Qu'est-ce que le « smishing » ? Comment fonctionne le hameçonnage par SMS et comment s'en protéger ?

Le « smishing » est une forme de « phishing » par SMS. Au lieu d’un e-mail, le pirate envoie un SMS ou un message via une application de messagerie instantanée, dans l’espoir que vous cliquiez sur un lien, que vous lui communiquiez vos identifiants ou que vous validiez un paiement. Ce terme est une contraction de « SMS » et de « phishing » ; hormis le canal utilisé, la technique est exactement la même : quelqu’un se fait passer pour une personne en qui vous avez confiance et compte sur le fait que vous agissiez avant même de réfléchir.

C'est le canal de communication qui rend cette pratique dangereuse. Un SMS arrive sur l'appareil que vous consultez des dizaines de fois par jour, généralement pendant que vous êtes occupé à autre chose. Nous allons voir ci-dessous pourquoi le téléphone est un terrain si propice à ce type d'attaques, comment reconnaître une tentative de « smishing », quoi faire si vous avez déjà cliqué sur le lien, et comment les entreprises préparent leurs collaborateurs à y faire face.

Pourquoi un SMS est-il un appât si efficace ?

Depuis trente ans, le courrier électronique est entouré d’un véritable dispositif de protection. Filtres anti-spam, analyseurs de liens, bannières vous avertissant qu’un message provient de l’extérieur de l’entreprise : avant qu’un e-mail de hameçonnage n’atteigne votre boîte de réception, il a déjà franchi plusieurs barrières de sécurité. Un SMS, en revanche, ne passe pratiquement aucune de ces barrières et atterrit dans le même fil de discussion que les messages de votre dentiste et de votre livreur.

Il y a également un aspect psychologique. Les écrans sont petits : l’expéditeur apparaît sous forme de numéro et le lien est raccourci au point d’être méconnaissable. Les gens lisent leurs messages debout, dans une file d’attente ou entre deux réunions, et ils répondent rapidement, car c’est à cela que servent les SMS. Les pirates misent sur cette même rapidité avec une variante de l’appel vocal appelée « vishing », et ils combinent de plus en plus les deux : un SMS annonçant un appel, ou un appel vous demandant de vérifier vos messages.

Enfin, c'est sur le téléphone que se trouvent les codes importants. Qu'il s'agisse d'un code à usage unique pour une connexion, d'une confirmation bancaire ou d'une notification d'approbation : si un pirate parvient à vous faire lire l'un de ces codes à voix haute ou à le saisir sur une fausse page, le deuxième facteur d'authentification censé vous protéger devient alors une porte d'entrée.

Comment reconnaître un message de « smishing »

La plupart des tentatives de smishing suivent un petit nombre de schémas récurrents. Une fois que vous les avez repérés, ils sont difficiles à manquer, et c’est précisément pour cette raison qu’il est plus efficace d’apprendre aux gens à reconnaître ces schémas plutôt que de leur présenter chaque arnaque individuellement.

• Une urgence inattendue. Un colis ne peut pas être livré, un compte va être fermé, une amende arrive à échéance aujourd’hui. Le message vise à vous pousser à agir avant même que vous ayez pu vérifier quoi que ce soit.
• Un lien qui ne correspond pas à l'expéditeur. Les véritables organisations utilisent leur propre nom de domaine. Les liens raccourcis, les noms de domaine similaires comportant un mot supplémentaire ou une adresse se terminant par un code pays inconnu sont autant de raisons de ne pas cliquer.
• Une demande concernant des informations qu'aucune entreprise ne vous demanderait par SMS. Vos identifiants de connexion, le numéro complet de votre carte bancaire ou le code à usage unique que vous venez de recevoir. Une banque ne vous demandera jamais de lui communiquer ces informations, pas plus que votre service informatique.
• Un petit paiement pour débloquer quelque chose de plus important. Quelques euros de frais de douane pour un colis, une somme dérisoire pour reprogrammer une livraison. Le montant est volontairement modeste, car il semble suffisamment anodin pour qu’on se dise qu’il vaut mieux en finir avec ça.
• Un numéro à la place d'un nom, ou un nom légèrement erroné. Des messages provenant d'un numéro de portable inconnu prétendant provenir d'une entreprise, ou d'une marque connue dont le nom est orthographié ou espacé de manière étrange.
• Un code QR dans le message ou sur la page vers laquelle renvoie le lien. Cette technique recoupe celle du « quishing », où la destination malveillante est dissimulée à l'intérieur du code, de sorte qu'aucun filtre ne puisse la détecter.
• Un nouveau collègue ou un responsable pressé. Le scénario classique : un message prétendant provenir d’un directeur, envoyé depuis un nouveau numéro, demandant des cartes-cadeaux, un virement rapide ou une faveur qui doit rester confidentielle.

Une règle utile pour les équipes : c'est la demande elle-même qui est le signal d'alerte, et non l'expéditeur. Tout message demandant des identifiants, des codes ou des paiements doit faire l'objet d'une vérification via un canal que vous aurez vous-même choisi, même si l'expéditeur semble fiable. D'autres variantes de ce schéma sont répertoriées dans notre aperçu des différents types d'attaques de hameçonnage.

Que faire si vous avez déjà cliqué ?

Cliquer sur un lien n'est pas la fin du monde, et c'est justement en le considérant ainsi qu'on empêche les gens de s'exprimer. Ce qui compte, c'est ce qui se passe dans les minutes qui suivent.

1. Ne saisissez rien d'autre. Si une page vous demande un identifiant, un code ou les informations d'une carte bancaire, fermez-la. Un simple lien est bien moins dangereux qu'un formulaire que vous auriez rempli.
2. Modifiez le mot de passe si vous en avez saisi un. Faites-le à partir d'un appareil de confiance, et modifiez-le partout où vous l'avez réutilisé. C'est généralement cette réutilisation qui pose problème.
3. Vérifiez votre authentification à deux facteurs. Si vous avez validé une demande de connexion ou communiqué un code à usage unique, il se peut qu'une personne ait actuellement accès à votre compte. Déconnectez-vous de toutes vos sessions et vérifiez s'il y a de nouveaux appareils ou des règles de redirection.
4. Signalez-le immédiatement en interne. Votre service informatique ou votre équipe de sécurité pourra bloquer le domaine, alerter les collègues qui ont reçu le même message et vérifier si des données ont été dérobées. Signaler rapidement l'incident est la chose la plus importante qu'un employé puisse faire.
5. Conservez le message. Une capture d'écran indiquant l'expéditeur et le lien aide énormément à évaluer l'ampleur de la campagne. Ne le supprimez qu'une fois que vous l'aurez transmis.

Remarquez ce qui manque dans cette liste : le sentiment de culpabilité. Dans les organisations où un clic par erreur donne lieu à une conversation gênante, la personne suivante garde le silence, et c'est ce silence qui transforme un simple clic en incident.

Comment les organisations réduisent-elles ce risque ?

Les mesures techniques sont utiles, mais leur portée est plus limitée que dans le cas des e-mails. Les opérateurs de téléphonie mobile filtrent certaines des campagnes les plus malveillantes, et l’authentification multifactorielle (MFA) utilisant une clé matérielle ou une invite d’application liée au site réduit considérablement la valeur d’un code volé. Au-delà de cela, la défense repose principalement sur l’intervention humaine.

L'approche pratique consiste à faire de la reconnaissance et du signalement une habitude plutôt qu'une simple politique. Des exercices courts et réguliers s'avèrent plus efficaces qu'une seule session annuelle, car les escroqueries évoluent tous les quelques mois. Organiser une simulation de hameçonnage vous permet de connaître votre niveau réel de vigilance, plutôt que celui que vous imaginez, et offre aux participants un cadre sécurisant où ils peuvent se tromper sans risque. Définissez une procédure de signalement claire et simple, accessible d’un simple clic, et remerciez les personnes qui l’utilisent, y compris celles qui se sont avérées avoir transmis un message inoffensif.

Comment Guardey aide votre équipe à repérer le « smishing »

La formation à la sensibilisation à la sécurité proposée par Guardey propose à vos collègues des défis hebdomadaires d’environ trois minutes, dont le contenu s’inspire des menaces qui circulent réellement. Le « smishing », les faux avis de livraison et les codes demandés par messagerie instantanée sont exactement le genre de scénarios qui apparaissent dans ces défis, et la gamification, avec des classements et des séries de succès, incite les participants à revenir après la première semaine.

Comme les collaborateurs suivent leur formation via l’application mobile pour iOS et Android, ils s’entraînent sur le même appareil que celui sur lequel ces messages arrivent, ce qui rend la formation plus concrète. Des simulations de hameçonnage intégrées permettent de vérifier si la prise de conscience se traduit par un changement de comportement, tandis que des rapports prêts pour les audits transforment l’ensemble de ces données en preuves conformes à des référentiels tels que NIS2 et ISO 27001. La mise en place ne prend que quelques minutes, et plus de 500 organisations fonctionnent déjà de cette manière, dont le Parlement européen.

Foire aux questions sur le smishing

Quelle est la différence entre le phishing, le smishing et le vishing ?

L'objectif est le même, seul le canal diffère. Le phishing se fait par e-mail, le smishing par SMS ou message instantané, et le vishing par appel téléphonique. Les pirates combinent souvent ces techniques au sein d'une même campagne, car un message confirmé par un appel téléphonique semble plus crédible que chacun de ces moyens pris isolément.

Peut-on se faire pirater simplement en ouvrant un SMS ?

Le simple fait d'ouvrir un message ne suffit presque jamais à lui seul. Le risque commence lorsque vous cliquez sur le lien, puis que vous saisissez des informations sur la page qui s'affiche, ou lorsque vous installez une application qui vous est proposée. C'est pourquoi il est conseillé de s'arrêter au stade du lien plutôt que de céder à la panique après avoir lu le message.

Les employés doivent-ils signaler un message de « smishing » reçu sur leur téléphone personnel ?

Oui, dès lors que cela a un rapport quelconque avec le travail : un message prétendant provenir d’un collègue, d’un fournisseur ou du service informatique doit être signalé, quel que soit l’appareil sur lequel il a été reçu. Précisez clairement que le signalement porte sur le message lui-même et non sur l’inspection du téléphone personnel de qui que ce soit, sinon les gens hésiteront à le faire.

La MFA offre-t-elle une protection contre le smishing ?

C'est utile, mais toutes les méthodes ne se valent pas. Un code envoyé par SMS peut faire l'objet d'une tentative d'hameçonnage aussi facilement qu'un mot de passe, puisqu'il suffit à l'attaquant de le demander. Les méthodes liées au site légitime, comme une clé matérielle ou une invite via une application, sont nettement plus difficiles à exploiter de cette manière.

Le smishing fonctionne parce qu’il prend les gens au dépourvu ; cela signifie que la meilleure défense n’est pas un filtre plus performant, mais un moment d’hésitation au bon moment. Les équipes qui s’entraînent à faire cette pause et qui facilitent le signalement sans porter de jugement transforment le téléphone, qui est normalement le canal le plus vulnérable, en un canal où tout message suspect est signalé en quelques minutes.