SMS frauduleux : comment les reconnaître et que faire si on a cliqué

Un colis bloqué, une amende impayée, un remboursement qui vous attend : de nombreux Belges reçoivent régulièrement des SMS qui imitent à la perfection des messages officiels. Bonne nouvelle, ces arnaques laissent presque toujours des traces. Voici comment les repérer, et surtout comment réagir si vous vous êtes fait piéger.

Les quatre grands classiques du SMS piégé

Les escrocs ne manquent pas d'imagination, mais ils recyclent volontiers les mêmes scénarios, parce qu'ils fonctionnent.

Le faux colis arrive en tête. Un message signé d'un transporteur connu vous annonce qu'un paquet est en attente et qu'il faut régler quelques euros de « frais de réexpédition » ou confirmer votre adresse. En période de fêtes ou de soldes, quand tout le monde attend une commande, le piège est redoutable.

La fausse amende joue sur la peur. Un excès de vitesse, un stationnement ou un péage impayé, avec une menace de majoration si vous ne payez pas dans les 24 heures. Le ton est sec, administratif, pressant.

Le faux remboursement fait l'inverse : il flatte. Le SPF Finances, votre mutuelle ou votre fournisseur d'énergie vous devrait de l'argent. Il suffirait de cliquer pour le récupérer… en encodant vos données bancaires.

Enfin, la fausse banque est la plus dangereuse. Un message vous signale une connexion suspecte ou un compte bloqué, et vous invite à « sécuriser » votre accès. Parfois, dans la foulée, un pseudo-conseiller vous appelle pour vous guider pas à pas vers la catastrophe.

Les signaux qui doivent vous alerter

Marie-Thérèse, retraitée à Jambes, a failli se faire avoir en janvier. « Le message parlait d'un colis, et justement j'attendais un cadeau pour ma petite-fille. C'est le lien bizarre qui m'a arrêtée. » Son instinct était le bon. Quelques indices reviennent très souvent :

• L'urgence : « dernier rappel », « sous 24 heures », « votre compte sera suspendu ». Une vraie administration vous laisse le temps.
• Un lien à cliquer : c'est le cœur de l'arnaque. Une banque belge ne vous demandera jamais, par SMS, de cliquer pour vous connecter ou confirmer vos données.
• Une adresse de site étrange : un nom qui ressemble à celui du vrai service, mais avec une lettre en trop, un tiret inattendu ou une extension exotique.
• Un petit montant à payer : quelques euros seulement, pour que vous ne vous méfiiez pas. En réalité, l'objectif est de récupérer votre numéro de carte.
• Un numéro d'expéditeur inconnu, parfois étranger, ou au contraire un message qui s'insère dans le fil de discussion habituel de votre banque (une technique appelée usurpation d'expéditeur).
• Des fautes ou des formulations maladroites, même si les escrocs écrivent de mieux en mieux.

La règle la plus simple reste celle-ci : ne cliquez jamais sur un lien reçu par SMS pour payer ou vous identifier. Si vous avez un doute, ouvrez vous-même l'application officielle ou tapez l'adresse du service que vous connaissez déjà.

Vous avez cliqué ? Pas de panique, mais agissez vite

Cliquer sur un lien, dans la plupart des cas, ne suffit pas à vider votre compte. Le danger commence quand vous encodez quelque chose : numéro de carte, codes bancaires, identifiants, code reçu par SMS ou confirmation via une application d'identification.

Si vous avez seulement ouvert la page sans rien remplir, fermez-la, supprimez le message et restez attentif les jours suivants. Vous pouvez aussi vérifier que votre smartphone et ses applications sont à jour.

Si vous avez donné des informations, chaque minute compte. Kevin, 34 ans, de Charleroi, a encodé les données de sa carte pour un faux colis un dimanche soir. « J'ai compris dix minutes après. J'ai appelé Card Stop tout de suite, la carte a été bloquée avant le moindre débit. » Voici l'ordre à suivre :

1. Appelez votre banque au numéro d'urgence indiqué au dos de votre carte ou dans votre application officielle.
2. Faites bloquer votre carte via Card Stop, au 078 170 170, joignable jour et nuit.
3. Changez vos mots de passe si vous avez communiqué des identifiants (e-mail, banque, boutique en ligne).
4. Portez plainte auprès de la police locale, en gardant les captures d'écran du message et, si possible, les preuves des transactions. Ce dépôt de plainte peut être demandé par votre banque pour un éventuel remboursement.

Un point important : si vous avez vous-même validé un paiement ou transmis un code de confirmation, le remboursement par la banque n'est pas automatique. Chaque situation est examinée au cas par cas. Raison de plus pour ne jamais communiquer un code reçu par SMS, même à quelqu'un qui se présente comme votre banquier.

Transférez les messages suspects à Safeonweb

Vous avez reçu un SMS douteux, sans cliquer ? Vous pouvez aider les autres. Le service Safeonweb, géré par le Centre pour la cybersécurité Belgique, collecte les messages frauduleux pour faire bloquer les sites pièges.

Pour les e-mails, il suffit de les transférer à l'adresse suspicious@safeonweb.be. Pour un SMS, vous pouvez faire une capture d'écran et l'envoyer à cette même adresse. Safeonweb propose aussi une application gratuite qui vous avertit des arnaques en circulation. Les modalités exactes de signalement évoluent parfois : le plus simple est de consulter directement le site de Safeonweb pour connaître la marche à suivre actuelle.

Après le signalement, supprimez le message. Inutile de répondre, même pour dire « stop » : vous confirmeriez simplement que votre numéro est actif.

Protéger les proches, surtout les plus âgés

Les escrocs visent tout le monde, mais les personnes âgées ou isolées sont souvent en première ligne. Prenez cinq minutes, lors d'un prochain dîner de famille à Liège ou d'un café à Mons, pour montrer un exemple de faux SMS à vos parents ou grands-parents. Expliquez-leur la règle d'or : une banque, bpost ou le SPF Finances ne demandent jamais de payer ou de se connecter via un lien reçu par SMS.

Notez aussi le numéro de Card Stop sur un papier près de leur téléphone. Le jour où ils en auront besoin, ils n'auront pas à le chercher dans l'affolement.

Vérifier un message douteux sans prendre de risque

Tous les SMS qui contiennent un lien ne sont pas frauduleux : un transporteur peut réellement vous envoyer un suivi de colis. Le bon réflexe n'est donc pas de tout ignorer, mais de ne jamais utiliser ce que contient le message pour le vérifier. Ni le lien, ni le numéro de téléphone indiqué, ni le numéro de l'expéditeur.

Passez plutôt par un chemin que vous connaissez déjà. Pour un colis, retrouvez le numéro de suivi dans l'e-mail de confirmation de la boutique où vous avez commandé, ou ouvrez vous-même l'application officielle du transporteur. Pour un remboursement d'impôts, connectez-vous à MyMinfin comme d'habitude. Pour la banque, ouvrez votre application habituelle ou appelez le numéro inscrit au dos de votre carte. Si le message est authentique, l'information vous y attendra aussi.

Vous pouvez également réduire le nombre de messages piégés qui arrivent jusqu'à vous. Les smartphones récents, sur Android comme sur iPhone, permettent de trier les messages des expéditeurs inconnus dans un dossier séparé et de signaler les SMS indésirables. Les intitulés varient selon les modèles : cherchez « indésirables » ou « expéditeurs inconnus » dans les réglages de l'application Messages. Ce filtre n'est pas infaillible, mais il évite de lire dans la précipitation un message conçu pour vous presser.

À retenir : Un SMS qui presse, menace ou promet de l'argent en vous demandant de cliquer est très probablement une arnaque. Ne cliquez pas, vérifiez via l'application ou le site officiel que vous connaissez. Si vous avez donné vos codes, appelez votre banque, bloquez votre carte via Card Stop au 078 170 170 et portez plainte. Transférez les messages suspects à suspicious@safeonweb.be pour protéger les autres.