Si le phishing par e-mail reste la menace la plus connue du grand public, ce n’est par pour autant la plus efficace. Les campagnes de smishing affichent des taux de clic compris entre 8,9 % et 14,5 %, contre environ 2 % pour l’e-mail selon les données 2026 les plus récentes, soit un écart pouvant atteindre 5 à 7 fois en faveur du SMS. Ce format, longtemps perçu comme secondaire face à l’e-mail, est aujourd’hui responsable de près de 35 % de l’ensemble des attaques de phishing, avec une progression de 40 % sur un an. Ce faisant, comprendre les ressorts de cette efficacité permet de mieux s’en prémunir.
Que signifie exactement ce taux de réussite 5 fois supérieur ?
Dans les simulations menées par les entreprises de cybersécurité, le taux de clic mesure la proportion de destinataires qui interagissent avec un lien frauduleux. Sur e-mail, ce taux plafonne généralement autour de 1,4 à 2 %, freiné par les filtres antispam, les alertes de sécurité et une certaine méfiance acquise par les utilisateurs après des années de sensibilisation. Sur SMS, ce même taux grimpe fortement, certaines campagnes atteignant même 25 % ou davantage sur des cibles mal préparées. Cet écart s’explique moins par la sophistication du message que par le canal lui-même : un SMS est lu presque immédiatement, alors que la vigilance de l’utilisateur est naturellement plus faible.
Quelles techniques rendent le smishing aussi redoutable ?
Les fraudeurs exploitent plusieurs leviers propres au format SMS. L’urgence artificielle reste centrale : colis bloqué, facture impayée, compte bancaire suspendu, autant de scénarios qui poussent à cliquer sans réfléchir. L’usurpation d’expéditeur permet aussi d’afficher un nom familier (banque, opérateur, administration) grâce à des techniques de spoofing qui trompent l’affichage du numéro. En parallèle, le lien raccourci, quasi systématique dans un SMS en raison de la limite de caractères, dissimule totalement la destination réelle du clic, contrairement à un lien visible dans un e-mail. Enfin, les campagnes ciblent des heures et contextes précis, comme les périodes de soldes, de livraison de colis ou de déclaration fiscale, pour maximiser la crédibilité du message.
Kelli Mcclintock/Unsplash
Quels facteurs expliquent cette vulnérabilité particulière au mobile ?
Plusieurs éléments structurels favorisent le smishing. Le taux d’ouverture des SMS avoisine 98 %, la plupart dans les trois minutes suivant leur réception, contre une ouverture bien plus tardive et partielle pour les e-mails. L’écran réduit d’un smartphone masque également l’aperçu complet des liens, empêchant l’utilisateur de vérifier la destination avant de cliquer. À cela s’ajoute une confiance culturelle plus forte envers le SMS, perçu comme un canal personnel et sécurisé, alors que l’e-mail professionnel bénéficie depuis longtemps de filtres antispam robustes et d’une sensibilisation accrue en entreprise, quasiment absente sur mobile.
Quels signaux doivent alerter dans un SMS suspect ?
Quelques réflexes simples permettent de repérer une tentative de smishing avant de cliquer :
Un lien raccourci ou une adresse inhabituelle : un SMS légitime d’un service officiel utilise rarement un lien raccourci ou un nom de domaine approximatif.Une urgence disproportionnée : menace de blocage de compte, de amende ou de perte de colis sous quelques heures seulement.Une demande d’informations sensibles : coordonnées bancaires, code reçu par SMS ou identifiants ne sont jamais réclamés par ce canal par un organisme sérieux.Un numéro d’expéditeur inhabituel : numéro long, étranger, ou différent de celui utilisé habituellement par l’organisme concerné.
Clonage de voix par IA : comment les pirates piègent les filtres de sécurité de votre banque
Reconnaissance vocale contournée, faux conseillers bancaires, appels silencieux : voici comment l’intelligence artificielle permet aujourd’hui de fabriquer une voix humaine crédible en quelques secondes, et pourquoi les dispositifs d’authentification vocale des banques peinent à s’en protéger…. Lire la suite
Que faire face à un SMS suspect ?
La règle de base reste de ne jamais cliquer sur un lien reçu par SMS sans avoir vérifié la légitimité de l’expéditeur par un canal indépendant, en contactant directement l’organisme via son site officiel ou son application. Signaler le SMS suspect au 33700 (dispositif national de signalement des SMS frauduleux) et le supprimer sans y répondre permet également de limiter la propagation de la campagne. Par ailleurs, activer les filtres anti-spam SMS proposés par les opérateurs et rester vigilant même face à un message semblant provenir d’un contact connu constituent les meilleurs réflexes pour ne pas rejoindre les statistiques du smishing.