Arnaque par SMS, WhatsApp ou message :
comment quelques minutes suffisent pour voler de l’argent ou des données.

L’étude publiée par Kaspersky en juin 2026 porte sur les escroqueries reçues dans les messageries et applications de communication. Elle indique que 51 % des victimes interrogées ont perdu de l’argent et que 43 % ont transmis des données personnelles. Une même victime peut subir les deux conséquences.

Les plateformes les plus citées dans cette enquête mondiale sont WhatsApp à 43 %, les SMS et iMessage à 40 %, Facebook à 27 %, Telegram à 22 % et Instagram à 19 %. Les faux avis de livraison arrivent en tête des scénarios évoqués, devant les arnaques à l’investissement et l’usurpation de marques.

Ces résultats décrivent une tendance internationale, pas une mesure exhaustive de la fraude en France. Le chiffre de 1 027 euros de perte moyenne française, présent dans la version initiale, ne doit donc pas être présenté comme une statistique nationale officielle. Il dépend du périmètre et de la méthodologie de l’enquête Kaspersky.

La tendance générale est en revanche solidement confirmée par les autorités françaises. Cybermalveillance.gouv.fr continue en 2026 de mettre à jour ses alertes consacrées au smishing, aux faux colis, aux faux remboursements d’impôt, aux faux messages Ameli et au faux numéro d’opposition bancaire. La DGCCRF rappelle elle aussi que les SMS incitant à rappeler un numéro ou à cliquer sur un lien restent un vecteur classique d’escroquerie.

Le point central n’est donc pas de retenir un montant moyen comme s’il s’appliquait à chaque victime. Une fraude peut coûter quelques euros, vider un compte, permettre une usurpation d’identité ou simplement fournir aux escrocs les informations nécessaires à une seconde attaque plus ciblée.

Cette logique en plusieurs étapes se retrouve dans d’autres menaces numériques suivies par WY-Créations, notamment le démantèlement d’un botnet ayant compromis des millions d’appareils : la première compromission n’est souvent que le début de l’exploitation.

Le faux avis de livraison reste l’un des thèmes les plus massivement utilisés. Cybermalveillance.gouv.fr a encore actualisé sa fiche dédiée en août 2026. Le message prétend qu’un colis ne peut pas être livré, qu’il faut choisir un créneau ou payer quelques euros de frais. Le montant faible réduit la méfiance, mais le véritable objectif peut être de récupérer les coordonnées bancaires, installer un logiciel malveillant ou déclencher un abonnement.

Les faux remboursements exploitent le mécanisme inverse : au lieu de faire peur, ils promettent de l’argent. En juillet et septembre 2026, Cybermalveillance.gouv.fr a de nouveau alerté sur les messages usurpant l’administration fiscale pendant la campagne de remboursement d’impôt. Un montant précis et une présentation proche des codes officiels servent à rendre le message crédible.

L’Assurance Maladie reste elle aussi usurpée. Un SMS peut annoncer un remboursement en attente, une nouvelle carte Vitale ou des frais d’expédition. Le but est toujours de conduire la victime vers un formulaire qui collecte ses données personnelles ou bancaires.

Les banques font l’objet d’un scénario plus agressif : une opération frauduleuse serait en cours et nécessiterait une action immédiate. Le message peut être suivi d’un appel d’un faux conseiller. Bercy rappelait encore en août 2026 que le spoofing permet aux fraudeurs de se présenter comme le service antifraude d’une banque et de pousser la victime à valider elle-même une opération.

Les administrations sont également imitées pour de fausses amendes, de prétendues saisies ou des dossiers à régulariser. En mars 2026, le ministère de l’Économie alertait notamment sur des courriels évoquant une « dernière relance » avant saisie administrative.

Le point commun est toujours le même : une identité connue, un motif plausible et une action à réaliser immédiatement. La qualité graphique du message est devenue secondaire. Même un SMS parfaitement écrit et sans faute peut être frauduleux.

L’intelligence artificielle facilite la production de textes propres, la traduction, la personnalisation à grande échelle et la création de contenus visuels ou vocaux crédibles. Elle réduit donc certains indices historiques du phishing, notamment les fautes grossières ou les formulations maladroites.

Elle ne rend toutefois pas chaque arnaque indétectable. Les campagnes les plus efficaces reposent encore sur des ressorts anciens : autorité, peur, urgence, confiance et opportunité financière. L’IA améliore l’habillage et la vitesse de production ; elle ne change pas le principe fondamental de l’ingénierie sociale.

Les deepfakes vocaux ou vidéo ajoutent un risque lorsqu’un fraudeur cherche à imiter un proche, un dirigeant ou un interlocuteur connu. Là encore, le bon réflexe n’est pas d’essayer de déterminer à l’oreille si une voix est synthétique. Il faut vérifier la demande par un autre canal et, dans un contexte professionnel, appliquer une procédure de validation indépendante pour tout paiement inhabituel.

Les technologies de sécurité évoluent elles aussi. La double authentification reste utile, mais elle ne protège pas lorsqu’une victime remet volontairement son code ou valide une opération sous la pression d’un faux conseiller. WY-Créations a détaillé cette limite dans l’analyse consacrée à Kali365 et au contournement de certaines protections Microsoft.

La multiplication des données numériques disponibles facilite également la personnalisation des attaques. Les questions de surveillance et de collecte ne sont donc pas séparées de la fraude. L’enquête sur les logiciels espions à bas coût utilisés en Italie illustre à quel point l’accès à des données personnelles peut transformer la capacité d’un tiers à cibler une personne.

Si vous avez seulement ouvert un lien sans saisir d’information ni installer de fichier, fermez la page. Si vous avez communiqué un mot de passe, changez-le immédiatement depuis le site officiel et modifiez aussi les autres comptes sur lesquels vous utilisez le même mot de passe.

Si des coordonnées bancaires ont été transmises, contactez sans attendre votre banque par ses canaux officiels. Faites opposition lorsque la situation l’exige et surveillez les opérations. En cas de débit frauduleux, la réglementation prévoit des procédures de contestation et de remboursement, mais les conditions dépendent notamment de la nature de l’opération et des circonstances.

Service-Public rappelle qu’un paiement frauduleux par carte doit être contesté rapidement. Le délai maximal est généralement de treize mois pour une opération dans l’Espace économique européen, mais attendre est une mauvaise stratégie : plus le signalement est rapide, plus la banque peut sécuriser les moyens de paiement et examiner les mouvements.

Si une application ou un fichier a été installé à la demande du fraudeur, déconnectez l’appareil du réseau si vous suspectez une prise de contrôle et faites-le examiner. Un logiciel de téléassistance légitime peut être détourné pour permettre au faux conseiller d’observer ou de piloter l’écran.

Conservez les preuves : captures d’écran, numéro, adresse du site, messages, historique des appels, références des virements ou paiements. Elles seront utiles pour la banque, les plateformes de signalement et, si nécessaire, le dépôt de plainte.

Le 33700 permet de signaler les SMS et appels indésirables. Les victimes peuvent également utiliser les services d’assistance et de diagnostic de Cybermalveillance.gouv.fr. Une fraude réussie ne doit pas conduire à supprimer immédiatement toutes les traces avant de les avoir conservées.

Les attaques évoluent aussi avec l’actualité technologique et économique. Les dossiers suivis par WY-Créations, du rachat en cours de SFR par Orange, Free et Bouygues aux nouvelles pratiques de sécurité, montrent pourquoi la date et la source d’une information doivent toujours être vérifiées avant d’agir.