Protéger ses parents des arnaques par SMS et téléphone

Protéger ses parents des arnaques par SMS et par téléphone ne demande ni logiciel ni accès à leur appareil. La méthode qui fonctionne vient des entreprises : repérer ce que l’escroc cherche à obtenir, nommer les leviers qui font céder, puis entretenir le réflexe par un rappel court et régulier, d’adulte à adulte.

Ce que l’escroc cherche à obtenir, quel que soit le scénario

Faux conseiller, colis bloqué, petit-fils en panique, technicien inquiet : les noms d’arnaques changent à chaque saison. Publié en mars 2026, le rapport d’activité 2025 de Cybermalveillance.gouv.fr classe l’hameçonnage en tête des menaces, tous publics confondus, avec une hausse de 70 %. Plutôt que d’apprendre un catalogue, classez les tentatives selon ce qu’elles réclament à la fin.

Quatre demandes reviennent presque toujours :

• Un code reçu par SMS. D’après la fiche de Cybermalveillance.gouv.fr sur le faux conseiller bancaire, ce code sert à l’escroc pour valider ses propres opérations : achat, ajout de bénéficiaire, virement. Il protège aussi de nombreux comptes, comme l’explique notre point sur l’authentification multifacteur en entreprise.
• Un virement. Le prétexte varie : placer l’épargne « en lieu sûr », dépanner un proche coincé loin de chez lui. L’ordre est passé par le titulaire lui-même, dans la précipitation.
• Des coordonnées de carte. Un SMS réclame de petits frais pour un colis, et la page de paiement copie un site connu. Variante décrite par la même fiche : un coursier vient chercher la carte au domicile.
• Un accès à distance à l’appareil. Le faux technicien répare une panne imaginaire et, selon la fiche consacrée au faux support technique, se fait parfois ouvrir les comptes bancaires pour les « sécuriser ».

Votre parent n’a donc plus à identifier une arnaque téléphonique précise : il lui suffit de remarquer qu’un inconnu, ou un proche inhabituellement pressé, réclame l’une de ces quatre choses. L’hameçonnage par courriel côté entreprise est détaillé dans notre article phishing et ransomware : comment se protéger.

Urgence, autorité, émotion : les leviers qui font céder

Les responsables sécurité appellent cela l’ingénierie sociale : l’attaque vise la personne, pas la machine. Le même ressort fait exécuter de faux ordres de virement à des comptables expérimentés. Ce qui fait céder n’a rien à voir avec l’âge : un message inattendu qui exige une décision sur-le-champ désarme n’importe quel adulte. Quatre leviers reviennent dans presque tous les scripts :

• L’urgence : le compte serait débité dans l’heure, le colis renvoyé le soir même. Le délai imposé coupe court à toute vérification.
• L’autorité : l’interlocuteur se présente comme le service de sécurité d’une banque ou l’agent d’une administration, parfois épaulé par un prétendu policier.
• L’émotion : un petit-enfant écrit depuis un « nouveau numéro » et a besoin d’aide vite. L’inquiétude passe alors avant la prudence.
• La voix imitée : la synthèse vocale reproduit un timbre familier à partir d’extraits publiés en ligne.

Le numéro affiché, lui, ne prouve rien. Le rapport 2025 de Cybermalveillance.gouv.fr relève une hausse de 517 % de l’usurpation de numéro de téléphone et une progression de 159 % de l’arnaque au faux conseiller bancaire.

Une mise en garde s’oublie, un rappel régulier s’installe

Vous en avez sans doute déjà parlé, au détour d’un repas. Votre parent a acquiescé, puis les mois ont passé, et l’appel arrive un jeudi matin, sous un costume que personne n’avait décrit. Une mise en garde unique s’efface parce qu’elle n’est jamais réactivée.

Les entreprises ont fait ce constat avant les familles. Le guide d’hygiène informatique de l’ANSSI s’ouvre sur la sensibilisation des utilisateurs et demande des actions régulières, variées dans leur forme : courriels, affichage, réunions. Le module SensCyber de Cybermalveillance.gouv.fr mise sur de courtes vidéos et des tests de connaissances. Une formation annuelle laisse onze mois de silence, quand un message bref qui revient garde le rappel régulier dans les habitudes, comme le détaille notre plan PME contre les cyberattaques.

Pour le téléphone d’un parent, cette logique prend forme avec Méfio, un abonnement français que vous souscrivez pour lui et qui lui envoie chaque semaine un conseil court par SMS, sur le téléphone qu’il utilise déjà, même à touches, sans application à installer ni compte à ouvrir, et sans jamais de lien à cliquer dans ses messages. Ce dernier point pèse lourd : un conseil qui ne réclame aucun clic ne peut pas être confondu avec le piège qu’il décrit. Votre parent garde la main, puisque son accord est recueilli avant le premier envoi et qu’il peut se désabonner quand il le souhaite.

La comparaison avec la campagne de sensibilisation d’une PME tient point par point, à commencer par la fréquence : l’entreprise revient vers ses équipes à date fixe au lieu de tout miser sur la réunion de rentrée, et le conseil hebdomadaire suit la même cadence, sans attendre un fait divers. Même logique pour le format court : la capsule se regarde entre deux tâches, le SMS se lit d’un coup d’œil, et le même réflexe revient sous un habillage différent. Les scénarios du moment, ensuite : le responsable sécurité cale son thème sur les campagnes qui visent son secteur, et les conseils reçus par votre parent suivent les arnaques qui circulent, du faux conseiller au faux remboursement d’impôts. Reste l’absence de jugement : une campagne réussie ne désigne jamais celui qui a cliqué, et un conseil écrit d’égal à égal se lit, là où un sermon finit ignoré.

Une règle de famille et un adulte à qui montrer le message

Le rappel entretient l’attention, la règle donne la conduite à tenir quand le téléphone sonne. En entreprise, elle tient en une phrase connue de tous, du stagiaire au dirigeant : un changement de coordonnées bancaires ne se valide jamais sur la foi d’un appel ou d’un courriel. Pour la famille, la version la plus utile reprend les quatre demandes vues plus haut.

Formulée simplement, la règle de famille dit ceci : aucune personne sérieuse ne réclame, par téléphone ou par message, un code, un virement, des coordonnées de carte ou l’accès à un appareil. Face à l’une de ces demandes, la conduite reste la même : raccrocher ou ne pas répondre, puis reprendre contact par un canal connu, le numéro habituel de la banque ou celui que le proche utilise d’ordinaire. La fiche de Cybermalveillance.gouv.fr sur le faux conseiller bancaire est sans ambiguïté : un vrai conseiller ne demande jamais de codes de confirmation, ni de valider ou d’annuler une opération dans l’application bancaire.

Cette règle vaut pour toute la famille, vous compris. Elle ne désigne pas votre parent comme le maillon faible : elle s’applique à chacun, comme la procédure de vérification des virements s’applique au directeur financier. Si la voix imitée vous inquiète, ajoutez-y une question de vérification que seuls les vrais membres de la famille savent résoudre, un souvenir commun plutôt qu’une date facile à trouver en ligne.

L’adulte de confiance, pour un second regard

Le second pilier est une personne. Dans une PME bien organisée, chaque salarié sait à qui transférer un courriel douteux, et ce signalement est accueilli comme un service rendu, jamais comme un aveu. Pour votre parent, cette personne peut être vous, un frère, une voisine de confiance : quelqu’un qui accepte de recevoir une capture d’écran ou un appel à toute heure, sans soupirer.

Son rôle n’est pas de trancher à la place de votre parent mais de lui offrir un second regard. Regardez ensemble ce que le message réclame, à la lumière des quatre demandes, et laissez-le décider. Une arnaque par SMS repérée se transfère ensuite au 33700, service gratuit de signalement que rappelle Cybermalveillance.gouv.fr, et un appel indésirable se déclare en ligne, sur le site de ce même service.

Ce que vous ne faites pas à sa place

Protéger un parent ne veut pas dire gérer son téléphone. Lire ses messages, y installer une application qui rend compte de ses échanges, conserver ses codes ou ses mots de passe : chacun de ces gestes lui retire la décision qui le protège, et le place dans une position d’assisté qu’aucun adulte n’accepte longtemps.

Concrètement, quelques limites tiennent la relation d’égal à égal :

• Vous ne lisez que les messages qu’il choisit de vous montrer.
• Vous ne demandez ni ses codes ni ses mots de passe, même pour l’aider.
• Vous n’installez rien sur son appareil sans son accord explicite.
• Vous ne traitez ni une erreur comme une faute, ni une hésitation comme un signe de déclin.
• Vous laissez le dernier mot à votre parent, même quand vous auriez agi autrement.

Le respect a aussi une raison pratique. Un parent qui se sent contrôlé cache le message qui l’a troublé, de peur d’être jugé, exactement comme le salarié qui a cliqué se tait quand l’entreprise sanctionne l’erreur au lieu de l’examiner. Or c’est le message montré à temps qui laisse une marge pour réagir.

S’il s’est déjà fait piéger, la honte devient le principal obstacle. Rappelez que ces scripts sont écrits par des professionnels de la manipulation et que des adultes aguerris s’y laissent prendre, puis aidez-le à dérouler les démarches sans reproche : opposition sur la carte, appel à la banque par son numéro habituel, dépôt de plainte, conservation des messages reçus. France Victimes répond au 116 006, numéro gratuit indiqué par Cybermalveillance.gouv.fr, pour un accompagnement.

Par où commencer pour protéger ses parents des arnaques

Inutile de tout aborder en une fois. Six étapes suffisent, réparties sur quelques semaines :

1. Choisissez un moment calme, à distance de toute tentative, pour parler des quatre demandes plutôt que d’une liste d’arnaques.
2. Formulez ensemble la règle de famille, et dites clairement qu’elle vous concerne aussi.
3. Convenez de l’adulte à qui montrer un message, et vérifiez que votre parent sait faire une capture d’écran ou transférer un SMS.
4. Mettez en place le rappel régulier, avec son accord, sur le téléphone qu’il utilise déjà.
5. Notez avec lui, sur papier, le numéro d’opposition de sa carte, relevé sur le site de sa banque ou sur un distributeur, jamais dans un message reçu.
6. Revenez sur le sujet de temps en temps, à l’occasion d’un message reçu ou d’une actualité, sans en faire un examen.

Le cinquième point n’a rien d’anecdotique : le rapport 2025 de Cybermalveillance.gouv.fr signale un hameçonnage au faux numéro d’opposition, qui piège la personne au moment précis où elle croit se protéger. Les mêmes réflexes, appliqués aux équipes d’une entreprise, sont rassemblés dans nos bonnes pratiques en cybersécurité.

Prochaine étape : au téléphone avec votre parent cette semaine, demandez-lui simplement ce qu’il ferait si une voix polie lui réclamait un code de confirmation au téléphone. Sa réponse vous dira par où commencer, et la conversation sera déjà lancée.