Faux SMS de La Poste, d'Ameli ou de la banque : que dire à son équipe ?
Dites-leur trois choses simples. Un SMS qui presse, ou qui demande de payer, de mettre à jour ou de valider quelque chose, est suspect par principe. On ne clique jamais sur son lien : on passe par l'application ou le site qu'on connaît. Et on le signale sans honte, en le transférant au 33700. Si quelqu'un a déjà donné sa carte ou ses codes, chaque minute compte : opposition auprès de la banque d'abord.
Pourquoi en parler à toute l'équipe
Les faux SMS ne visent pas seulement les particuliers. Le téléphone de l'accueil, le portable professionnel du gérant ou celui d'une assistante reçoivent les mêmes messages que tout le monde. Et dans une entreprise, un seul clic peut coûter de l'argent, ou ouvrir l'accès à un compte.
Deux mots pour être clair. L'hameçonnage (ou phishing) est un faux message qui imite une organisation de confiance pour vous faire cliquer, payer ou donner vos codes. Quand il arrive par SMS, on parle parfois de smishing.
Les chiffres français donnent l'échelle. Dans son bilan de l'année 2025, publié le 26 mars 2026, le dispositif national Cybermalveillance.gouv.fr décrit « de multiples vagues d'hameçonnage par SMS, courriels ou même appels audio, de plus en plus variées et personnalisées ». En résumé :
- L'hameçonnage au premier rang des menaces, tous publics confondus, en hausse de 70 % en 2025.
- Plus de 500 000 victimes assistées dans l'année.
- Fraude au faux conseiller bancaire : +159 %, avec de nouvelles variantes comme le faux numéro d'opposition.
- Usurpation de numéro de téléphone : +517 %. C'est ce qui permet d'afficher le vrai numéro d'une banque.
Comment un simple SMS de colis devient une fraude
Exemple, inventé pour illustrer. Un mardi matin, la secrétaire d'un cabinet dentaire reçoit sur le téléphone de l'accueil un SMS « La Poste » : un colis attend, il reste quelques euros de frais à régler pour le livrer. Le cabinet attend justement du matériel. Elle clique, arrive sur une page aux couleurs de La Poste et tape la carte bancaire du cabinet.
Le lendemain, un « conseiller du service fraude » de la banque appelle. Le numéro affiché est bien celui de l'agence. Des paiements suspects ont été repérés, dit-il, il faut les bloquer en validant une opération dans l'application bancaire. En réalité, cette validation autorise un paiement vers l'escroc.
Ce second temps n'a rien d'imaginaire : c'est la fraude au faux conseiller bancaire, dont la forte hausse figure dans les chiffres ci-dessus. Grâce à l'usurpation de numéro, l'appel semble vraiment venir de la banque. Le SMS n'est souvent que la porte d'entrée.
Les faux SMS qui reviennent le plus, et ce que le vrai ne fait jamais
| Le message dit venir de | Ce qu'il raconte | Ce que le vrai ne fait pas |
|---|---|---|
| La Poste, Colissimo | Colis en attente, frais de livraison ou de douane à payer | La Poste ne fait jamais payer de supplément ni de frais de port pour livrer un colis. Seules exceptions : des droits de douane ou un affranchissement non conforme ; on vérifie alors dans l'outil de suivi de laposte.fr, en tapant soi-même l'adresse. |
| Ameli, Assurance Maladie | Nouvelle carte Vitale, remboursement en attente, droits suspendus | Ses SMS viennent d'un seul numéro, le 38 663, et commencent par « ASSURANCE MALADIE » ; elle ne demande jamais vos identifiants, vos informations médicales ni votre numéro de carte bancaire |
| Votre banque | Opération suspecte, carte à bloquer, compte à vérifier | Un conseiller ne vous demandera jamais un code, un mot de passe ou un identifiant |
| ANTAI, amendes | Amende impayée, majoration imminente | L'ANTAI n'envoie jamais de SMS. En ligne, une amende se paie uniquement sur amendes.gouv.fr ou son application officielle (stationnement : stationnement.gouv.fr), à taper soi-même. |
Le logo, le nom familier et le ton officiel ne prouvent rien : ce sont justement les éléments que les fraudeurs copient. La Banque de France rappelle même qu'une administration ou une grande entreprise n'envoie jamais de message depuis un numéro de portable inconnu, en 06 ou 07. Les règles de chaque organisme sont détaillées par La Poste, l'Assurance Maladie et l'ANTAI.
Les cinq règles à donner à votre équipe
- Un message qui presse, c'est un signal d'arrêt. Délai de 24 heures, menace de majoration ou de suspension, petits frais à régler : l'urgence sert à vous empêcher de réfléchir.
- On ne clique pas sur le lien, on fait le chemin soi-même. Pour un colis, l'outil de suivi de La Poste. Pour l'Assurance Maladie, le compte ameli. Pour la banque, son application ou son site tapé à la main. Pour une amende, amendes.gouv.fr.
- Codes, carte, validation dans l'application bancaire : jamais à la demande de quelqu'un. La Banque de France le répète : votre conseiller ne vous demandera jamais un code, un mot de passe ou un identifiant. On ne valide une opération que si on l'a lancée soi-même.
- Un appel qui suit un SMS : on raccroche et on rappelle. Le nom et le numéro de la banque peuvent être usurpés. On rappelle le numéro qu'on connaît (au dos de la carte, dans l'application de la banque), jamais celui donné par l'appelant ou par le message.
- On signale, sans honte. On transfère le SMS au 33700, le numéro national de signalement des SMS et appels indésirables, ou on le signale sur 33700.fr. Et on prévient la personne responsable au bureau.
La cinquième règle compte autant que les autres. Une personne qui a peur d'être jugée se tait, et c'est ce silence qui transforme un clic en perte d'argent. Dites-le clairement : celui qui signale vite rend service à tout le monde, même s'il a cliqué.
Quelqu'un a cliqué : la marche à suivre
Mieux vaut que la réponse soit connue avant d'en avoir besoin. Voici les gestes recommandés par Cybermalveillance.gouv.fr, l'Assurance Maladie et la Banque de France, selon ce qui a été donné.
| Ce qui s'est passé | Quoi faire tout de suite |
|---|---|
| Clic sur le lien, rien saisi | Fermer la page sans rien remplir, prévenir le responsable, transférer le SMS au 33700 |
| Numéro de carte bancaire saisi | Faire opposition immédiatement auprès de la banque, par un canal connu |
| Codes bancaires donnés ou opération validée | Appeler la banque immédiatement, changer ses codes, contrôler les derniers mouvements |
| Identifiants du compte ameli donnés | Appeler le 3646 pour faire fermer temporairement le compte, puis le réactiver avec un nouveau mot de passe |
| Mot de passe professionnel tapé (messagerie, logiciel du cabinet) | Changer ce mot de passe tout de suite et prévenir la personne qui gère votre informatique |
| Argent parti | La banque d'abord, puis une plainte au commissariat ou à la gendarmerie, en gardant le SMS et les captures d'écran |
Pour être guidé pas à pas, 17Cyber, le service public gratuit lancé fin 2024 par la police nationale, la gendarmerie et Cybermalveillance.gouv.fr, pose quelques questions et propose une conduite à tenir. Il s'adresse aussi aux entreprises.
Un point souvent oublié : le mot de passe professionnel. Un faux SMS peut mener vers une fausse page de connexion à la messagerie plutôt qu'à la banque. Cybermalveillance.gouv.fr place d'ailleurs le piratage de comptes en ligne en tête des menaces qui touchent les professionnels (+45 %). Si quelqu'un a tapé son mot de passe, le compte doit être sécurisé le jour même.
Dans un cabinet de santé : trois précautions en plus
Dans un cabinet, un message au nom de l'Assurance Maladie paraît naturel : on parle de carte Vitale et de remboursements toute la journée. Et le téléphone de l'accueil passe souvent de main en main. Quelques règles simples évitent la plupart des pièges.
- Aucun paiement à partir d'un lien reçu par SMS, même de quelques euros : frais de colis, amende, abonnement. Un vrai paiement se fait depuis le site ou l'application qu'on connaît.
- La carte du cabinet n'est jamais tapée sur une page ouverte depuis un message. Si un fournisseur attendu réclame vraiment quelque chose, on l'appelle au numéro qu'on a déjà.
- Un seul nom pour les questions de sécurité. Chacun sait à qui montrer un message douteux, y compris les remplaçants et les stagiaires.
Dix minutes en réunion d'équipe, et c'est fait
Pas besoin d'une formation d'une journée. Un rappel court et concret, répété de temps en temps, vaut mieux qu'une longue présentation oubliée le lendemain.
- Montrer deux ou trois vrais exemples récents, par exemple les alertes publiées par Cybermalveillance.gouv.fr.
- Lire ensemble les cinq règles ci-dessus, en insistant sur la dernière : on signale, sans honte.
- Afficher près de l'accueil une petite fiche avec le 33700, le numéro de la banque, le 3646 de l'Assurance Maladie et le nom de la personne à prévenir.
- Recommencer à chaque arrivée dans l'équipe, et deux fois par an pour tout le monde.
Ce sont des gestes simples, mais ils changent la réaction au moment où le message arrive. Le but n'est pas que votre équipe devienne experte : c'est qu'elle ait le bon réflexe. Ralentir, vérifier, signaler.
Préparer votre équipe aux faux messages→
Questions fréquentes
Comment savoir si un SMS de La Poste est vrai ?
Ne vous fiez pas au message lui-même. Vérifiez le statut de votre envoi dans l'outil de suivi de La Poste, en tapant vous-même l'adresse laposte.fr. La Poste indique qu'elle ne fait jamais payer de supplément ni de frais de port pour livrer un colis ; s'il y a vraiment des droits de douane à régler, le suivi de l'envoi sur laposte.fr l'indique. Et selon la Banque de France, une grande entreprise n'envoie jamais de message depuis un numéro de portable inconnu, en 06 ou 07.
Comment reconnaître un vrai SMS de l'Assurance Maladie ?
Les SMS de votre caisse d'assurance maladie viennent tous d'un seul numéro, le 38 663, et commencent par « ASSURANCE MALADIE ». L'Assurance Maladie ne vous demandera jamais vos identifiants ameli, vos informations médicales, vos coordonnées bancaires complètes ou votre numéro de carte. En cas de doute, passez directement par le compte ameli.
L'ANTAI peut-elle m'envoyer un SMS pour une amende ?
Non. L'ANTAI indique qu'elle n'envoie jamais de SMS. Elle peut envoyer des avis de contravention par courriel, depuis l'adresse [email protected]. En ligne, une amende se paie uniquement sur amendes.gouv.fr ou son application officielle (stationnement : stationnement.gouv.fr), à taper soi-même. L'ANTAI propose aussi le paiement par téléphone, au 0806 20 30 40 (non surtaxé).
Où signaler un faux SMS ?
Transférez-le au 33700, le numéro national de signalement des SMS et appels indésirables, ou signalez-le sur le site 33700.fr. Pour un faux site, vous pouvez aussi utiliser internet-signalement.gouv.fr. Prévenez enfin l'organisme imité : par exemple, La Poste reçoit les courriels frauduleux à [email protected].
J'ai cliqué sur le lien mais je n'ai rien rempli. Est-ce grave ?
Le risque tient surtout à ce qu'on saisit. Fermez la page sans rien remplir, signalez le message et prévenez la personne qui gère votre informatique, qui jugera s'il faut contrôler l'appareil. Si vous avez tapé un code, un mot de passe ou un numéro de carte, suivez sans attendre la marche à suivre de l'article.
Faut-il sensibiliser toute l'équipe ou seulement l'accueil ?
Toute l'équipe. Chaque personne qui a un téléphone professionnel, ou qui lit ses messages au travail, peut recevoir ces SMS. L'accueil est simplement le poste le plus exposé, parce qu'il gère colis, paiements et appels.