Smishing et vishing
Hameçonnage par SMS (smishing) ou par appel téléphonique (vishing) pour obtenir des codes, des identifiants ou un paiement.
Définition complète
Le smishing (contraction de SMS et phishing) est l’hameçonnage par SMS : un message se fait passer pour une banque, un transporteur, une administration ou un fournisseur et invite à cliquer sur un lien ou à rappeler un numéro. Le vishing (voice phishing) est son équivalent par appel téléphonique.
Le scénario le plus répandu est la fraude au faux conseiller bancaire : l’escroc appelle, parfois en affichant le vrai numéro de la banque, dispose déjà de données personnelles, signale une opération suspecte et demande de « valider » ou « annuler » une opération. En réalité, la victime autorise elle-même un paiement frauduleux. Une vraie banque ne demande jamais un mot de passe, un code de confirmation ou une validation dans l’application pour contrer une fraude.
Ces canaux sont redoutables : dans les campagnes d’hameçonnage simulées étudiées par Verizon, le taux médian de « clic » sur les vecteurs mobiles (voix et SMS) est 40 % plus élevé que par courriel. En entreprise, le vishing sert aussi à se faire passer pour le support informatique afin d’obtenir un code de double authentification.
Source : Cybermalveillance.gouv.fr, le smishing, fiche réflexe sur la fraude au faux conseiller bancaire, Verizon, Data Breach Investigations Report 2026
Exemple concret
Un commercial d’une PME de distribution reçoit un appel du « support informatique » : son compte aurait été bloqué suite à une tentative de piratage, il va recevoir un code par SMS qu’il doit lire à voix haute pour le réactiver. Il s’exécute. L’interlocuteur vient en réalité de lancer une connexion à sa messagerie avec son mot de passe volé : le code était celui de la double authentification.
Comment se protéger
- Ne jamais communiquer un code reçu par SMS, un mot de passe ou une validation d’opération à un interlocuteur qui appelle, quel qu’il soit.
- Raccrocher et rappeler l’organisme au numéro officiel connu (carte bancaire, contrat, annuaire interne).
- Définir et faire connaître la manière dont le support informatique contacte réellement les collaborateurs.
- Ne pas cliquer sur les liens reçus par SMS ; se rendre directement sur le site ou l’application officielle.
- Signaler les SMS frauduleux en les transférant gratuitement au 33700.
- En cas de fraude bancaire : faire opposition immédiatement, prévenir la banque, conserver les preuves et porter plainte.
Questions fréquentes
Oui. Les escrocs savent falsifier le numéro affiché (usurpation de numéro). Un appel qui semble venir de votre banque ne prouve rien : raccrochez et rappelez vous-même votre conseiller au numéro habituel.
Transférez-le gratuitement au 33700, le service de signalement des SMS et appels indésirables. Pour obtenir des conseils après une escroquerie, la plateforme Info Escroqueries du ministère de l’Intérieur est joignable au 0 805 805 817.
Termes liés
Authentification multifacteur
Méthode de connexion requérant plusieurs preuves d'identité.
Deepfake
Contenu audio, image ou vidéo généré ou modifié par IA qui imite de façon réaliste une personne réelle, utilisé notamment pour l’escroquerie.
Phishing
Technique d'hameçonnage par email pour voler des données sensibles.
Ingénierie sociale
Manipulation psychologique pour obtenir des informations ou un accès.
Vous avez besoin d'un expert en Smishing et vishing ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.