Smishing

Differentiating Smishing, Phishing, Vishing — vecteurs comparés

Les trois vecteurs de social engineering basés sur la communication se distinguent par leur medium. Le phishing email reste le vecteur le plus fréquent (volume élevé, faible coût) mais avec le filtre anti-spam le plus mature. Le smishing SMS bénéficie d'une confiance accrue des victimes et d'un filtrage moins développé — en croissance rapide depuis 2020. Le vishing téléphonique est plus coûteux en temps mais plus convaincant pour des cibles spécifiques — particulièrement efficace pour contourner le MFA. Les attaques multi-vecteurs (smishing + vishing) sont les plus redoutables : un SMS établit le contexte ("Votre compte est bloqué, un conseiller vous rappelle"), puis un appel vocal (vishing) finalise l'attaque avec l'urgence et la personnalisation du canal vocal. La formation anti-phishing doit couvrir les trois vecteurs, pas uniquement l'email.

RCS et évolution de la messagerie mobile

RCS (Rich Communication Services) est le successeur technique du SMS, offrant des fonctionnalités riches (photos, vidéos, confirmation de lecture, chiffrement de bout en bout dans certaines implémentations). RCS devient le standard par défaut sur Android (Google Messages) et a été adopté par Apple (iOS 18). Cependant, RCS introduit de nouveaux risques smishing : les messages RCS peuvent inclure du contenu riche (images inline, boutons interactifs) qui rend les pages de phishing plus convaincantes directement dans l'interface de messagerie. La vérification de l'identité de l'expéditeur RCS (via les profils d'entreprise vérifiés) est en cours de déploiement mais pas universelle. L'essor de WhatsApp Business et Telegram comme vecteurs de smishing est notable en Europe — les filtres opérateurs télécoms ne s'y appliquent pas.

Signalement et statistiques smishing France

En France, le 33700 est le service officiel de signalement des SMS frauduleux et indésirables. Transférer le SMS suspect au 33700 (service gratuit) permet aux opérateurs télécoms de bloquer les expéditeurs malveillants. Cybermalveillance.gouv.fr recense les campagnes de smishing actives (La Poste, Ameli, Impôts) et publie des alertes. Les statistiques 2023 montrent que le smishing représente une part croissante des signalements cybersécurité — plus de 30% des incidents signalés aux particuliers. L'ACPR (Autorité de contrôle prudentiel et de résolution) et la Banque de France ont émis des alertes spécifiques sur le smishing bancaire. Pour les professionnels victimes d'un smishing ayant abouti à une compromission, le dépôt de plainte au commissariat ou en gendarmerie (avec capture d'écran du SMS) est la première étape légale.