Smishing : quand le phishing arrive par SMS sur le téléphone

Le smishing, c'est l'hameçonnage par SMS, et il a fait du téléphone la première cible du phishing. Selon le Verizon Data Breach Investigations Report 2026, les appareils mobiles enregistrent un taux de clic 40 % plus élevé que les e-mails : les attaquants sont passés dans nos poches. Le Cybermois 2026 est le bon moment pour regarder ce que ça change pour votre flotte.

La réponse tient en une idée : vous ne ferez pas disparaître le clic, mais vous pouvez limiter ce qu'un clic peut atteindre. Un identifiant professionnel qui ne vit que dans une app gérée, un accès refusé à un appareil non conforme, un domaine malveillant filtré avant l'ouverture : chaque barrière réduit ce qu'un salarié piégé peut livrer. Le reste de cet article détaille comment, avec ou sans MDM.

Pourquoi le smishing arrive-t-il sur le téléphone ?

Parce que le téléphone est l'écran sur lequel nous baissons la garde. Le Verizon Mobile Security Index 2025 le mesure : 80 % des organisations ont vu des tentatives de phishing viser leurs salariés sur mobile. Plus parlant encore, quand les entreprises mènent leurs propres tests de smishing, 39 % d'entre elles voient entre un quart et la moitié de leurs salariés appuyer sur le lien.

Sur un ordinateur, ce taux de clic serait alarmant. Sur un téléphone, il est prévisible. L'adresse du lien est tronquée par l'écran, le faux message arrive à côté des SMS de la famille et des notifications de livraison, et aucune passerelle de messagerie ne filtre les SMS, WhatsApp ou iMessage comme elle filtre les e-mails. Le comportement des utilisateurs est d'ailleurs la première cause de compromission citée par l'enquête Verizon (44 % des cas), et le facteur humain intervient dans environ 60 % des compromissions confirmées.

Autrement dit, le smishing ne réussit pas parce que vos salariés sont imprudents. Il réussit parce que le canal est fait pour la confiance et l'immédiateté, et parce que le téléphone, lui, est souvent l'appareil que personne ne surveille : ni les mises à jour, ni les apps installées, ni les liens ouverts.

Limiter ce qu'un clic peut atteindre : la bonne pratique

La formation aide, mais elle a une limite : un test suffit à montrer qu'une partie des salariés cliquera toujours. La bonne pratique n'est donc pas d'espérer zéro clic, c'est de réduire ce qu'un clic livre à l'attaquant. Trois barrières concrètes, indépendantes de la vigilance de la personne.

D'abord, les identifiants professionnels ne vivent que dans les apps gérées. Un salarié qui saisit son mot de passe sur une fausse page ne donne accès à rien s'il n'a jamais eu à le taper ailleurs que dans une app d'entreprise contrôlée.

Ensuite, l'accès aux ressources est refusé à un appareil non conforme. Un téléphone jailbreaké ou rooté, ou en retard de mise à jour, n'atteint pas la messagerie ni les fichiers de l'entreprise, quel que soit le lien sur lequel on a cliqué.

Enfin, les domaines malveillants connus sont filtrés avant même que la page se charge. Un filtre appliqué au niveau du système empêche le téléphone de joindre les serveurs qui hébergent les fausses pages de connexion. Ce troisième niveau complète l'antivirus mobile, souvent peu utile, et l'EDR, souvent trop lourd pour un parc de téléphones.

Comment limiter ce qu'un clic peut atteindre : sans MDM, puis avec un MDM

Deux façons de faire avant d'entrer dans le détail produit, du plus artisanal au plus solide. Le bon choix dépend de votre parc et de la sensibilité de ce que vos salariés manipulent sur leur téléphone.

Sans MDM

Vous pouvez sensibiliser, imposer un gestionnaire de mots de passe et l'authentification à deux facteurs, et demander de ne jamais saisir d'identifiant depuis un lien reçu par message. C'est utile, mais rien n'est appliqué ni vérifié : vous ne savez pas quels téléphones sont à jour, vous ne bloquez aucun domaine, et un identifiant piégé reste valable partout. Vous faites confiance, sans filet.

Avec un MDM

Un outil de gestion de flotte mobile (MDM) transforme ces trois barrières en règles appliquées : il distribue les apps professionnelles dans un espace géré, distingue les appareils conformes des autres et conditionne l'accès aux ressources, et peut filtrer les domaines dangereux. C'est la logique du bon réflexe face à l'hameçonnage sur mobile : au lieu de compter sur l'oeil de chacun, vous réduisez la surface qu'un clic peut atteindre.

Limiter ce qu'un clic atteint avec Appaloosa

Appaloosa applique ces barrières sur iOS et Android, dans une seule console (iOS, iPadOS, Android, Windows, macOS).

Les données professionnelles restent dans les apps gérées : sur iPhone, un document professionnel ne s'ouvre que dans une app gérée ; sur Android, le profil professionnel sépare les apps et les données professionnelles des apps personnelles. Un identifiant saisi hors de ce cadre n'ouvre donc aucune porte sur les ressources de l'entreprise.

Appaloosa détecte aussi les appareils jailbreakés ou rootés, et vous imposez la mise à jour d'iOS ou d'Android avec une date limite : passé ce délai, l'appareil apparaît non conforme et peut être privé d'accès aux ressources de l'entreprise. Un téléphone compromis ou négligé cesse d'être une porte d'entrée.

Pour le troisième niveau, Corral, notre filtre DNS en bêta sur Android, bloque l'accès aux domaines malveillants connus à partir des listes HaGeZi, sur les appareils gérés et en COPE (le BYOD n'est pas filtré). La navigation reste sur l'appareil : Corral ne transmet jamais les sites visités. Le filtrage pour iOS est en développement.

Vous ne savez pas par où commencer ? Le diagnostic du risque de votre flotte vous donne un score en deux minutes. Vous voulez tester ces barrières sur vos propres appareils ? L'essai gratuit se lance sans carte bancaire. Inscrivez-vous pendant le Cybermois : votre essai gratuit passe à 30 jours pour 20 appareils.

Ce que recommande Verizon : un MDM sur tous les appareils

La première recommandation du Mobile Security Index 2025 n'est ni un antivirus ni une campagne de sensibilisation. C'est de déployer un MDM sur tous les appareils, y compris les téléphones personnels utilisés pour le travail, parce que le reste de la sécurité mobile en dépend : la gestion des mises à jour, le contrôle des apps, l'accès conditionnel qui protège du smishing.

Le rapport chiffre aussi le coût de l'inaction. Les organisations qui ont envisagé un MDM puis y ont renoncé ont perdu des données dans 63 % des cas, contre 50 % en moyenne sur l'ensemble de l'échantillon. Repousser la question ne fait pas disparaître le risque : elle laisse juste le prochain clic atteindre tout ce qu'il trouve.

Questions fréquentes

Qu'est-ce que le smishing ?

Le smishing est l'hameçonnage par SMS : un faux message qui pousse à cliquer sur un lien, à saisir un identifiant ou à appeler un numéro. Le terme couvre aussi, par extension, les tentatives menées par messagerie instantanée (WhatsApp, iMessage) et par appel. Il vise le téléphone parce que ce canal inspire confiance et n'est presque jamais filtré.

Le smishing est-il plus dangereux que le phishing par e-mail ?

Sur mobile, oui, du point de vue du taux de clic. Le Verizon Data Breach Investigations Report 2026 relève un taux de clic 40 % plus élevé sur les appareils mobiles que sur les e-mails. L'écran tronque les adresses, le message se glisse entre les SMS personnels et aucune passerelle ne filtre les SMS ni les messageries comme elle filtre les e-mails.

Comment se protéger du smishing en entreprise ?

En limitant ce qu'un clic peut atteindre plutôt qu'en comptant sur la seule vigilance : garder les identifiants professionnels dans des apps gérées, refuser l'accès aux ressources depuis un appareil non conforme, et filtrer les domaines malveillants. Un MDM applique ces trois barrières et les rend vérifiables sur l'ensemble de la flotte.

Un antivirus mobile suffit-il contre le smishing ?

Non. Un antivirus détecte des fichiers malveillants, pas une fausse page de connexion ouverte dans le navigateur. Face au smishing, réduire la surface qu'un clic peut atteindre (apps gérées, accès conditionnel, filtrage des domaines) protège davantage qu'une analyse antivirale seule.

Le bon réflexe du Cybermois

Le smishing n'est pas un problème de discipline, c'est un risque à encadrer : le clic finira par arriver, votre travail est de faire en sorte qu'il n'ouvre aucune porte. Gardez les identifiants dans les apps gérées, refusez l'accès aux appareils non conformes, filtrez les domaines dangereux. Profitez du Cybermois 2026 pour faire le diagnostic du risque de votre flotte : deux minutes pour savoir où vous en êtes. #CyberEngagés

Image : Kampus Production via Pexels.