Arnaques par SMS et WhatsApp : comment les reconnaître et s'en protéger

Chaque jour, des millions de messages frauduleux circulent par SMS et sur WhatsApp. Le principe, appelé « phishing » (ou hameçonnage), est toujours le même : vous piéger par un message pour vous soutirer des informations personnelles, des codes de sécurité ou de l'argent. Ces messages imitent une banque, un service de livraison, une administration, un opérateur téléphonique ou même un proche. La bonne nouvelle, c'est qu'ils laissent presque toujours des indices. Ce guide vous montre, étape par étape, comment les reconnaître, comment réagir, et surtout quoi faire si vous avez déjà cliqué ou répondu.

Comment fonctionnent les escrocs ?

Les fraudeurs ne cherchent pas à convaincre les gens prudents : ils misent sur le volume et sur l'émotion. Leur objectif est de court-circuiter votre réflexion en déclenchant une réaction immédiate — peur, curiosité, appât du gain ou envie d'aider. Comprendre leurs techniques, c'est déjà s'en protéger.

• L'ingénierie sociale. L'escroc se fait passer pour une autorité de confiance (votre banque, la police, un service public) afin que vous obéissiez sans discuter.
• La pression du temps. Une échéance très courte vous empêche de vérifier avant d'agir.
• Le prétexte crédible. Une livraison en attente, un colis bloqué en douane, un remboursement à réclamer : le scénario colle souvent à quelque chose que vous attendez vraiment.
• L'usurpation d'identité visuelle. Logos, couleurs et mise en forme copiés pour donner un air officiel au message.

Les signaux qui doivent vous alerter

Avant de cliquer ou de répondre, passez chaque message au crible de ces critères. Un seul suffit à justifier la méfiance.

• L'urgence artificielle. « Votre compte sera bloqué dans 24 h », « Dernier avertissement », « Agissez immédiatement ». La précipitation est le meilleur allié de l'escroc.
• Un lien à cliquer. Méfiez-vous des adresses bizarres, raccourcies ou légèrement mal orthographiées : une lettre en trop, un tiret suspect, ou un « .net » à la place d'un « .com ».
• Une demande d'informations sensibles. Mot de passe, code reçu par SMS, numéro complet de carte bancaire : aucun organisme sérieux ne les réclame par message.
• Une demande de paiement inattendue. Des « frais de douane » de quelques euros à régler en urgence pour débloquer un colis servent surtout à capturer vos données bancaires.
• Des fautes et un ton étrange. Formules maladroites, ponctuation incohérente, salutation impersonnelle du type « Cher client » sans votre nom.
• Un numéro ou un expéditeur inhabituel. Un message « officiel » envoyé depuis un numéro de portable étranger doit immédiatement éveiller vos soupçons.

Des exemples concrets de messages frauduleux

Pour mieux les repérer, voici des scénarios typiques que vous croiserez peut-être un jour. Les formulations changent, mais la mécanique reste identique.

Le faux colis en attente

« Votre colis n'a pas pu être livré. Merci de régler les frais de réexpédition (2,99 €) sous 48 h en cliquant sur ce lien, sans quoi il sera retourné à l'expéditeur. » Le montant volontairement faible vous incite à payer sans réfléchir ; le vrai objectif est de récupérer vos coordonnées bancaires.

La fausse alerte bancaire

« Une connexion suspecte a été détectée sur votre compte. Confirmez votre identité immédiatement ou votre carte sera suspendue : [lien]. » La peur de perdre l'accès à son argent pousse à cliquer et à saisir ses identifiants sur un faux site.

L'arnaque du « proche en difficulté »

« Maman, j'ai cassé mon téléphone, voici mon nouveau numéro. Peux-tu m'aider ? J'ai un virement urgent à faire mais je n'y arrive pas depuis ce téléphone. » L'escroc joue sur l'affection et l'inquiétude. Avant tout transfert, appelez la personne sur son ancien numéro ou posez-lui une question dont seul le vrai proche connaît la réponse.

Le faux gain ou le faux remboursement

« Félicitations, vous avez été sélectionné ! Réclamez votre remboursement en renseignant vos informations ici. » On ne gagne pas un lot auquel on n'a jamais participé, et un remboursement légitime ne passe jamais par un formulaire reçu par SMS.

Les bons réflexes face à un lien ou une demande

La règle d'or tient en une phrase : dans le doute, on ne clique pas. Voici la marche à suivre, étape par étape.

• Ne cliquez sur aucun lien reçu de façon inattendue. Même si le message semble provenir d'un service que vous utilisez.
• Passez par la source officielle. Ouvrez vous-même l'application officielle du service concerné, ou tapez l'adresse du site à la main dans votre navigateur. Vous verrez aussitôt s'il existe une vraie notification.
• Vérifiez par un autre canal. En cas de doute sur un message « de votre banque », appelez le numéro figurant au dos de votre carte, jamais celui indiqué dans le message.
• Ne rappelez pas les numéros inconnus et ne répondez pas « STOP » à un SMS suspect : cela confirme seulement que votre numéro est actif.
• Signalez et supprimez. Vous pouvez transférer les SMS frauduleux au 33700 (service gratuit) puis effacer le message.

Sécurisez WhatsApp en deux minutes

Le piratage d'un compte WhatsApp est l'une des arnaques les plus courantes : une fois votre compte détourné, l'escroc s'en sert pour tromper vos contacts en se faisant passer pour vous. Une seule fonction rend cette attaque quasi impossible.

Activez la vérification en deux étapes. Ouvrez WhatsApp, puis : Réglages > Compte > Vérification en deux étapes, et activez-la. Définissez ensuite un code confidentiel à six chiffres, ainsi qu'une adresse e-mail de récupération. Ce code vous sera demandé chaque fois que votre compte sera installé sur un nouvel appareil : c'est une barrière décisive contre le piratage.

Retenez surtout cette règle absolue : ne communiquez jamais à personne le code à six chiffres reçu par SMS lors d'une installation. C'est précisément ce que cherchent les pirates lorsqu'ils vous écrivent « je t'ai envoyé un code par erreur, peux-tu me le renvoyer ? ». Aucun contact légitime n'a besoin de ce code.

Que faire si vous avez cliqué ou répondu ?

Cela arrive à tout le monde, et la panique est mauvaise conseillère. L'important est d'agir vite et dans le bon ordre.

• Coupez la connexion. Si une page suspecte s'est ouverte, fermez-la sans rien y saisir de plus.
• Changez vos mots de passe. Modifiez immédiatement celui du service concerné, ainsi que ceux des comptes qui partageaient le même mot de passe.
• Activez la double authentification partout où c'est possible, pour ajouter une barrière même si votre mot de passe a fuité.
• Si vous avez communiqué des données bancaires, contactez sans attendre votre banque pour faire opposition et surveillez vos relevés de compte.
• Si votre compte WhatsApp a été détourné, réinstallez l'application et reconnectez-vous avec votre numéro : le nouveau code de vérification vous rendra la main. Prévenez ensuite vos contacts qu'un message a pu être envoyé en votre nom.
• Conservez les preuves et signalez. Faites une capture d'écran, puis signalez la fraude aux autorités compétentes et sur les plateformes officielles de signalement.

Foire aux questions

Recevoir le message suffit-il à me pirater ?

Non. Le simple fait de recevoir ou de lire un SMS ou un message WhatsApp ne présente aucun danger. Le risque commence lorsque vous cliquez sur un lien, ouvrez une pièce jointe ou communiquez une information.

Comment savoir si un lien est dangereux sans cliquer ?

Observez l'adresse affichée : fautes, tirets, extensions inhabituelles ou nom de domaine qui ne correspond pas à l'organisme cité sont des signaux d'alerte. En cas de doute, ne cliquez pas et passez par le site officiel.

Les escrocs peuvent-ils falsifier le nom de l'expéditeur ?

Oui. Un message peut afficher un nom qui semble officiel tout en provenant d'un fraudeur. Ne vous fiez jamais au seul nom affiché : c'est le contenu et la demande qui trahissent l'arnaque.

À retenir

Un message qui crée de l'urgence, demande vos codes, réclame un paiement ou pousse à cliquer doit déclencher un réflexe unique : s'arrêter et vérifier par un autre moyen. Ne communiquez jamais un code reçu par SMS, activez la vérification en deux étapes sur WhatsApp, et passez toujours par les applications ou sites officiels plutôt que par les liens reçus. Ce simple temps d'arrêt suffit à déjouer la quasi-totalité des arnaques.

Photo d'illustration : Wikimedia Commons (licence Creative Commons).