e smishing (hameçonnage par SMS) est une escroquerie par SMS qui usurpe l'identité d'une organisation de confiance (banque, service de livraison ou organisme gouvernemental) afin d'inciter le destinataire à cliquer sur un lien malveillant ou à divulguer ses identifiants. On le combat sur deux fronts : les opérateurs le filtrent au sein du réseau grâce à des pare-feu SMS, la vérification de la réputation des liens et la protection de l'identité de l'expéditeur, tandis que les marques se protègent en utilisant des identités d'expéditeur enregistrées et cohérentes, ainsi que des liens portant leur marque.
Le smishing n'est qu'une attaque parmi d'autres dans un contexte de fraude plus large. Pour en savoir plus sur les attaques de facturation côté entreprise (envoi massif de SMS) et les menaces liées aux routes grises et à la signalisation côté opérateur, consultez Se défendre contre la fraude par SMS A2P. Ce guide est consacré spécifiquement au phishing par SMS.
Pourquoi les SMS sont le canal préféré des hameçonneurs
L'hameçonnage par e-mail bénéficie de plusieurs décennies de protections : filtres anti-spam, réécriture de liens, aperçus en environnement isolé et bannières d'avertissement. Les SMS, quant à eux, n'en disposent quasiment d'aucune. Un SMS arrive dans la même boîte de réception qu'un véritable code d'accès unique envoyé par la banque du destinataire, est ouvert en quelques minutes par l'immense majorité des destinataires et inspire confiance précisément parce que les SMS ont historiquement transporté des messages transactionnels importants. Sur un téléphone, il est impossible de survoler une URL raccourcie pour l'inspecter, la véritable destination reste cachée jusqu'à ce qu'on appuie dessus, et la petite taille de l'écran masque les indices révélateurs qu'un utilisateur d'ordinateur remarquerait. Ajoutez à cela l'usurpation d'identité de l'expéditeur – où un attaquant configure un expéditeur alphanumérique identique à celui d'une marque légitime – et le message paraît authentique. Cette combinaison de confiance élevée, de taux d'ouverture important et de faible vérifiabilité explique pourquoi le smishing réussit là où l'hameçonnage par e-mail échoue de plus en plus.
Comment fonctionne une attaque par smishing
Une campagne de smishing s'appuie sur un ensemble de techniques éprouvées. Comprendre cet enchaînement permet de déterminer le positionnement optimal de chaque défense.
- Identifiants d'expéditeur usurpés ou similaires — un identifiant d'expéditeur alphanumérique correspondant au nom exact d'une banque, ou une variante quasi identique avec un caractère interverti, un espace ajouté ou un homoglyphe qui se lit comme la marque.
- Liens courts malveillants — un raccourcisseur d'URL générique ou un domaine similaire récemment enregistré qui masque la véritable destination et contourne les listes de blocage statiques.
- Urgence et ingénierie sociale — compte bloqué, colis retenu, péage ou amende impayés : pression exercée pour inciter le destinataire à agir avant de réfléchir.
- Collecte d'identifiants — le lien ouvre une copie conforme au pixel près de la page de connexion ou de saisie de carte de la marque afin de capturer les noms d'utilisateur, les mots de passe, les codes OTP ou les informations de carte.
- Charges utiles malveillantes — sur certaines plateformes, le lien ou la pièce jointe installe un cheval de Troie bancaire ou un voleur de SMS qui intercepte les futurs codes d'accès à usage unique de la victime.
- L’usurpation d’identité de marque à grande échelle — les banques, les entreprises de coursiers et de livraison, les services fiscaux et gouvernementaux en ligne et les opérateurs de télécommunications sont les catégories les plus imitées car les destinataires s’attendent déjà à recevoir des messages de leur part.
Dans les pays du Golfe, les vagues les plus visibles usurpent l'identité de banques et de services gouvernementaux en ligne : fausses alertes de « compte suspendu » ou de « vérification d'identité », et arnaques aux « frais de douane » de livraison pendant les périodes de forte activité commerciale. L'enregistrement de l'identité de l'expéditeur étant obligatoire dans une grande partie de la région MENA, une identité usurpée ou non enregistrée constitue en soi un signal fort permettant au pare-feu de l'opérateur d'agir, ce qui marque le début de la défense du réseau.
Smishing contre phishing
Le smishing est une forme d'hameçonnage transposée du courrier électronique aux SMS, et ce changement de canal est précisément l'intérêt du procédé : les caractéristiques qui font des SMS un excellent canal commercial en font également un excellent canal d'attaque.
| Attribut | Hameçonnage par courriel | Smishing (hameçonnage par SMS) |
|---|---|---|
| Channel Trust | Modéré — les utilisateurs se méfient des courriels | Élevé — Les SMS contiennent des codes OTP et des alertes bancaires |
| Taux d'ouverture/de lecture | Faible à modéré | Très élevé, généralement en quelques minutes |
| Inspection des liens | Survolez pour prévisualiser ; outils de bureau | Masqué jusqu'à ce qu'on appuie dessus ; pas de survol sur mobile |
| Défenses du fournisseur | Filtres anti-spam sophistiqués, réécriture de liens, environnements de test | Rare ; dépend du pare-feu de l'opérateur |
| Usurpation d'identité de l'expéditeur | Basé sur le domaine, atténué par SPF/DKIM/DMARC | Usurpation d'identité alphanumérique de l'expéditeur, contrôles natifs faibles |
| Défense primaire | Passerelle de messagerie sécurisée | Pare-feu SMS + registre d'identifiants d'expéditeur + réputation des liens |
Défense côté opérateur : stopper le smishing sur le réseau
Le réseau est le levier le plus efficace pour stopper le smishing : un seul contrôle chez l’opérateur protège tous les abonnés simultanément, avant même qu’un SMS malveillant n’atteigne leur téléphone. Une stratégie anti-smishing moderne combine plusieurs techniques, la plupart exécutées au sein du pare-feu SMS.
- Filtrage du contenu — le pare-feu inspecte le corps, la structure et les métadonnées du message, en les comparant aux signatures de smishing, aux règles de mots clés et de modèles, ainsi qu’aux empreintes digitales de campagnes connues, puis met en quarantaine ou supprime les correspondances.
- Réputation des URL et des liens : les liens sont extraits et vérifiés en temps réel par rapport à des flux de réputation et des listes de blocage. Les destinations malveillantes connues, les domaines similaires récemment enregistrés et les raccourcisseurs d’URL génériques utilisés à mauvais escient sont bloqués. Les informations relatives aux numéros et aux liens, comme la réputation téléphonique (phone reputation), contribuent à cette même décision.
- Protection et registres des identifiants d'expéditeur — un registre d'identifiants d'expéditeur alphanumériques légitimes et enregistrés permet au réseau de bloquer les identifiants usurpés ou non enregistrés qui se font passer pour une marque, ce qui, sur les marchés où l'enregistrement est obligatoire, constitue un signal décisif.
- Signalisation et anti-usurpation — le filtrage des couches SS7 et Diameter, avec des contrôles de routage et d'origine, empêche les messages injectés ou usurpés via l'interconnexion avant qu'ils n'entrent dans le réseau.
- Détection des anomalies comportementales — pics de volume soudains, une source se propageant à de nombreux abonnés ou des rafales de liens identiques déclenchent des modèles d'anomalies qui mettent en évidence des campagnes que les règles statiques ne permettraient pas de détecter.
Ces mécanismes de contrôle sont interdépendants : le filtrage du contenu et des liens intercepte les données malveillantes, la vérification de l’identité de l’expéditeur empêche l’usurpation d’identité et la protection contre l’injection de code malveillant. Ce modèle multicouche – une défense en périphérie du réseau plutôt qu’au niveau de chaque terminal – est décrit plus en détail dans notre présentation sécurité.
Défense des entreprises et des marques
Les opérateurs ne peuvent pas lutter seuls contre le smishing. Les marques victimes d'usurpation d'identité disposent de leurs propres leviers, et leur utilisation facilite la tâche du réseau tout en protégeant l'atout le plus précieux de la marque : la confiance des clients dans ses messages. Voici les mesures de défense par ordre d'importance :
- Enregistrez vos identifiants d'expéditeur sur tous les marchés vers lesquels vous envoyez des messages et utilisez des identifiants alphanumériques cohérents et enregistrés afin que les clients — et les pare-feu des opérateurs — puissent distinguer un message authentique d'une tentative d'hameçonnage.
- Privilégiez un petit nombre d'identifiants d'expéditeur de marque plutôt que des codes numériques longs et rotatifs ; une identité prévisible est plus facile à faire confiance pour les clients et à autoriser par les pare-feu.
- Utilisez des domaines de liens de marque, propres à votre marque, plutôt que des raccourcisseurs d'URL génériques ; ainsi, un lien légitime vous appartient clairement et un lien raccourci devient un signal d'alarme auquel les clients peuvent apprendre à se méfier.
- Veillez à une hygiène rigoureuse des liens : HTTPS, un seul domaine connu, pas de chaînes de requêtes spécifiques à l’utilisateur susceptibles de prêter à confusion, et jamais de demande de mots de passe, de numéros de carte complets ou de codes OTP par SMS.
- Informez clairement et à plusieurs reprises vos clients que vous ne leur demandez jamais d'identifiants ou de codes d'accès à usage unique par SMS, et publiez les identifiants d'expéditeur et les domaines exacts que vous utilisez.
- Donnez à vos clients et à votre personnel un moyen rapide et bien connu de signaler les cas présumés de smishing, et transmettez ces signalements à votre opérateur et à votre fournisseur de messagerie afin que les listes de blocage soient mises à jour rapidement.
- Surveillez les domaines similaires et les identifiants d'expéditeur usurpés ciblant votre marque et demandez leur retrait : la détection du smishing est autant un outil de protection de la marque qu'un outil de filtrage des boîtes de réception.
Les deux parties se renforcent mutuellement. Une marque qui enregistre et normalise ses identifiants d'expéditeur fournit au pare-feu de l'opérateur une liste blanche fiable à contrôler ; un opérateur qui met en œuvre la réputation des liens et la protection des identifiants d'expéditeur donne une véritable signification à l'identité enregistrée de la marque sur le terminal. Aucune des deux parties n'est suffisante à elle seule : la protection contre le smishing est une action partagée, au même titre que la protection plus globale contre la fraude A2P.
BroadNet exploite des pare-feu SMS au sein des réseaux des opérateurs, avec filtrage de contenu, vérification de l'identité de l'expéditeur et analyse en temps réel des liens et des numéros — voir les fonctionnalités Pare-feu SMS et Réputation téléphonique. La même infrastructure qui protège les abonnés contre le smishing garantit la continuité du trafic légitime de la marque.
Foire aux questions
Qu'est-ce que le smishing ?
Le smishing est une forme d'hameçonnage réalisée par SMS ; son nom est la contraction de « SMS » et « hameçonnage ». Un pirate envoie un SMS se faisant passer pour une organisation de confiance, généralement une banque, un service de livraison ou un organisme gouvernemental, avec un message d'urgence et un lien malveillant. Cliquer sur ce lien redirige vers une fausse page de connexion ou de paiement qui récupère les identifiants, les codes d'accès à usage unique ou les informations de carte bancaire, ou installe un logiciel malveillant sur l'appareil.
En quoi le smishing diffère-t-il du phishing ?
L'hameçonnage (phishing) désigne généralement l'utilisation d'e-mails ; le smishing, son équivalent par SMS. La différence réside dans les caractéristiques du canal : les SMS bénéficient d'un taux d'ouverture et de confiance bien plus élevé, les liens ne peuvent être survolés ni prévisualisés sur un téléphone, et les fournisseurs de services de messagerie ne disposent pas du même niveau de filtrage anti-spam que les e-mails. L'identification de l'expéditeur est également plus vulnérable : les identifiants alphanumériques sont plus faciles à falsifier que les domaines de messagerie protégés par SPF, DKIM et DMARC, ce qui confère une plus grande responsabilité aux contrôles côté opérateur.
Comment les opérateurs détectent-ils et bloquent-ils le smishing ?
Les opérateurs utilisent un pare-feu SMS qui inspecte le contenu et les liens des messages, les compare aux signatures de smishing connues et vérifie les URL par rapport aux flux de réputation en temps réel et aux listes de blocage. Ce pare-feu applique un registre d'identifiants d'expéditeurs légitimes afin de bloquer les identifiants usurpés ou non enregistrés, analyse la couche de signalisation SS7 et Diameter pour détecter les messages injectés et utilise la détection d'anomalies comportementales pour repérer les pics de volume et les schémas de diffusion qui révèlent une campagne en cours.
Références
- GSMA — Fraude et sécurité (série FS) et conseils sur la fraude par messagerie : gsma.com
- CISA (Agence américaine de cybersécurité et de sécurité des infrastructures) — Conseils sur le smishing et les arnaques par SMS : cisa.gov
- BroadNet — défense contre le smishing côté opérateur : Pare-feu SMS et réputation téléphonique.
- BroadNet — défense contre la fraude par SMS A2P : le tableau plus large de la fraude autour du smishing.