Simulations de smishing (SMS)¶

Le smishing — contraction de SMS + phishing — est une variante par SMS des attaques de phishing traditionnelles. L'attaquant envoie un SMS piégé (faux avis de colis, fausse alerte bancaire, faux message des impôts) contenant un lien qui redirige la victime vers une page de captation d'identifiants.

C'est une menace en pleine croissance :

Les utilisateurs sont moins méfiants sur SMS que sur email
Les URLs raccourcies sont la norme sur mobile (impossible de vérifier la destination réelle avant clic)
Le contexte mobile favorise la précipitation (on lit un SMS entre deux réunions, on clique vite)

Une bonne stratégie de sensibilisation cybersécurité ne peut pas ignorer ce canal.

11.1 Fonctionnement identique au phishing email¶

Bonne nouvelle : Spectorly gère les campagnes de smishing avec exactement le même flow que les campagnes de phishing email. Si vous avez lu le Chapitre 10 — Simulations de phishing, vous savez déjà tout faire — la différence tient uniquement au canal de délivrance (SMS au lieu d'email).

Concrètement, sont identiques :

Le wizard de création en 5 étapes (Type + intitulé → Modèle → Cible → Planification → Validation) — voir Section 10.2.2
Les contraintes de planification (début ≥ +1h, fin ≥ +24h après début)
Les statuts de campagne : Planifiée → En cours → Terminée (+ Échouée) — voir Section 10.4
Le suivi des interactions (envoyé, cliqué, données soumises, signalé) — voir Section 10.5
La redirection pédagogique post-clic — voir Section 10.6
Les bonnes pratiques éthiques — voir Section 10.7

Ce chapitre couvre uniquement ce qui diffère — pour tout le reste, référez-vous au chapitre Phishing.

11.2 Y accéder¶

Depuis la sidebar :

Cliquez sur l'item Audit : Phishing & Smishing — cet item unique regroupe les deux types de campagnes (email et SMS)
Cliquez sur le bouton Nouvelle campagne
À l'Étape 1 — Type de campagne du wizard, sélectionnez Smishing (SMS) au lieu de Phishing (Email)

11.3 Ce qui change côté modèle¶

11.3.1 Contenu du modèle¶

Un modèle de smishing embarque :

Le template SMS (contenu texte du SMS envoyé — court, généralement 160 à 320 caractères)
La landing page (identique à un modèle phishing : c'est vers cette page que pointe le lien du SMS)

Contrairement à l'email qui peut porter du HTML riche, le SMS est du texte brut. Le modèle est donc plus court, plus direct, souvent avec :

Une fausse identité ("Chronopost", "Impôts", "Votre banque")
Un prétexte urgent ("Votre colis est en attente", "Solde négatif")
Un lien court (https://bit.ly/... — la marque de fabrique du smishing)

11.3.2 Catégories de scénarios¶

Les catégories de modèles smishing recoupent celles du phishing email — voir Section 10.3.1 pour la liste complète. Certaines sont particulièrement typiques du SMS :

Livraison — le plus courant (fake Chronopost, DHL, La Poste)
Banque — fausses alertes de transaction suspecte
Administratif — faux mails des impôts, remboursement de sécurité sociale

11.4 Ce qui change côté cible¶

11.4.1 Numéro de téléphone requis¶

Pour recevoir une simulation smishing, chaque utilisateur cible doit avoir un numéro de téléphone renseigné dans son profil Spectorly (voir Chapitre 5 — Utilisateurs).

Les utilisateurs de votre cible sans numéro renseigné sont automatiquement exclus de la campagne — ils n'apparaîtront pas dans les statistiques d'envoi.

Anticiper la couverture SMS

Avant de lancer une campagne smishing, vérifiez le taux de couverture téléphonique de votre cible :

Dans le Suivi des utilisateurs, regardez combien de vos users ont un numéro renseigné
Si le taux est faible (< 80 %), lancez d'abord une collecte de numéros avant la campagne — sinon vos statistiques seront biaisées

11.4.2 Formats internationaux¶

Les numéros de téléphone doivent être au format international (préfixe pays) :

✅ +33 6 12 34 56 78 (France)
✅ +229 90 12 34 56 (Bénin)
❌ 06 12 34 56 78 (format national — peut échouer)

11.5 Ce qui change côté statistiques¶

Les 5 métriques agrégées sont essentiellement les mêmes que pour le phishing email, avec une différence importante :

Métrique	Phishing email	Smishing SMS
Envoyés	✅	✅
Ouverts	✅	❌ Non mesurable sur SMS
Cliqués	✅	✅
Données soumises	✅	✅
Signalés	✅ (bouton "Signaler" dans la messagerie)	⚠️ Dépend du canal de signalement — voir ci-dessous

Pourquoi pas d'ouverture SMS ?

Contrairement à l'email (où un pixel invisible peut tracer l'ouverture), il n'existe pas de mécanisme standard pour mesurer l'ouverture d'un SMS. La métrique de référence côté smishing est donc directement le clic sur le lien piégé.

Encourager le signalement manuel

Sur SMS, il n'y a pas de bouton "Signaler ce message" comme dans les clients email. Pour néanmoins capter le comportement de signalement :

Communiquez à vos users un numéro / une adresse de signalement interne (ex : signaler-phishing@votre-entreprise.com)
Formez-les à transférer le SMS suspect à ce contact
Le signalement reste manuel — il ne remontera pas automatiquement dans les stats Spectorly, mais votre RSSI aura la visibilité

11.6 Ce qui change côté coût¶

À la différence de l'email (envoi à coût quasi nul), chaque SMS envoyé a un coût unitaire — Spectorly s'appuie sur un partenaire SMS (Octopush) qui facture à l'envoi.

Selon votre formule d'abonnement (voir Chapitre 15 — Facturation) :

Certaines formules incluent un quota de SMS mensuels — au-delà, un supplément peut s'appliquer
Les envois vers l'international sont généralement plus coûteux que les envois nationaux
Une campagne massive (plusieurs milliers de destinataires) doit être anticipée budgétairement

11.7 Bonnes pratiques spécifiques au smishing¶

En complément des bonnes pratiques éthiques du Chapitre 10, quelques points spécifiques au SMS :

Éviter les heures indues

Un SMS reçu à 3h du matin ou pendant un week-end férié dérange bien plus qu'un email. Planifiez vos campagnes smishing en heures ouvrées (ex : mardi 10h, jeudi 14h) — c'est aussi plus réaliste comme timing d'attaque.

Numéros pro vs numéros perso — sujet sensible

Si vos utilisateurs ont enregistré leur numéro personnel dans Spectorly, envoyer un smishing sur ce numéro peut être perçu comme intrusif. Deux options :

N'envoyer qu'aux numéros pro (téléphones fournis par l'entreprise) — si votre base le permet
Communiquer explicitement aux users que leur numéro peut être utilisé pour ce type de simulation, et proposer un opt-out

Dans certaines juridictions (RGPD, France), un consentement explicite peut être nécessaire pour l'utilisation du numéro personnel à des fins de test de sécurité — vérifiez avec votre DPO / conseil juridique.

Combiner phishing email + smishing pour un effet réaliste

Les attaquants réels utilisent souvent une combinaison des deux canaux (un email suivi d'un SMS de "rappel", ou vice-versa). Simuler cette combinaison une fois par an offre une expérience plus proche du réel — mais demande une coordination fine entre les deux campagnes.

Et maintenant ?¶

Vous savez tester la vigilance de vos équipes sur les deux canaux principaux (email et SMS). Prochaine étape : le micro-learning, une approche complémentaire qui diffuse de courtes sensibilisations directement dans le flux de travail via Microsoft Teams.

→ Chapitre suivant : Micro-learning

Une question sur ce chapitre ?

Consultez la FAQ Manager ou contactez notre équipe support depuis votre tableau de bord.