Attention, SMS blaster!

Un SMS blaster est un appareil électronique illégal qui se fait passer pour une véritable antenne de téléphonie mobile et envoie en peu de temps un grand nombre de SMS d’hameçonnage aux smartphones se trouvant dans un rayon de plusieurs centaines de mètres. Si vous vous trouvez dans les environs, le blaster se connecte automatiquement à votre téléphone portable sans que les escrocs aient besoin de connaître votre numéro de téléphone.

S’agissant des SMS blasters, on parle aussi souvent de «IMSI catchers» ou de «false base stations» (fausses antennes de téléphonie mobile). Les termes «IMSI catcher» et «false base station» peuvent être utilisés comme synonymes pour désigner une fausse antenne de téléphonie mobile. Attention: toutes les fausses antennes ne sont pas forcément des SMS blasters, mais chaque SMS blaster contient un IMSI catcher ou une fausse antenne.

Un SMS blaster contraint temporairement des smartphones à rejoindre un réseau 2G obsolète. Il exploite pour cela une vulnérabilité connue, le «null cipher» (chiffrement nul), afin d’envoyer des messages sans vérification. L’escroquerie fonctionne bien que le réseau 2G soit désactivé en Suisse: les malfaiteurs exploitent en quelque sorte leur propre antenne, contournant ainsi les filtres de sécurité des opérateurs de téléphonie mobile.

Les SMS blasters sont presque toujours utilisés de la manière suivante: les escrocs transportent le SMS blaster dans le coffre d’une voiture, dans les transports publics (bus, métro, train), à vélo ou à pied dans une zone très peuplée, comme un centre-ville ou un quartier animé. Ils peuvent également positionner le SMS blaster dans des endroits très fréquentés tels que les centres commerciaux, les gares, les aéroports ou lors de grandes manifestations telles que le Concours Eurovision de la chanson 2026 à Vienne.

Le SMS blaster envoie en masse de faux SMS qui semblent provenir de la Poste, d’une banque ou d’une autorité. Un lien permet d’attirer les victimes vers un site d’hameçonnage ayant l’apparence d’un site authentique. Toute personne qui y saisit ses données de carte de crédit ou d’e-banking les transmet ainsi directement aux escrocs. Souvent, ceux-ci effectuent alors des paiements ou des virements en l’espace de quelques minutes.

Les SMS d’hameçonnage peuvent avoir le même expéditeur que les SMS légitimes émanant de l’organisation en question (voir aussi «SMS spoofing»). C’est pourquoi ils peuvent même apparaître sur votre téléphone portable dans l’historique officiel des SMS échangés avec cette organisation. D’une manière générale, faites donc preuve de prudence si vous recevez de façon inattendue un SMS contenant un lien.

Demandez aux personnes de votre entourage si elles ont également reçu un SMS suspect. Dans l’affirmative, il s’agit très probablement d’une attaque provenant d’un SMS blaster. Vérifiez si les heures de réception des SMS correspondent approximativement.

Si ce n’est pas le cas, les caractéristiques suivantes permettent d’identifier un SMS d’hameçonnage:

• Le SMS semble provenir d’une organisation digne de confiance.
• Le message vous met sous pression en vous incitant à agir d’urgence.
• Vous devez cliquer sur un lien pour effectuer un paiement ou saisir des données.
• Prétextes typiques: amende de stationnement, livraison de colis, notification bancaire, blocage de compte

En savoir plus sur l’hameçonnage par SMS

Sur votre smartphone, activez la protection anti-spam pour les SMS et désactivez la norme 2G:

Appareils Android: Vous devriez pouvoir activer la protection anti-spam dans les paramètres de votre application SMS. À partir d’Android 12, vous pouvez en outre désactiver la 2G pour chaque carte SIM dans les réglages, sous Réseau et Internet > SIM, afin que votre smartphone ne puisse plus être relié à un SMS blaster. La désignation exacte du réglage peut varier d’un fabricant à l’autre. Pour les modèles Samsung, vous devriez pouvoir sélectionner un mode sans 2G sous Connexions > Réseaux mobiles > Mode réseau.

iPhones: Pour les iPhones, vous trouverez la protection anti-spam sous Réglages > Messages > Expéditeurs inconnus et indésirables > Filtrer les expéditeurs inconnus. Toutefois, vous ne pouvez pas désactiver la 2G sur les iPhones sans qu’il en résulte des restrictions de fonctionnalités. L’activation du «lockdown mode» («mode isolement») vous limiterait trop au quotidien et n’est donc pas recommandée pour vous protéger contre les SMS blasters.

D’une manière générale, ne cliquez pas sur les liens contenus dans les SMS vous demandant de procéder à un paiement ou de saisir des données, même si le message apparaît dans votre historique des SMS échangés avec votre banque, la Poste ou une autorité. En cas de doute, renseignez-vous d’abord auprès de l’organisation concernée via un canal officiel, tel que le numéro de téléphone du service clientèle, avant de répondre à une telle demande par SMS.

Méfiez-vous si vous recevez un appel provenant prétendument de votre banque ou de la police pour vous signaler des irrégularités sur votre compte ou une cyberattaque, par exemple. Le numéro qui s’affiche pourrait avoir été falsifié. Raccrochez et rappelez l’organisation à son numéro officiel. Ne communiquez aucune donnée sensible au téléphone. Plus d’infos sur l’hameçonnage par téléphone