Faux SMS de bpost, d'itsme ou de la banque : que dire à son équipe ?
Dites-leur trois choses simples. Un SMS qui presse, ou qui demande de payer, de « réactiver » ou de confirmer quelque chose, est suspect par principe. On ne clique jamais sur son lien : on passe par l'application ou le site qu'on connaît. Et on le signale sans honte, par une capture d'écran envoyée à [email protected]. Si quelqu'un a déjà donné sa carte ou ses codes, chaque minute compte : Card Stop (078 170 170) et la banque d'abord.
Pourquoi en parler à toute l'équipe
Les faux SMS ne visent pas seulement les particuliers. Le téléphone de l'accueil, le GSM professionnel du gérant ou celui d'une assistante reçoivent les mêmes messages que tout le monde. Et dans une entreprise, un seul clic peut coûter de l'argent, ou ouvrir l'accès à un compte.
Deux mots pour être clair. Le phishing (en français, hameçonnage) est un faux message qui imite une organisation de confiance pour vous faire cliquer, payer ou donner vos codes. Quand il arrive par SMS, on parle de smishing.
Les chiffres belges donnent l'échelle. Ils viennent du dossier 2025 de Febelfin, la fédération des banques, qui reprend aussi les données de Safeonweb, le service du Centre pour la Cybersécurité Belgique :
- Près de 26 000 signalements par jour de messages suspects à Safeonweb, soit environ 9,5 millions par an.
- 49 millions d'euros détournés par phishing en 2024.
- 75 % des virements frauduleux détectés, bloqués ou récupérés par les banques.
- 13 % des Belges interrogés disent en avoir déjà été victimes.
Comment un simple SMS de colis devient une fraude
Exemple, inventé pour illustrer. Un mardi matin, la secrétaire d'un cabinet dentaire reçoit sur le téléphone de l'accueil un SMS « bpost » : un colis attend, il reste quelques euros de frais à régler pour le livrer. Le cabinet attend justement du matériel. Elle clique, arrive sur une page aux couleurs de bpost et tape la carte de débit du cabinet.
Le lendemain, un « employé de la banque » appelle. Des paiements suspects ont été repérés, dit-il, il faut les annuler en les confirmant dans itsme. En réalité, chaque confirmation valide un paiement vers l'escroc.
Ce second temps n'a rien d'imaginaire : Febelfin le décrit dans son dossier. Les victimes croient annuler des paiements suspects via itsme et approuvent en fait ceux du fraudeur. Febelfin note aussi que les fraudeurs convainquent de plus en plus souvent leurs victimes de faire elles-mêmes le virement. Le SMS n'est souvent que la porte d'entrée.
Les faux SMS qui reviennent le plus, et ce que le vrai ne fait jamais
| Le message dit venir de | Ce qu'il raconte | Ce que le vrai ne fait pas |
|---|---|---|
| bpost | Colis en attente, frais à payer, dernier délai | bpost ne cherche jamais à vous stresser ni à vous menacer, et vous ne devez jamais donner votre code PIN ou votre numéro de carte à la suite d'un message |
| itsme | Compte bloqué, à réactiver ou à mettre à jour | itsme ne vous contacte jamais par e-mail, SMS ou téléphone pour réactiver votre compte : tout se fait dans l'application |
| Votre banque | Carte qui expire, paiement suspect, compte à vérifier | Une banque ne demande jamais vos codes bancaires, ni par SMS, ni par téléphone, ni par e-mail |
| Card Stop | Carte bloquée, rappelez ce numéro | Card Stop ne demande pas vos codes non plus ; son numéro est le 078 170 170 |
| Mutualité, INAMI, compagnie des eaux (SMS ou e-mail) | Remboursement en attente, facture impayée | On vérifie en se connectant soi-même à son espace en ligne, jamais par le lien reçu |
Les messages au nom d'une mutualité ou de l'INAMI (surtout par e-mail) et d'une compagnie des eaux (par e-mail et par SMS) figuraient parmi les plus signalés à Safeonweb au premier semestre 2025, d'après la liste des dix messages les plus signalés que Safeonweb a publiée en août 2025 (reprise ici par Forum for the Future). Le logo, le nom familier et le ton officiel ne prouvent rien : ce sont justement les éléments que les fraudeurs copient.
Les cinq règles à donner à votre équipe
- Un message qui presse, c'est un signal d'arrêt. Délai de 24 heures, menace de blocage, petits frais à régler : l'urgence sert à vous empêcher de réfléchir. bpost le dit sans détour : si c'est urgent, c'est très probablement une arnaque.
- On ne clique pas sur le lien, on fait le chemin soi-même. Pour un colis, l'application My bpost. Pour la banque, son application ou son site tapé à la main. Pour itsme, l'application itsme.
- Codes, PIN, carte, confirmation itsme : jamais à la demande de quelqu'un. Une banque ne demande jamais vos codes. Et dans itsme, on ne confirme une action que si on l'a lancée soi-même : itsme explique que la fraude repose justement sur une demande que vous n'avez pas initiée.
- Un appel qui suit un SMS : on raccroche et on rappelle. On rappelle le numéro qu'on connaît (au dos de la carte, dans l'application de la banque), jamais celui donné par l'appelant ou par le message.
- On signale, sans honte. Une capture d'écran du SMS envoyée à [email protected] suffit, à condition que le lien soit visible : inutile de le recopier. Et on prévient la personne responsable au bureau.
La cinquième règle compte autant que les autres. Une personne qui a peur d'être jugée se tait, et c'est ce silence qui transforme un clic en perte d'argent. Dites-le clairement : celui qui signale vite rend service à tout le monde, même s'il a cliqué.
Quelqu'un a cliqué : la marche à suivre
Selon l'enquête Febelfin, 39 % des 16-30 ans ne sauraient pas quoi faire après un phishing réussi, et 27 % des 31-79 ans. Febelfin insiste : la rapidité de réaction fait souvent la différence entre des pertes limitées et des dommages importants. Mieux vaut donc que la réponse soit connue avant d'en avoir besoin.
| Ce qui s'est passé | Quoi faire tout de suite |
|---|---|
| Clic sur le lien, rien saisi | Fermer la page sans rien remplir, prévenir le responsable, signaler le SMS à [email protected] |
| Numéro de carte ou code PIN saisi | Appeler Card Stop au 078 170 170 pour bloquer la carte, puis la banque |
| Codes bancaires donnés ou confirmation itsme faite | Appeler la banque immédiatement, changer ses codes, contrôler les derniers mouvements |
| Mot de passe professionnel tapé (messagerie, logiciel du cabinet) | Changer ce mot de passe tout de suite et prévenir la personne qui gère votre informatique |
| Argent parti | La banque d'abord, puis une plainte à la police, en gardant le SMS et les captures d'écran |
Un point souvent oublié : le mot de passe professionnel. Un faux SMS peut mener vers une fausse page de connexion à la messagerie plutôt qu'à la banque. Si quelqu'un y a tapé son mot de passe, le compte doit être sécurisé le jour même, pas à la fin de la semaine.
Dans un cabinet de santé : trois précautions en plus
Dans un cabinet, les messages au nom de l'INAMI ou d'une mutualité paraissent naturels : on parle de remboursements toute la journée. Et le téléphone de l'accueil passe souvent de main en main. Quelques règles simples évitent la plupart des pièges.
- Aucun paiement à partir d'un lien reçu par SMS, même de quelques euros : frais de colis, amende, abonnement. Un vrai paiement se fait depuis le site ou l'application qu'on connaît.
- La carte du cabinet n'est jamais tapée sur une page ouverte depuis un message. Si un fournisseur attendu réclame vraiment quelque chose, on l'appelle au numéro qu'on a déjà.
- Un seul nom pour les questions de sécurité. Chacun sait à qui montrer un message douteux, y compris les remplaçants et les stagiaires.
Dix minutes en réunion d'équipe, et c'est fait
Pas besoin d'une formation d'une journée. Un rappel court et concret, répété de temps en temps, vaut mieux qu'une longue présentation oubliée le lendemain.
- Montrer deux ou trois vrais exemples récents, tirés des avertissements publiés par Safeonweb.
- Lire ensemble les cinq règles ci-dessus, en insistant sur la dernière : on signale, sans honte.
- Afficher près de l'accueil une petite fiche avec [email protected], Card Stop au 078 170 170, le numéro de la banque et le nom de la personne à prévenir.
- Recommencer à chaque arrivée dans l'équipe, et deux fois par an pour tout le monde.
Ce sont des gestes simples, mais ils changent la réaction au moment où le message arrive. Le but n'est pas que votre équipe devienne experte : c'est qu'elle ait le bon réflexe. Ralentir, vérifier, signaler.
Préparer votre équipe aux faux messages→
Questions fréquentes
Comment savoir si un SMS de bpost est vrai ?
Ne vous fiez pas au message lui-même. Vérifiez votre colis dans l'application My bpost ou sur le site de suivi officiel de bpost, en y allant vous-même. bpost rappelle qu'elle ne cherche jamais à vous mettre la pression et qu'il ne faut jamais donner son code PIN ou son numéro de carte à la suite d'un message.
itsme peut-il m'envoyer un SMS pour réactiver mon compte ?
Non. itsme indique qu'elle ne vous contacte jamais par e-mail, SMS ou téléphone pour réactiver votre compte, mettre à jour vos données ou retaper vos coordonnées bancaires. Toute action se fait dans l'application. Et on ne confirme une demande dans itsme que si on l'a lancée soi-même.
Où signaler un faux SMS en Belgique ?
Envoyez une capture d'écran du SMS à [email protected], en veillant à ce que le lien soit visible : inutile de le recopier. Vous pouvez aussi prévenir l'organisation imitée : [email protected] pour bpost, [email protected] pour itsme.
J'ai cliqué sur le lien mais je n'ai rien rempli. Est-ce grave ?
Le risque tient surtout à ce qu'on saisit. Fermez la page sans rien remplir, signalez le message et prévenez la personne qui gère votre informatique, qui jugera s'il faut contrôler l'appareil. Si vous avez tapé un code, un mot de passe ou un numéro de carte, suivez sans attendre la marche à suivre de l'article.
Pourquoi un faux employé de banque appelle-t-il après le SMS ?
Parce que le SMS a souvent servi à récolter des informations qui rendent l'appel crédible. Febelfin constate que les fraudeurs convainquent de plus en plus souvent leurs victimes de faire elles-mêmes le virement, ou de confirmer une opération dans itsme. Le bon réflexe : raccrocher et rappeler sa banque au numéro qu'on connaît.
Faut-il sensibiliser toute l'équipe ou seulement l'accueil ?
Toute l'équipe. Chaque personne qui a un téléphone professionnel, ou qui lit ses messages au travail, peut recevoir ces SMS. L'accueil est simplement le poste le plus exposé, parce qu'il gère colis, paiements et appels.