Le message indique que tu as une affaire en suspens. Une commande, un paiement, un problème sur ton compte. Le message est court, il a l'air banal et t'invite à cliquer sur un lien. Mais derrière ce message, il peut se cacher tout un réseau de personnes et de services.
Le 14 octobre 2026, Microsoft a publié une étude sur un écosystème organisé de hameçonnage : des créateurs d’outils, des revendeurs d’infrastructures et des acheteurs qui utilisent ces services pour mener des attaques. L'intérêt pour l'utilisateur lambda est d'ordre pratique. L'arnaque peut arriver sur le portable sous la forme d'un simple SMS, alors qu'elle est produite à grande échelle.
Ce que l'enquête a révélé
Au cœur de cette affaire se trouvent le marché noir YAM Store et trois outils de hameçonnage : CoGUI, Haozi et Iron Man System. Selon Microsoft, depuis janvier 2026, les auteurs de ces attaques ont facilité l’envoi de plus d’un milliard d’e-mails et de SMS frauduleux à plus de 75 000 organisations à l’échelle internationale.
Ces chiffres concernent l’activité décrite dans cette enquête. Ils ne signifient pas qu’il y ait un milliard de victimes, ni ne prouvent que chaque SMS suspect que nous recevons en Grèce provienne du même réseau.
L’infrastructure comprenait des environnements cloud piratés ou acquis frauduleusement, qui étaient revendus pour être utilisés par d’autres malfaiteurs. Cela montre comment les outils et les accès peuvent être partagés entre différents membres d’un réseau criminel.
Le piège fonctionne parce qu’il ressemble à une petite formalité en suspens
Le terme « phishing » désigne la tentative de vol d’informations par le biais d’une communication trompeuse. Lorsqu’il s’agit d’un SMS, on parle également de « smishing ». La cible peut être votre mot de passe, vos données financières ou la validation d’une action que vous n’avez pas comprise.
La FTC décrit les prétextes courants : une activité prétendument suspecte, un problème de paiement, la nécessité de confirmer des informations ou un faux justificatif. Le contenu crée un sentiment d’urgence et présente le lien comme une solution facile.
Prenons un exemple hypothétique : vous attendez réellement une commande et vous recevez un message vous indiquant qu’il manque une information pour la livraison. Le fait que vous attendiez un colis rend cette histoire plausible. Mais cela ne confirme pas l’identité de la personne qui vous a envoyé le message.
Pourquoi « ça a l’air normal » ne suffit pas
Un logo peut être copié. Un lien peut contenir des mots familiers et mener ailleurs. Microsoft recommande de vérifier l’adresse réelle et de vérifier les demandes inattendues, même lorsqu’elles semblent provenir d’une source reconnaissable.
Même un grec correct ne constitue pas une garantie d’authenticité. Les fautes de langue sont un indice utile lorsqu’elles sont présentes, mais leur absence ne prouve pas que l’expéditeur soit fiable.
Si vous accédez à un site web, le protocole HTTPS indique que la connexion est cryptée. Il ne certifie pas que le propriétaire du site est bien celui qu’il prétend être. La question cruciale reste de savoir quel service vous avez ouvert et par quel chemin d'accès.
La procédure en trois étapes
- Fermez le message pendant un moment. Ne répondez pas et ne cédez pas à la pression qui vous pousse à agir immédiatement.
- Accédez vous-même au service. Utilisez l’application que vous possédez déjà ou l’adresse que vous connaissez. Pour confirmation, trouvez les coordonnées indépendamment du SMS suspect.
- Vérifie s’il y a réellement un dossier en cours. Si tu ne trouves pas ce que le message prétend, demande des précisions au service client officiel.
Cette procédure est utile même lorsque vous ne parvenez pas à évaluer une adresse complexe. Au lieu d'essayer de prouver que le lien suspect est sûr, accédez au service via votre propre chemin d'accès habituel.
Si vous avez cliqué ou saisi des informations
Commence par distinguer ce qui s’est passé. Cliquer sur un lien, saisir un mot de passe et valider une transaction sont des situations différentes. Ne partez pas du principe que vous avez tout perdu simplement parce que vous avez ouvert une page, mais ne négligez pas ce que vous avez saisi ou approuvé.
- Pour le mot de passe de votre compte : modifiez-le via le service officiel et vérifiez les autres comptes sur lesquels vous utilisiez le même.
- En cas d’accès potentiel à votre messagerie : vérifiez vos appareils, l’activité récente, vos informations de récupération et les règles de transfert inconnues.
- Pour les informations de carte bancaire ou une transaction : préviens immédiatement ta banque via son canal officiel.
- Concernant un fichier ou une application que vous avez installée : demandez une analyse de l'appareil et utilisez des outils de sécurité fiables.
Conservez le message et les éléments pertinents pour signaler l'incident. Ne les republiez pas s'ils contiennent des liens actifs dangereux ou des informations personnelles concernant d'autres personnes.
Deux habitudes que vous devriez changer dès aujourd’hui
Utilisez des mots de passe différents pour vos comptes importants et activez une protection supplémentaire lors de la connexion. Lorsqu’elles sont prises en charge, les clés d’accès (passkeys) offrent une protection contre le phishing au niveau du processus de connexion. Cela ne dispense toutefois pas de vérifier un paiement ou toute autre autorisation.
Au sein de la famille ou d’un petit groupe, convenez également d’une pratique simple : avant de régler une facture imprévue ou de modifier les coordonnées d’un partenaire, procédez à une confirmation via un moyen de communication déjà connu. Personne n’a à avoir honte d’avoir demandé une double vérification.
Photo illustrative : Jonas Leupe / Unsplash.