2.2Smishing & vishing (SMS & appels frauduleux)
L'essentiel en 30 secondes
- Le numéro affiché ne prouve rien : l'usurpation d'affichage montre le vrai numéro de la banque — un numéro ne s'authentifie pas.
- Aucune banque ne demande codes ou validations par téléphone : « conseiller » qui réclame un code = fraude — le code reçu ne se donne jamais.
- Rappel maîtrisé : raccrocher puis rappeler soi-même le numéro officiel — on ne juge pas dans l'urgence, on raccroche.
Mini-cas filé — Karim reçoit l'appel d'un « faux conseiller »
Suite du niveau : Karim reçoit un appel affichant le numéro de sa banque. Un « conseiller » très professionnel l'alerte d'opérations frauduleuses en cours et lui demande de valider leur annulation avec un code reçu par SMS. Karim reconnaît le scénario du faux conseiller bancaire : au lieu de juger dans l'urgence, il applique son protocole — « je raccroche et je rappelle moi-même » — puis appelle le numéro officiel : aucun problème sur son compte. Le SMS frauduleux reçu la veille part au 33700.
Modèle pédagogique : les répliques citées illustrent le scénario à reconnaître, pas des instructions d'attaque.
1. Le phishing hors de l'e-mail
Le phishing ne passe pas que par l'e-mail. Le smishing (SMS frauduleux) et le vishing (appel frauduleux) sont en forte croissance — souvent plus efficaces car le canal paraît moins suspect. Typologies : faux SMS de livraison, faux SMS bancaires, faux conseillers (banque, support technique, opérateur). Karim a cumulé les deux en 48 h : un SMS, puis l'appel.
2. Le numéro affiché ne prouve rien
L'usurpation d'affichage (spoofing) fait afficher le VRAI numéro de la banque : le numéro affiché ne prouve plus rien. Règle d'or : aucune banque ne fait valider d'opérations ni demander de codes par téléphone — ni virement « de sécurité ». Et connaître des détails personnels (nom, banque) ne prouve rien non plus : fuites de données et informations publiques rendent les scénarios crédibles.
3. La parade universelle
Le rappel maîtrisé : raccrocher et rappeler soi-même le numéro officiel (dos de la carte, site officiel). Sur SMS : jamais le lien ; ouvrir soi-même l'application officielle pour vérifier. Transférer les SMS frauduleux au 33700. Ce protocole résiste même aux fraudeurs les plus convaincants, parce qu'il ne dépend pas du jugement dans l'urgence.
🔎 Exemple concret — 🔎 Exemple concret — La phrase qui clôt 100 % des fraudes
La réponse type de Karim, dite poliment (modèle pédagogique) :
« Je vous remercie, je raccroche et je rappelle moi-même l'agence. »
SMS : ne pas cliquer ; ouvrir l'app/le site officiel soi-même.
Transférer le SMS frauduleux au 33700.Lecture : un protocole qui résiste aux fraudeurs les plus convaincants.
Leçon : il ne dépend pas de votre jugement dans l'urgence.
Vocabulaire de la section
- Smishing
- Le phishing par SMS : faux colis, fausse alerte bancaire ou faux compte, avec un lien piégé.
Exemple simple : Karim reçoit un faux SMS de livraison avec un lien à cliquer.
Ce que ce n'est pas : un SMS attendu (code de suivi d'un vrai colis) vérifié dans l'application officielle.
Réflexe : SMS + lien = jamais le lien, vérification dans l'app officielle.
- Vishing
- Le phishing par téléphone : un « conseiller » ou « technicien » très professionnel guide la victime vers la fraude.
Exemple simple : Le « conseiller » de Karim le presse de valider des opérations par téléphone.
Ce que ce n'est pas : un appel que l'on a soi-même passé au numéro officiel de sa banque.
Réflexe : appel inattendu + demande d'action = raccrocher, rappeler soi-même.
- Faux conseiller bancaire
- Le scénario type : de prétendues opérations frauduleuses en cours, et la victime « valide l'annulation » — en réalité elle valide les virements du fraudeur.
Exemple simple : « Donnez-moi le code reçu par SMS pour annuler » : Karim refuse et raccroche.
Ce que ce n'est pas : une vraie banque qui invite à passer en agence ou dans l'application.
Réflexe : code reçu par SMS + appel = fraude, toujours.
- Usurpation d'affichage (spoofing)
- Technique affichant un faux numéro d'appelant — y compris le vrai numéro de la banque : le numéro affiché ne prouve plus rien.
Exemple simple : Le téléphone de Karim affiche le numéro authentique de sa banque… sans que ce soit elle.
Ce que ce n'est pas : le numéro que l'on compose soi-même depuis une source officielle.
Réflexe : ne jamais authentifier un appelant par le numéro affiché.
- Rappel maîtrisé
- La parade universelle : raccrocher et rappeler soi-même le numéro officiel (dos de la carte bancaire, site officiel).
Exemple simple : Karim rappelle sa banque au numéro connu : aucun problème sur son compte.
Ce que ce n'est pas : rester en ligne et « vérifier » avec l'appelant lui-même.
Réflexe : préparer la phrase à l'avance pour la dire sans hésiter.
En pratique — En pratique — Le protocole anti-vishing à installer
- Mémorisez la règle d'or : votre banque ne vous demandera JAMAIS par téléphone de valider une opération, donner un code reçu par SMS ou faire un virement « de sécurité ».
- Scénarisez votre réponse type : « Je vous remercie, je raccroche et je rappelle moi-même l'agence » — dite poliment, elle clôt 100 % des fraudes.
- Sur SMS : ne cliquez jamais le lien ; ouvrez vous-même l'application ou le site officiel concerné pour vérifier.
- Transférez les SMS frauduleux au 33700 (plateforme officielle de signalement des spams SMS).
Script prêt à dire — répondre à un appel suspect (15 s)
« Je vous remercie de m'avoir prévenu. Par principe, je ne valide jamais rien par téléphone : je raccroche et je rappelle moi-même ma banque au numéro officiel. Bonne journée. »
À dire poliment puis raccrocher vraiment ; rappeler ensuite le numéro officiel connu (dos de carte, site officiel).
Modèle copier-coller — protocole anti-vishing
RÈGLE D'OR : banque = jamais de code ni de validation par téléphone.
APPEL SUSPECT → dire la phrase → raccrocher → rappeler le n° officiel : _______________
SMS SUSPECT → ne pas cliquer → vérifier dans l'app officielle → transférer au 33700.
CODE DONNÉ PAR ERREUR → appeler la banque aussitôt (n° officiel) + changer mots de passe + garder traces.Faux support technique
« Technicien » demandant un accès à distance : même protocole — raccrocher, rappeler le support au numéro officiel.
PME Algérie
Karim enregistre le numéro officiel de sa banque en favoris pour rappeler sans chercher dans l'urgence.
SMS de livraison
Faux colis : ne pas cliquer ; suivre le colis dans l'application du transporteur ou sur le site tapé soi-même.
Proche / collègue pressant
Demande d'argent urgente par message : rappeler la personne sur son numéro connu avant tout.
✓ Bonnes pratiques
- Raccrochez et rappelez toujours le numéro officiel vous-même.
- Ne cliquez jamais un lien de SMS : ouvrez l'app officielle.
- Signalez les SMS frauduleux au 33700.
✗ Pièges fréquents
- Prendre le numéro affiché pour une preuve (spoofing).
- Donner un code reçu par SMS à un « conseiller ».
- Valider une opération « de sécurité » au téléphone.
Points clés à retenir
- Le numéro affiché (téléphone ou SMS) peut être usurpé : il ne constitue pas une preuve.
- Aucune banque ne fait valider des opérations ni demander des codes par téléphone.
- La parade universelle : raccrocher, rappeler soi-même le numéro officiel.
- SMS suspect → jamais le lien ; vérification par l'application officielle ; signalement au 33700.
Défi 48h — appliquez demain
Enregistrez le numéro officiel de votre banque en favoris et répétez la phrase de raccrochage à voix haute 3 fois. Transférez au 33700 tout SMS frauduleux reçu cette semaine.
- Je peux réciter la phrase de raccrochage sans hésiter.
- Je sais expliquer pourquoi le numéro affiché ne prouve rien.
- J'ai le numéro officiel en favoris et je signale au 33700.
Questions fréquentes
Le faux conseiller connaissait mon nom et ma banque : comment ?
Fuites de données et OSINT : ces informations circulent et rendent le scénario crédible. C'est précisément pourquoi la connaissance de détails personnels ne doit JAMAIS servir de preuve d'identité de l'appelant.
J'ai donné un code reçu par SMS à un « conseiller » : que faire ?
Appelez immédiatement votre vraie banque (numéro officiel) pour bloquer, faites opposition si besoin, changez vos mots de passe bancaires, conservez les traces et déposez plainte. La rapidité limite les dégâts (voir aussi 5.1).
Karim est au téléphone avec un « conseiller » qui réclame son code SMS. Que fait-il ?