Arnaques par SMS et WhatsApp : reconnaître les faux messages de livraison, de banque et de gains

Un message arrive sur votre téléphone : « Votre colis n'a pas pu être livré car l'adresse est incomplète. Cliquez ici pour mettre à jour vos informations. » Si vous attendez vraiment une commande, ce message est très convaincant. Vous touchez le lien, une page très semblable à celle du vrai transporteur s'ouvre, et on vous demande vos coordonnées bancaires pour de petits « frais de relivraison ».

Cette technique s'appelle le smishing (SMS + phishing), autrement dit l'hameçonnage par SMS. Les mêmes pièges sont tendus via WhatsApp, Telegram, l'e-mail et les réseaux sociaux. Ce guide présente les scénarios les plus fréquents, la manière de reconnaître faux messages et faux sites, et ce qu'il faut faire si vous avez déjà cliqué.

Les faux messages les plus courants

Faux messages de livraison et de douane

« Votre colis est retenu en douane, des frais sont à régler », « Livraison échouée, mettez à jour votre adresse. » Ils sont particulièrement fréquents pendant les périodes de forte consommation.

Faux messages bancaires

« Votre compte a été suspendu pour raison de sécurité », « Une opération suspecte a été effectuée avec votre carte, cliquez pour l'annuler », « Votre authentification forte doit être mise à jour. »

Faux messages d'administrations

Faux messages sur un remboursement d'impôts, une amende, la carte Vitale, l'Assurance maladie ou une aide de l'État. « Un remboursement de 245 € est en attente à votre nom, cliquez pour le recevoir. »

Messages de gains et de tirages au sort

« Félicitations ! Vous avez gagné un iPhone lors de notre tirage, payez seulement les frais de port. » On ne gagne pas un concours auquel on n'a pas participé.

Faux emplois et argent facile

« Gagnez 150 € par jour depuis chez vous », « Gagnez de l'argent simplement en aimant des produits. » Ces offres gagnent d'abord votre confiance avec de petits versements, puis vous demandent de verser de l'argent pour une « mission ».

Messages qui semblent venir d'un proche

« Maman, mon téléphone est cassé, voici mon nouveau numéro. Je dois faire un paiement urgent, je t'explique après. » Dans ce scénario, l'escroc se fait passer pour un proche.

Comment les comptes WhatsApp sont volés

Les comptes WhatsApp ont de la valeur pour les escrocs : depuis un compte piraté, on peut envoyer des demandes d'argent à tous les contacts.

• Le piège du code : « Je t'ai envoyé un code à 6 chiffres par erreur, tu peux me le renvoyer ? » Ce code est en réalité celui qui permet d'installer votre compte WhatsApp sur un autre téléphone. Le message vient souvent du compte, déjà piraté, d'un ami.
• Les faux messages d'assistance : « Support WhatsApp : votre compte va être fermé, partagez le code pour le vérifier. » WhatsApp ne vous écrit pas ainsi.
• Les faux liens de sondage ou de concours : des liens partagés dans des groupes qui demandent des identifiants.

8 façons de repérer un faux message

1. L'urgence et la menace : « sous 24 heures », « votre compte sera fermé », « dernier jour ». Les vrais organismes ne vous pressent pas ainsi.
2. Un gain ou une dette inattendus : un lot, un remboursement ou une amende dont vous n'aviez pas connaissance.
3. La présence d'un lien : les organismes n'envoient généralement pas de lien par SMS pour un paiement ou une mise à jour ; ils vous invitent à passer par leur application ou leur site.
4. Une adresse étrange : le lien diffère de l'adresse connue, par exemple « colis-livraison-fr.xyz » pour un transporteur.
5. Une formule impersonnelle : « Cher client », ou aucune formule.
6. Des fautes d'orthographe : pas toujours présentes, mais fréquentes.
7. Une demande de coordonnées bancaires, de mot de passe ou de code : ils ne sont jamais demandés par message ni via un formulaire derrière un lien.
8. Un numéro étranger ou inhabituel : numéros internationaux ou messages « officiels » venant de numéros de portable ordinaires.

Comment repérer un faux site

Si vous avez touché un lien et qu'une page s'est ouverte, vérifiez ceci avant toute saisie :

• Lisez attentivement la barre d'adresse. Les faux sites ressemblent beaucoup à l'adresse réelle : lettres inversées (« rn » au lieu de « m »), mots ajoutés (« -securite », « -assistance », « -paiement ») ou extensions différentes (.xyz, .top, .online).
• Le cadenas ne suffit pas. Le cadenas (https) montre seulement que la connexion est chiffrée, pas que le site est fiable. La plupart des faux sites utilisent aussi le https.
• Méfiez-vous si l'on vous demande trop d'informations. Numéro de carte, date d'expiration, cryptogramme et code SMS demandés ensemble pour une livraison : c'est un énorme signal d'alerte.
• En cas de doute, fermez le site et ouvrez l'application officielle de l'organisme, ou tapez vous-même son adresse.

La règle d'or : ne cliquez pas, allez-y vous-même

Pour tout message prétendant venir d'un organisme, la méthode la plus sûre est : n'utilisez pas le lien du message. À la place :

• Ouvrez l'application officielle de votre banque.
• Saisissez vous-même le numéro de suivi sur le site officiel du transporteur.
• Accédez à impots.gouv.fr ou ameli.fr en tapant vous-même l'adresse.
• En cas de doute, appelez l'organisme sur un numéro officiel que vous connaissez.

S'il y a vraiment un problème, vous le verrez aussi sur le canal officiel.

Que faire si vous avez cliqué ?

Pas de panique ; agissez étape par étape :

Vous avez seulement cliqué, sans rien saisir

• Fermez la page.
• Si une application ou un fichier inconnu (surtout un .apk sur Android) a été téléchargé, ne l'ouvrez pas et supprimez-le.
• Lancez une analyse de sécurité du téléphone.

Vous avez saisi vos coordonnées bancaires

• Appelez immédiatement votre banque pour faire opposition sur la carte.
• Surveillez vos relevés et contestez toute opération inconnue.

Vous avez saisi un mot de passe

• Changez immédiatement le mot de passe de ce compte.
• Changez-le aussi sur les autres comptes qui utilisaient le même.
• Activez la double authentification.

Vous avez partagé un code ou installé une application

• Appelez votre banque et expliquez la situation.
• Supprimez l'application installée. S'il s'agit d'une application de prise de contrôle à distance, déconnectez le téléphone d'Internet et parlez-en à votre banque.
• Si besoin, envisagez de réinitialiser le téléphone.

Dans tous les cas

• Signalez : transférez gratuitement les SMS frauduleux au 33700. Vous trouverez aide et conseils sur cybermalveillance.gouv.fr, et pouvez signaler les sites sur PHAROS. En cas de perte d'argent, portez plainte auprès de la police ou de la gendarmerie.
• Conservez les preuves : gardez une capture du message, le numéro de l'expéditeur et l'adresse du site.

Pour les enfants et les adolescents

Les enfants sont aussi la cible de ces pièges : monnaie de jeu gratuite, abonnements gratuits, faux concours. Apprenez-leur : « Tout message qui promet quelque chose de gratuit et demande tes informations ou ton mot de passe est un piège. Montre-le-moi avant de cliquer. » Vous trouverez plus d'informations dans notre article sur la sécurité dans les jeux en ligne.

Comment Koriva vous aide

La vérification des liens et le filtre web de Koriva bloquent les sites d'hameçonnage connus ; si la famille le souhaite, ils bloquent aussi les sites pour adultes et de jeux d'argent. Cette protection fonctionne sur Android et iPhone. Le filtre web ne filtre que les adresses ; il ne lit ni n'enregistre le contenu des pages visitées. Sur Android, les liens suspects dans les messages reçus par l'enfant sont aussi signalés à la famille. Mais aucune liste ne connaît instantanément chaque nouveau faux site : la règle « ne cliquez pas, allez-y vous-même » reste toujours valable.

Conclusion

Les arnaques par SMS et WhatsApp changent sans cesse de scénario, mais reposent toujours sur les mêmes ressorts : l'urgence, la peur ou la promesse d'un gain, et un lien. Aller vous-même sur le canal officiel plutôt que cliquer, ne jamais partager les codes de validation et activer la validation en deux étapes dans WhatsApp rendent presque tous ces pièges inefficaces.

Pour les arnaques téléphoniques, lisez aussi notre article sur l'arnaque au faux policier.