Arnaques par SMS : comment le nouveau protocole de messagerie va bloquer les faux expéditeurs

La faille est dans le SMS lui-même

Le problème n'est pas le contenu du message, c'est la technologie. Le SMS date de la fin des années 1980 et n'a jamais intégré de mécanisme de vérification de l'expéditeur. N'importe quel émetteur peut afficher le libellé de son choix à la place d'un numéro.

C'est ce champ, appelé identifiant d'émetteur, qui permet à un message frauduleux de s'afficher sous le nom d'une banque ou d'une administration, et surtout de venir se ranger dans le fil de discussion des vrais messages de cet organisme. Un message d'arnaque qui atterrit dans la conversation légitime de votre banque hérite instantanément de sa crédibilité, et c'est précisément ce qui rend ce canal si efficace.

Les opérateurs français ont commencé à colmater la brèche par une approche défensive, coordonnée par l'association professionnelle du secteur.

• Une liste d'identifiants protégés : les banques et les grandes administrations déposent les libellés qu'elles utilisent, qui ne peuvent plus être employés par un tiers.
• Une liste noire : certains libellés sont purement interdits à l'émission sur les réseaux français.
• Un flux de signalements exploitable : les messages transmis au 33700 qui citent le nom d'un établissement lui sont désormais renvoyés, pour qu'il fasse couper le site frauduleux.

Ce que le RCS change concrètement

Le protocole RCS, pour Rich Communication Services, succède au SMS et au MMS. Il s'installe déjà par défaut sur les deux principaux systèmes mobiles, et sa particularité tient à un point que l'Observatoire souligne explicitement : pour les messages envoyés par une entreprise ou une administration, l'expéditeur fait l'objet d'une vérification préalable avant de pouvoir émettre.

Trois différences pratiques en découlent pour l'utilisateur.

La dernière ligne est la limite du dispositif. Tant que la bascule n'est pas achevée, un message peut toujours redescendre vers le SMS classique, et redevenir falsifiable. Contrairement à WhatsApp ou iMessage, le RCS présente en revanche un caractère standard et interopérable : il ne dépend pas d'un éditeur unique, ce qui conditionne son adoption par les opérateurs.

Le même chantier a déjà eu lieu sur les appels

La méthode n'est pas nouvelle, elle a d'abord été appliquée à la voix. Depuis janvier 2025, la loi impose aux opérateurs exploitant des numéros français d'authentifier le numéro utilisé pour émettre un appel. Le dispositif technique correspondant est pleinement opérationnel, et il s'agit d'une première au sein de l'Union européenne.

Le principe est simple : l'appel est signé par l'opérateur de l'appelant, et les opérateurs qui l'acheminent vérifient cette signature. Si elle est absente ou invalide, l'appel doit être interrompu avant d'arriver. Deux compléments ont suivi.

• Le masquage des mobiles français appelant depuis l'étranger : imposé par le plan de numérotation de l'Arcep modifié en décembre 2025, il fait s'afficher en numéro inconnu les appels qui ne peuvent pas être authentifiés.
• Le blocage des numéros en réception seule : expérimenté depuis juin 2026, il coupe automatiquement les appels prétendant provenir d'un numéro qui, par nature, ne sert qu'à recevoir, comme les centres d'opposition bancaire.

Le résultat est déjà visible dans les statistiques d'usage, mais il produit un effet de report. Plus le canal téléphonique se sécurise, plus les escrocs migrent vers les messageries et les réseaux sociaux, où aucune vérification d'identité comparable n'existe aujourd'hui.

Les réflexes qui restent valables, quel que soit le protocole

Aucun de ces dispositifs ne dispense de vigilance, et l'Observatoire insiste sur ce point : la sécurisation technique déplace la fraude, elle ne la supprime pas.

1. N'ouvrez jamais un lien reçu par message : tapez vous-même l'adresse du site ou passez par l'application officielle, même si le message semble arriver dans une conversation connue.
2. Transférez le message au 33700 : le signalement est gratuit, alimente les listes de blocage et déclenche la coupure des liens frauduleux.
3. Ne rappelez jamais le numéro affiché : utilisez celui figurant sur votre contrat, votre carte bancaire ou l'espace client de votre opérateur mobile.
4. Protégez l'accès à votre ligne : un mot de passe robuste sur l'espace client limite le risque de duplication frauduleuse de votre carte SIM.

Un dernier point de vigilance concerne les cartes eSIM, dont l'activation entièrement dématérialisée séduit autant les abonnés que les fraudeurs. Les banques disposent depuis peu d'un signal leur indiquant qu'une nouvelle carte SIM vient d'être délivrée sur une ligne, information qu'elles croisent avec le caractère inhabituel d'une opération avant de l'autoriser.

Reste que la qualité de ces protections dépend directement de votre opérateur et de la façon dont il sécurise son espace client. Le comparatif des forfaits mobiles et les offres sans engagement permettent de changer sans friction si le service ne suit pas, en conservant votre numéro grâce au code RIO. Côté bancaire, un message frauduleux ayant abouti à un débit se conteste, et le guide sur la fraude à la carte bancaire détaille les délais applicables.