Le smishing (contraction de SMS et phishing) est un hameçonnage mené par message texte ou messagerie mobile. Le message prétend émaner d'un transporteur, d'une administration, d'une banque ou du service informatique interne, et pousse à cliquer sur un lien, à rappeler un numéro ou à communiquer un code reçu par ailleurs.
Pourquoi le canal fonctionne si bien
- Contexte mobile : l'écran est petit, l'URL tronquée, l'utilisateur pressé et souvent en mobilité ;
- Filtrage faible : les protections des messageries d'entreprise ne s'appliquent pas au SMS personnel, et le message échappe aux outils de sécurité du poste ;
- Usurpation de l'émetteur : le nom affiché peut être manipulé, et les messages frauduleux atterrissent parfois dans un fil de discussion légitime ;
- Urgence courte : « colis bloqué », « opération suspecte », « validez sous deux heures ».
Le smishing sert fréquemment d'amorce : il collecte un identifiant, puis un appel vocal — vishing — demande le code d'authentification pour « finaliser la vérification ».
Ce qui réduit l'exposition
La sensibilisation aide, mais elle porte sur un canal personnel que l'entreprise ne contrôle pas. La mesure structurelle consiste à retirer au SMS toute valeur d'authentification : ni code à usage unique, ni lien de connexion, ni validation par retour de message. Un facteur qui ne peut être ni récité au téléphone ni recopié depuis un message perd tout intérêt pour l'attaquant.
Aller plus loin : définition du vishing · définition du phishing · QR code d'authentification : usages et risques · l'authentification cognitive