Ce SMS de « rappel dentaire » n’avait probablement rien à voir avec un rendez-vous médical. Il s’agit très certainement d’une tentative de smishing, une arnaque par SMS qui usurpe l’identité d’un expéditeur de confiance pour vous faire cliquer sur un lien piégé, lequel déclenche ensuite une fausse demande de validation sur l’application Itsme. Le mécanisme est connu, documenté, et malheureusement en pleine expansion en Belgique.
À retenir
- Un SMS anodin déclenche une demande Itsme que vous n’avez pas initiée — mais qu’en approuvant, vous pourriez autoriser un escroc à accéder à votre compte bancaire
- Le nombre de cas de smishing a explosé : de un tiers des arnaquages en 2020 à plus de la moitié en 2022, avec des vagues de 1 600 signalements en une seule semaine
- Si vous avez approuvé une demande Itsme suspecte, chaque seconde compte — voici exactement ce qu’il faut faire pour limiter les dégâts
Comment un simple clic déclenche une demande Itsme fantôme
Le scénario que vous avez vécu colle presque au millimètre à celui décrit par les autorités belges depuis plusieurs années. Vous recevez un SMS qui semble légitime, parfois envoyé depuis un numéro que vous avez déjà vu (le fameux 8850, par exemple), vous cliquez sur le lien pensant confirmer un rendez-vous, et vous atterrissez sur une page qui ressemble à s’y méprendre à un site officiel. L’escroc vous demande alors une confirmation dans Itsme, avec laquelle vous pouvez, sans vous en rendre compte, approuver un paiement vers le compte de l’escroc, donner accès à votre application bancaire, ou confirmer une action que vous n’aviez jamais demandée.
Le piège fonctionne parce que la page frauduleuse copie l’apparence du vrai service. En cliquant sur le lien, vous êtes renvoyé vers une page semblable au site officiel, qui n’est en réalité qu’une réplique sur laquelle les informations que vous introduisez sont directement transmises aux pirates. Et c’est précisément là que la demande Itsme « sans rien lancer » prend tout son sens : ce n’est pas vous qui l’avez initiée. C’est le pirate, de l’autre côté, qui vient de saisir vos identifiants sur le vrai site d’Itsme ou de votre banque, provoquant l’envoi automatique d’une notification de validation sur votre téléphone. Vous pensiez confirmer un rendez-vous chez le dentiste, vous étiez en fait en train de valider, potentiellement, l’accès à votre compte bancaire pour un inconnu.
Un phénomène qui explose, chiffres à l’appui
Ce n’est pas un cas isolé ni une paranoïa de votre part. Le nombre de cas de phishing signalés est en solide hausse, avec plus de 40.000 cas signalés chaque jour en Belgique. Rien que ça. Et Itsme, précisément parce que c’est devenu l’outil d’identification numérique le plus utilisé du pays, est devenu une cible de choix pour les escrocs. Les attaques observées concernent souvent des SMS prétendument envoyés par Itsme, et comme les citoyens utilisent de plus en plus cette application, notamment en raison de la généralisation du télétravail, les escrocs ont saisi l’occasion.
Le SPF Économie, qui centralise les signalements, a d’ailleurs documenté cette progression avec des chiffres parlants. Les cas de smishing ont enregistré une forte croissance : alors qu’en 2020 ces arnaques ne concernaient qu’un tiers des signalements (4.997 cas par SMS contre 8.354 par e-mail), elles représentaient près de la moitié des signalements en 2021, voire plus de la moitié en 2022. Petite anecdote qui illustre bien l’ampleur du problème : lors d’une seule vague, Safeonweb a reçu plus de 1.600 signalements en une semaine d’un message bilingue intitulé « Service notification / Avis de service », encourageant les destinataires à cliquer sur un lien pour effectuer soi-disant une vérification. Mille six cents personnes, en sept jours, juste pour une seule campagne. Le dentiste n’est qu’un déguisement parmi tant d’autres : SPF Finances, Engie, Card Stop, votre opérateur télécom, tout prétexte crédible fait l’affaire pour les fraudeurs.
Ce qu’il faut faire si vous avez cliqué
La première règle, et elle vaut de l’or : Itsme ne contactera jamais ses utilisateurs par SMS pour leur demander une action. Itsme ne vous contactera jamais par e-mail, SMS ou téléphone pour vous demander de réactiver votre compte et de réintroduire vos coordonnées bancaires. Si un message vous pousse dans cette direction, c’est déjà suspect à cent pour cent.
Si vous avez cliqué sur le lien sans transmettre de données, respirez : le mal n’est pas forcément fait. Mais si une demande de validation Itsme s’est affichée et que vous l’avez approuvée par réflexe, il faut agir vite. Contactez votre banque et/ou Card Stop au 078 170 170 si vous avez transmis des informations bancaires, si de l’argent disparaît de votre compte ou si vous avez transféré de l’argent à un fraudeur, cela permet de bloquer les transactions frauduleuses. Le réflexe suivant consiste à changer immédiatement vos mots de passe si vous les utilisez ailleurs, et à ne surtout pas continuer à interagir avec la page suspecte. Si vous avez cliqué, laissez les champs vides et interrompez toute interaction, et ne donnez jamais de codes personnels.
Autre point à connaître avant de foncer réclamer un remboursement : les banques ne sont pas toujours coopératives. Si un fraudeur parvient à retirer de l’argent de votre compte, vous ne pourrez généralement pas le récupérer auprès de votre banque, qui invoque très rapidement l’argument de la « négligence grave ». Autant dire que la meilleure défense reste la prévention, pas la réparation après coup.
Signaler, c’est aussi protéger les autres
Au-delà de votre propre cas, un signalement peut éviter que le prochain destinataire ne tombe dans le panneau. La démarche est simple et ne prend que quelques secondes. Vous pouvez transmettre les messages frauduleux, y compris les SMS, à suspect@safeonweb.be, en sélectionnant le texte du SMS et en le copiant dans un e-mail avant de l’envoyer. Safeonweb, la plateforme fédérale dédiée à la cybersécurité, utilise ces signalements pour faire bloquer les liens malveillants et alerter le public via des bandeaux d’avertissement sur les sites concernés.
Un détail technique mérite d’être connu : ces campagnes frauduleuses ne sont souvent pas envoyées depuis la Belgique. Des analyses menées sur des URL de smishing liées à Itsme ont montré des origines allant jusqu’à la Russie, ou passant par des nœuds de sortie VPN et Tor, ce qui rend les fraudeurs quasiment intraçables et explique pourquoi ces vagues se répètent, mois après mois, malgré les mises en garde répétées des banques et des pouvoirs publics.
Sources : lavenir.net | mega.be