro, confirmation de pièce d'identité, activation de la carte, notification de premier virement. Ils sont gratuits à la réception et ne demandent jamais de communiquer un code, un mot de passe ou un IBAN par SMS. Tout message qui le fait est une arnaque : transférez-le au 33700.
Mis à jour le 3 novembre 2026.
Une ouverture de compte 100 % en ligne, c'est une dizaine de minutes sur un écran — et une quinzaine de SMS dans la demi-journée qui suit. Le numéro de téléphone est devenu la clé de voûte de tout le processus : c'est lui qui prouve que vous êtes joignable, lui qui reçoit les codes, lui qui validera plus tard chaque paiement en ligne.
Ce moment est donc une fenêtre idéale pour les escrocs. Vous attendez des messages, vous ne connaissez pas encore les expéditeurs habituels de votre nouvelle banque, et vous êtes dans un état d'esprit coopératif : « il faut finir le dossier ». Un faux SMS glissé au bon moment passe presque inaperçu. Voici comment faire le tri, message par message.
Quels SMS reçoit-on vraiment après une ouverture de compte ?
Une ouverture de compte en ligne génère quatre familles de messages, toujours dans le même ordre.
- Le code de vérification du numéro, dans les secondes qui suivent la saisie de votre mobile. Quatre à huit chiffres, pas de lien, souvent la mention « ne communiquez ce code à personne ».
- Les étapes du dossier : pièce d'identité reçue, justificatif de domicile illisible à renvoyer, dossier en cours d'étude, compte ouvert. Ces messages renvoient vers votre espace client ou vers l'application, pas vers un formulaire.
- La carte bancaire : expédition, puis activation, puis code confidentiel (chez certains acteurs le code est consultable dans l'application, jamais envoyé par SMS).
- Les notifications de vie du compte : premier virement entrant, premier paiement, authentification forte pour un achat en ligne (dispositif dit 3-D Secure).
Ces SMS arrivent soit d'un numéro court (36xxx, 38xxx), soit d'un expéditeur alphanumérique affichant un nom de marque, parfois d'un numéro mobile de plateforme d'envoi. Cette variété est normale : les banques passent par des prestataires d'envoi de SMS professionnels, et la route emprunt. Si vous voulez comprendre comment identifier l'émetteur, notre guide pour décoder un numéro court ou un expéditeur alphanumérique détaille la méthode.
Un SMS bancaire légitime ne vous demande rien d'autre que d'ouvrir votre application ou de vous rendre sur votre espace client. Il ne pose aucune question.
Pourquoi reçoit-on autant de SMS d'un coup ?
Parce que l'entrée en relation à distance est encadrée. Un établissement de paiement ou de crédit doit vérifier votre identité avant d'ouvrir le compte : c'est l'obligation de vigilance issue du code monétaire et financier (articles L. 561-5 et suivants), que l'ACPR, autorité de contrôle prudentiel et de résolution, rappelle régulièrement dans ses lignes directrices.
À cela s'ajoute l'authentification forte imposée par la directive européenne sur les services de paiement (DSP2), transposée en France depuis 2019 : deux facteurs parmi « ce que vous savez », « ce que vous possédez » et « ce que vous êtes ». Dans la pratique, pour la majorité des clients, le second facteur reste le téléphone — code par SMS ou validation dans l'application. D'où cette avalanche de messages dans les premiers jours, puis un rythme qui se calme.
Un détail utile : la Banque de France et la Fédération bancaire française poussent depuis plusieurs années vers la validation dans l'application plutôt que par SMS, précisément parce que le SMS est interceptable. Si votre nouvelle banque propose ce mode, activez-le dès le premier jour : c'est le meilleur réglage de sécurité gratuit à votre disposition.
Comment reconnaître un faux SMS d'ouverture de compte ?
Les faux messages exploitent trois scénarios. Les voici comparés aux vrais.
| Le message dit… | Un vrai établissement | Un escroc |
|---|---|---|
| « Votre dossier est incomplet, régularisez ici » | Vous invite à ouvrir l'application ou votre espace client | Met un lien court vers un domaine inconnu, avec délai de 24 h |
| « Confirmez votre identité » | Demande un document via l'espace sécurisé | Demande une photo de pièce d'identité par retour de SMS ou sur une page web |
| « Votre compte est bloqué » | Vous appelle ou écrit dans la messagerie sécurisée | Donne un numéro à rappeler, souvent un 09 ou un 06 |
| « Communiquez le code reçu » | Ne le demande jamais | Vous appelle juste après pour l'obtenir |
| « Votre carte va être expédiée, payez 1,90 € de frais » | Les frais figurent dans la tarification, jamais par SMS | Capture votre carte bancaire sur une page de paiement |
Le signal le plus fiable reste le lien. Un SMS bancaire authentique contient rarement une URL, et quand il en contient une, elle pointe vers le domaine principal de l'établissement. Un lien raccourci, un domaine composé (du type « monabanq-securite-client », « revolut-verif ») ou une extension exotique suffisent à classer le message.
Second signal : la demande d'action immédiate. Aucune banque ne ferme un compte en deux heures par SMS. L'urgence est l'outil de travail de l'escroc.
Troisième signal : l'appel qui suit. La séquence « SMS puis appel d'un faux conseiller » est devenue la méthode dominante ; nous l'avons décortiquée dans l'article consacré à l'arnaque au faux conseiller bancaire. Retenez la règle : un conseiller ne vous demande jamais un code reçu par SMS, ni de déplacer votre argent vers un « compte de sauvegarde ».
Pourquoi un faux SMS peut s'afficher dans la vraie conversation de ma banque ?
Parce que l'expéditeur alphanumérique n'est pas une preuve d'identité. Un message envoyé avec le nom « BOURSOBANK » ou « REVOLUT » se range automatiquement dans le fil existant portant ce nom, à côté des vrais codes. C'est l'usurpation d'expéditeur, ou spoofing.
Depuis le 1er octobre 2024, un mécanisme d'authentification des appels et un filtrage des expéditeurs alphanumériques ont été mis en place par les opérateurs français sous l'impulsion de l'Arcep, dans le cadre de la loi du 24 juillet 2020 contre le démarchage téléphonique abusif. Le dispositif a réduit le phénomène sans l'éteindre : les campagnes passent désormais par des routes internationales ou par des équipements pirates. Nous avons décrit ce fonctionnement dans l'article sur le spoolfing d'expéditeur et le fil de discussion de votre banque.
Conséquence pratique : la position d'un message dans votre application de messages ne dit rien de sa légitimité. Seul le contenu compte.
Que faire des pièces d'identité envoyées pendant l'inscription ?
C'est le point aveugle de l'ouverture de compte en ligne. En dix minutes, vous avez photographié votre carte d'identité, un justificatif de domicile, parfois un avis d'imposition et un bulletin de salaire. Ces photos restent dans la galerie du téléphone, puis dans la sauvegarde cloud, puis dans l'historique de la conversation si vous les avez envoyées par message.
Trois gestes utiles :
- Supprimer les photos de documents de la galerie et de la corbeille une fois le compte ouvert, y compris dans la sauvegarde automatique.
- Numériser plutôt que photographier quand vous avez des documents à fournir régulièrement : un scanner portable à alimentation USB produit un fichier propre que vous maîtrisez, sans passer par la pellicule du téléphone.
- Chiffrer ce que vous conservez : si vous gardez une copie de vos justificatifs, une clé USB chiffrée matériellement vaut mieux qu'un dossier « Papiers » dans le cloud.
Pourquoi tant de précautions ? Parce qu'une pièce d'identité volée est la matière première des ouvertures de compte frauduleuses — et parce qu'un escroc qui connaît votre nom, votre adresse et votre banque écrit des SMS infiniment plus crédibles. Nous détaillons ce circuit dans l'article sur la fuite de données derrière les SMS trop bien renseignés.
Les réglages à faire le premier jour
Une ouverture de compte est le bon moment pour verrouiller la partie téléphone, parce que tout est encore neuf.
- Activer la validation dans l'application plutôt que le code SMS, si l'établissement le propose (généralement dans Profil → Sécurité → Méthode d'authentification).
- Mettre un code PIN sur la carte SIM, trop souvent laissé désactivé. Sur iPhone : Réglages → Données cellulaires → Code PIN de la SIM. Sur Android : Paramètres → Sécurité → Verrouillage de la carte SIM. Cela empêche l'usage de votre SIM dans un autre appareil.
- Masquer le contenu des notifications sur l'écran verrouillé : un code à six chiffres lisible sans déverrouiller le téléphone, c'est un code offert à qui regarde par-dessus votre épaule.
- Protéger la ligne contre le SIM swapping : demandez à votre opérateur de noter une opposition à toute commande de nouvelle SIM sans présentation physique d'une pièce d'identité. Le sujet est traité dans notre guide sur le vol de numéro par SIM swapping et eSIM.
- Noter les expéditeurs légitimes : le nom alphanumérique et le numéro court utilisés par votre banque lors des premiers messages. Un carnet de notes à couverture rigide suffit, et il ne se fait pas pirater.
Pour les personnes qui jonglent entre plusieurs comptes et plusieurs applications d'authentification, une clé de sécurité physique compatible FIDO2 constitue le niveau au-dessus : elle ne fonctionne pas encore partout chez les banques françaises, mais elle protège l'adresse e-mail de secours, qui est souvent le vrai point faible.
Le code n'arrive pas : arnaque ou simple panne ?
Dans la grande majorité des cas, c'est une panne, pas une attaque. Les causes classiques : saturation de la plateforme d'envoi aux heures de pointe, filtrage par l'opérateur d'un message contenant un lien, numéro mal saisi (un chiffre inversé), ligne en itinérance, mémoire SIM pleine sur les anciens téléphones, ou blocage d'un numéro court précédemment mis en liste noire.
La marche à suivre, dans l'ordre :
- Attendez deux minutes avant de redemander un code : chaque nouvelle demande invalide la précédente, et deux codes concurrents suffisent à bloquer la validation.
- Vérifiez le numéro affiché dans le formulaire, chiffre par chiffre.
- Basculez en 4G/5G puis en Wi-Fi, ou activez puis désactivez le mode avion pour forcer un rattachement au réseau.
- Contrôlez votre liste de numéros bloqués et vos filtres anti-spam.
- Si rien n'arrive au bout de 30 minutes, demandez un autre canal (appel vocal, validation en application, e-mail).
Notre article dédié aux codes de vérification qui arrivent en retard ou jamais détaille chaque cas de figure, et la page dépannage des SMS non reçus regroupe les diagnostics du site.
Attention au cas inverse : si vous recevez un code que vous n'avez pas demandé, pour un compte que vous venez d'ouvrir, quelqu'un essaie de se connecter. Ne communiquez rien, changez le mot de passe depuis l'application, et signalez l'incident à l'établissement.
J'ai cliqué : que faire dans l'heure ?
Un faux lien bancaire capture en général trois choses : vos identifiants, votre numéro de carte, puis un code d'authentification réclamé par téléphone. Si vous avez saisi quelque chose :
- Faites opposition sur la carte depuis l'application, ou via le serveur interbancaire au 0 892 705 705.
- Changez le mot de passe de l'espace client, puis celui de l'adresse e-mail associée.
- Appelez votre banque au numéro figurant sur votre carte ou sur le site officiel — jamais celui du SMS.
- Signalez le message au 33700 en le transférant, puis envoyez le numéro de l'expéditeur dans le SMS de réponse. Le service est gratuit depuis les quatre opérateurs. Voir la page signaler un SMS au 33700.
- Déposez plainte et conservez des captures d'écran. En cas de débit non autorisé, les articles L. 133-18 et suivants du code monétaire et financier prévoient un remboursement par la banque, sauf négligence grave de votre part — la jurisprudence de la Cour de cassation étant plutôt favorable au client lorsqu'il y a eu usurpation d'identité de la banque.
- Déclarez l'incident sur cybermalveillance.gouv.fr, qui oriente vers les démarches adaptées.
Les 72 heures qui suivent un clic sont décisives : nous les avons chronométrées dans ce qu'il faut faire après avoir été piégé par un SMS.
En résumé
- Les SMS d'une ouverture de compte en ligne sont nombreux, gratuits, et ne posent jamais de question.
- Un vrai message vous renvoie à l'application ou à l'espace client ; un faux vous envoie sur un lien ou un numéro à rappeler.
- Le nom affiché et la place du message dans la conversation ne prouvent rien : l'usurpation d'expéditeur existe.
- Passez à la validation en application dès le premier jour, protégez la SIM par un code, masquez les notifications.
- En cas de doute : zéro réponse, appel à la banque par un numéro que vous avez vous-même trouvé, transfert au 33700.
Questions fréquentes
Une banque en ligne peut-elle m'envoyer un SMS depuis un 06 ? Oui, cela arrive quand l'établissement passe par une plateforme d'envoi qui utilise des numéros mobiles longs, notamment pour les messages transactionnels. Ce n'est donc pas un signe d'arnaque en soi — mais c'est un message qu'il faut lire avec plus d'attention qu'un numéro court connu.
Dois-je répondre STOP aux SMS commerciaux de ma nouvelle banque ? Oui pour les offres promotionnelles : la réponse STOP est obligatoire et gratuite sur les campagnes publicitaires. En revanche, ne répondez jamais STOP à un message suspect : cela confirme que votre numéro est actif.
Un SMS peut-il réellement servir à ouvrir un compte à mon nom ? Pas à lui seul. Mais combiné à une pièce d'identité volée et à un code intercepté, il permet de franchir les vérifications à distance. C'est pourquoi la protection du numéro et la destruction des photos de documents comptent autant.
Comment vérifier le numéro court qui m'a écrit ? Les numéros courts SMS français sont attribués par l'AF2M sous le contrôle de l'Arcep. La page numérotation et numéros courts du site explique les tranches et la méthode pour remonter à l'émetteur.
Le 33700 traite-t-il aussi les faux SMS bancaires ? Oui. Le 33700, géré par l'association Signal Spam et les opérateurs, reçoit les signalements de SMS frauduleux quel que soit le secteur usurpé, et permet le blocage des numéros émetteurs.
