Faux SMS : amende, carte Vitale, compte formation

↑ Ce conseil fait partie du guide : Arnaques et hameçonnage

Amende, carte Vitale, compte formation : comment reconnaître un faux SMS ?

Trois repères suffisent : une carte Vitale n'expire pas et ne se renouvelle pas en ligne, le démarchage pour le compte formation est interdit, et le site officiel des amendes est en gouv.fr. Le vrai domaine se lit juste avant le premier « / ». Ne cliquez pas : transférez le message au 33700.

La fausse amende

« Votre avis de contravention n° … reste impayé. Régularisez avant le … pour éviter une majoration. » Le message imite l'agence nationale de traitement automatisé des infractions. Il marche parce que presque tout le monde a un doute sur un excès de vitesse quelque part.

Ce qui le trahit : l'adresse du lien. Le site officiel des amendes est en .gouv.fr, et le vrai domaine se lit juste avant le premier « / ». Tout ce qui ressemble à antai-amendes-gouv.fr ou amendes.gouv.fr.paiement-x.com n'est pas l'État. Un avis authentique arrive par courrier ; le paiement se fait en tapant soi-même l'adresse officielle.

La même fausse amende circule aussi sur papier, avec un QR code à scanner, glissée sous l'essuie-glace ou collée sur un horodateur : les trois seuls sites de paiement légitimes et les réflexes à avoir sont détaillés dans j'ai scanné un faux QR code, qu'est-ce que je risque.

La carte Vitale à renouveler

« Votre carte Vitale arrive à expiration, mettez-la à jour pour continuer à être remboursé. » Variante saisonnière : un remboursement en attente.

Deux points suffisent : une carte Vitale n'expire pas et ne se « renouvelle » pas par internet, et l'Assurance maladie ne demande jamais de coordonnées bancaires par SMS. Le faux site reprend à l'identique le parcours du vrai, jusqu'au formulaire qui réclame le numéro de sécurité sociale, puis la carte bancaire.

Le compte formation

« Vos droits formation vont expirer, utilisez-les avant la fin du mois. » Cette campagne a pris une telle ampleur que le dispositif a été renforcé : le démarchage téléphonique et par SMS pour le compte personnel de formation est interdit. Un appel ou un message qui vous propose d'utiliser vos droits est donc, par construction, illégal.

L'accès au compte se fait uniquement par le service officiel, avec l'identité numérique — pas par un lien reçu.

Si une formation a déjà été inscrite sans vous — par SMS, par un appel, ou sans aucun contact préalable — ce n'est plus une question de reconnaître le message : c'est une question de délai. La marche à suivre, le délai légal pour annuler gratuitement et la procédure si c'est trop tard sont détaillés dans compte CPF piraté : la fenêtre de 14 jours pour annuler sans frais.

Le mécanisme, identique dans les trois cas

• Un organisme connu dont personne ne doute.
• Un motif plausible et une échéance courte.
• Un lien vers un domaine qui imite l'officiel, souvent enregistré la veille.
• Une page copiée à l'identique, qui demande d'abord des informations anodines, puis la carte bancaire.
• Parfois, un appel dans la foulée pour « valider » — et c'est là que le code reçu par SMS est demandé. Voir l'arnaque au faux conseiller bancaire.

Si vous avez cliqué, ou saisi quelque chose

1. Rien saisi ? Il ne se passe généralement rien : un simple affichage de page ne suffit pas à infecter un téléphone à jour. Supprimez le message et passez à autre chose.
2. Carte bancaire saisie : opposition immédiate, puis surveillance des relevés. Ne validez surtout aucune notification de paiement dans les heures qui suivent — c'est le moment que l'escroc attend.
3. Identifiants saisis : changez-les sur le vrai site, et partout où le même mot de passe servait — mot de passe volé.
4. Signalez le SMS au 33700 en le transférant : c'est ce qui fait fermer les numéros de collecte.

Le détail des vérifications après un clic est dans j'ai cliqué sur un lien de phishing.

Ce que devient le numéro de carte que vous avez saisi

Les faux SMS administratifs ne cherchent qu'une chose : vos données bancaires, via un paiement de quelques euros qui paraît anodin. Voici ce qui se passe ensuite, et ce qu'il faut faire.

1. Faites opposition immédiatement. Le numéro, la date d'expiration et le cryptogramme suffisent pour payer ailleurs : la carte est compromise même si seul le petit montant apparaît.
2. Attendez-vous à un appel. C'est la suite classique : un faux conseiller bancaire vous téléphone dans les jours qui suivent, cite le paiement que vous venez de faire pour se rendre crédible, et vous demande de valider une authentification dans votre application « pour bloquer la fraude ». Cette validation autorise un virement. Aucune banque ne demande jamais de valider quoi que ce soit par téléphone.
3. Contestez l'opération auprès de votre banque, par écrit, et faites un signalement Perceval : il produit un récépissé qui appuie la demande de remboursement.
4. Surveillez les prélèvements de votre espace client bancaire pendant trois mois : les débits de test précèdent les gros.
5. Transférez le SMS au 33 700 : c'est ce qui fait fermer les numéros émetteurs.

Comment on accède aux vrais services, sans jamais cliquer

La parade est simple et elle vaut pour les trois cas — amende, carte Vitale, compte formation : on n'arrive jamais sur un service public par un lien reçu. On y va soi-même.

• Une amende se règle sur le site officiel des amendes, en saisissant manuellement l'adresse et le numéro d'avis figurant sur l'avis papier.
• La carte Vitale se gère depuis votre espace client Ameli, dont vous tapez l'adresse ou que vous ouvrez depuis l'application. Une carte Vitale ne se « renouvelle » pas contre paiement, jamais.
• Le compte formation n'est accessible qu'avec FranceConnect+ et l'identité numérique de La Poste. Aucun organisme ne peut vous demander vos identifiants : c'est même la raison d'être de ce dispositif.

Deux habitudes qui referment définitivement la porte : enregistrez ces trois sites dans vos favoris et passez toujours par eux ; et n'utilisez jamais la fonction « mémoriser ma carte » sur un site administratif — un vrai service public n'en a pas besoin, et sa présence est déjà un signe.

Le lien reçu n'est pas la seule porte d'entrée vers le mauvais site : le moteur de recherche en est une autre. Des sites privés s'y placent devant le guichet officiel et facturent une démarche gratuite — voir le faux site administratif, et les recours quand on a déjà payé.

La même règle vaut hors de l'administration, chez les fournisseurs d'énergie : là aussi un faux message réclame un paiement ou un IBAN, et là aussi le calendrier légal le démasque — voir le faux mail EDF et la coupure en 48 heures qui n'existe pas.

Et si ces messages arrivent désormais par rafales de trois ou quatre par jour, le problème n'est plus de décrypter chacun d'eux : c'est le flux qu'il faut couper. Les réglages de filtrage du téléphone et le signalement en deux temps sont réunis dans bloquer les SMS indésirables.

Quand il est trop tard : ce qui se rattrape, ce qui ne se rattrape pas

Il faut le dire sans enrober : tout ne se récupère pas, et le facteur qui décide est le délai.

• Ce qui se rattrape presque toujours : un paiement par carte contesté dans les jours qui suivent, un mot de passe changé avant que le compte ne serve, un prélèvement récurrent stoppé dès la première ligne sur le relevé.
• Ce qui se rattrape parfois : un virement signalé dans les heures, pour lequel la banque lance un rappel de fonds. Passé quelques jours, l'argent a circulé sur plusieurs comptes.
• Ce qui ne se rattrape pas : un paiement en cryptomonnaie, un envoi par service de transfert d'argent, et les données personnelles déjà transmises — nom, date de naissance, numéro de sécurité sociale. Celles-là ne se reprennent pas ; elles serviront à une arnaque plus crédible dans six mois.

C'est pour ça que la vigilance ne s'arrête pas au signalement : surveillez vos relevés pendant plusieurs mois, et méfiez-vous des appels qui citeront vos vraies informations.

Si vous voulez qu'on vérifie ce qui a été touché — navigateur, comptes, prélèvements — le diagnostic de quinze minutes au téléphone est gratuit, et l'assistance à distance démarre à 19 € la demi-heure. Un nettoyage complet, si une application a été installée, part de 39 €. Au Mans et en Sarthe, le déplacement est possible dès 49 €.

Questions fréquentes

Comment savoir si une amende est réelle ?

En ne passant jamais par le lien du message : tapez vous-même l'adresse du site officiel des amendes, ou attendez le courrier. Un avis authentique est consultable depuis votre espace, avec le numéro figurant sur l'avis papier.

Ma carte Vitale peut-elle vraiment expirer ?

Non. Elle se met à jour en borne ou en pharmacie, gratuitement, et l'Assurance maladie ne demande jamais de coordonnées bancaires par SMS.

J'ai transféré le SMS au 33700, et après ?

Vous recevez une demande de confirmation du numéro expéditeur : répondez-y, c'est cette réponse qui déclenche le traitement. Le service ne vous recontacte pas ensuite ; l'action se joue côté opérateurs.

Mon numéro est-il désormais grillé ?

Répondre ou cliquer confirme que le numéro est actif, donc oui, vous en recevrez sans doute d'autres. Ce n'est pas grave en soi : ces campagnes sont massives et aveugles.

J'ai payé sur un faux site d'amende, que faire ?

Opposition tout de suite : le numéro, la date et le cryptogramme suffisent pour payer ailleurs. Contestez l'opération par écrit, faites un signalement Perceval, et attendez-vous à un appel d'un faux conseiller bancaire dans les jours qui suivent.

Comment vérifier une amende ou une carte Vitale ?

En tapant vous-même l'adresse du service officiel, ou depuis vos favoris — jamais par le lien du message. Une carte Vitale ne se renouvelle jamais contre paiement, et une amende se règle avec le numéro d'avis figurant sur l'avis papier.

Pourquoi le SMS connaît-il mon nom ?

Parce qu'il provient d'une fuite de données, pas d'un service public. Nom, numéro et parfois adresse circulent par listes entières. Un message personnalisé n'est donc pas une preuve d'authenticité — c'est devenu la norme.

À lire aussi : l'arnaque au colis par SMS · le faux mail des impôts · le guide des arnaques.