Smishing en Espagne : les faux SMS de la DGT, de Correos et de l'Agence fiscale, et comment protéger votre entreprise

Publié le 3 novembre 2026 · L'équipe mitza.es

Le SMS a l'air d'une technologie d'un autre temps, mais il reste un canal très efficace pour arnaquer : il arrive sur le mobile avec un sentiment d'urgence, beaucoup de gens l'ouvrent sans réfléchir et on le relit rarement à tête reposée. Ce printemps et cet été, la presse espagnole a relayé trois campagnes qui usurpent l'identité de la DGT (direction de la circulation espagnole), de Correos (la poste espagnole) et de l'Agence fiscale espagnole (AEAT). Le nom technique est smishing. Ce guide explique comment elles fonctionnent, quels signaux trahissent la supercherie et ce que doit faire une PME ou un indépendant, car les mobiles et les cartes d'une entreprise sont une cible aussi précieuse que ceux d'un particulier.

Qu'est-ce que le smishing

L'INCIBE (institut national espagnol de cybersécurité) définit le smishing comme une forme de fraude dans laquelle les délinquants cherchent à tromper la victime au moyen de SMS contenant des liens frauduleux pour obtenir des données personnelles ou financières. C'est l'équivalent par message texte du phishing par e-mail : un avis qui semble venir d'une entité connue, un lien vers un faux site et un formulaire qui réclame des données. Si vous voulez voir comment ces tromperies évoluent avec l'intelligence artificielle, lisez notre article sur le phishing par IA et les deepfakes.

Trois campagnes de 2026 en Espagne

La fausse amende de la DGT (mai 2026)

Selon ce que Que.es a rapporté le 13 mai, des milliers de personnes ont reçu un SMS qui semble venir de la DGT : il annonce une amende en attente et menace d'une majoration si elle n'est pas payée dans un délai de quelques heures (24 dans le cas décrit). Le lien mène vers un site qui imite le site électronique de la DGT et demande le numéro de la carte, sa date d'expiration et le code de sécurité. Avec ces données, on vide le compte ou on fait des achats. Toujours selon ce média, la DGT a démenti la campagne et notifie les sanctions par courrier recommandé ou via l'adresse électronique routière (Dirección Electrónica Vial), jamais avec un lien de paiement dans un SMS.

Le colis de Correos qui « ne peut pas être livré » (juin 2026)

Un message dont l'expéditeur s'affiche « CORREOS » dit que le colis ne peut pas être livré à cause d'une erreur d'adresse ou de frais en attente, et réclame un petit paiement, de 1,99 ou 2,50 euros selon Que.es (4 juin). Le site clone copie l'aspect du site officiel, demande le nom, l'adresse et les données complètes de la carte, et ce montant symbolique n'est qu'un prétexte : ce qu'on vole, c'est la carte. Le même article cite l'INCIBE pour affirmer que le smishing lié aux colis a augmenté de 400 % entre 2023 et 2025.

Le faux remboursement de l'Agence fiscale (juillet 2026)

Selon Que.es (10 juillet), des SMS arrivent d'expéditeurs qui se font passer pour l'« AEAT » ou « Hacienda » avec un appât très efficace : « vous avez été sélectionné pour un remboursement de 500 euros ». Le lien imite le site électronique et demande le numéro de compte et les identifiants d'accès. L'Agence fiscale insiste, selon ce média, sur le fait qu'elle ne demande jamais par SMS le numéro de compte ni l'identifiant d'accès, et qu'elle n'annonce pas de remboursements par message texte : on les consulte sur le site électronique, avec un certificat numérique ou Cl@ve, en saisissant vous-même l'adresse.

Signaux d'alerte (selon l'INCIBE)

• Expéditeur inconnu ou qui ne correspond pas à l'entité qu'il prétend représenter.
• Fautes de grammaire ou d'orthographe étranges pour une entité sérieuse (même si certaines fraudes sont bien rédigées).
• Demandes inhabituelles : des données qu'une entreprise légitime ne demanderait jamais par SMS.
• Liens suspects qui mènent vers des sites inconnus ou vers le téléchargement d'applications.
• Urgence ou menaces pour vous faire agir sans réfléchir.

Nous en ajoutons une, de bon sens : tout message qui vous demande de payer par carte depuis un lien contenu dans un SMS que vous n'attendiez pas doit être traité comme faux tant que vous ne l'avez pas vérifié par un autre moyen.

Pourquoi le faux message peut sembler authentique

Le nom qui s'affiche comme expéditeur d'un SMS peut être falsifié, si bien que le message frauduleux peut apparaître dans la même conversation que les messages légitimes de Correos, de votre banque ou d'une autre entité. C'est pourquoi se fier au fait que « l'expéditeur est le bon » ne suffit pas. Ce qui fonctionne, c'est de ne jamais passer par le lien : tapez vous-même l'adresse de l'entité, ouvrez son application officielle ou appelez-la à un numéro que vous avez déjà.

Pourquoi c'est un problème pour votre entreprise

• Comptes et cartes de l'entreprise : si quelqu'un saisit les données d'une carte professionnelle ou les accès de la banque en ligne, le dommage n'est pas personnel, c'est celui de l'entreprise.
• Mobiles professionnels : un lien malveillant peut installer des applications ou voler des identifiants de messagerie, de WhatsApp ou du cloud.
• Usurpation de votre marque : les délinquants peuvent envoyer des SMS qui imitent les vôtres et vos clients vous en feront porter la faute.
• Une chaîne plus longue : les identifiants volés sont souvent la première étape d'attaques plus graves, comme le ransomware.

Un protocole simple pour votre équipe

1. Règle d'or : personne ne paie ni ne saisit de données depuis un lien reçu par SMS. On passe toujours par le site ou l'application officiels.
2. Vérification en deux étapes sur la banque en ligne, la messagerie, le cloud et les réseaux, pour qu'un mot de passe volé ne suffise pas. Générez des mots de passe longs et uniques avec notre générateur de mots de passe.
3. Alertes et plafonds à la banque : activez les notifications pour chaque mouvement et vérifiez les plafonds des cartes professionnelles.
4. Deux personnes pour les paiements importants : l'une prépare et l'autre autorise.
5. Un canal pour poser ses questions : que chacun puisse transférer un message étrange à une personne de confiance avant d'agir, sans craindre de passer pour un naïf.
6. Système d'exploitation et applications à jour sur les mobiles que l'équipe utilise.
7. Un rappel périodique : cinq minutes par trimestre avec des exemples réels, comme ces trois-là.

Que faire si quelqu'un a cliqué sur le lien ou donné des données

1. Appelez la banque tout de suite pour bloquer la carte et contester les débits non autorisés ; chaque heure compte.
2. Conservez des preuves : captures d'écran du SMS, du lien et du faux site, et les justificatifs des débits.
3. Changez les mots de passe des comptes qui peuvent être compromis et activez la vérification en deux étapes.
4. Déposez plainte auprès de la Police nationale espagnole ou de la Guardia Civil et prévenez l'INCIBE au 017 (aussi par WhatsApp au 900 116 117).
5. Surveillez les mouvements des comptes pendant les semaines suivantes.
6. Si des données personnelles de clients ou de salariés sont concernées, consultez votre conseiller : il peut exister l'obligation de notifier une violation de données à l'autorité de protection des données dans un délai de 72 heures.

Si votre entreprise envoie des SMS à ses clients

• Utilisez toujours le même expéditeur et expliquez sur votre site et dans vos e-mails comment vous communiquez.
• N'incluez pas de liens de paiement par carte dans les SMS. Si c'est indispensable, renvoyez vers votre domaine officiel et expliquez à vos clients comment le reconnaître.
• Rendez vos messages reconnaissables : votre nom commercial, une donnée que seul le client connaît (comme le numéro de commande) et aucun ton menaçant.
• Mettez à la disposition de vos clients un canal pour vérifier si un message vient bien de vous.

Questions rapides

Puis-je récupérer l'argent ?

Cela dépend des circonstances et de la rapidité avec laquelle vous agissez. Contactez la banque immédiatement, réclamez par écrit, conservez des preuves et déposez plainte. C'est la voie que recommandent aussi bien l'INCIBE que les médias qui ont couvert ces campagnes.

L'Agence fiscale m'avertit-elle par SMS de quoi que ce soit ?

Selon ce qu'elle a fait savoir aux médias, elle n'utilise pas les SMS pour vous demander le numéro de compte ou les identifiants, ni pour annoncer des remboursements. Si vous avez un doute sur une notification, accédez vous-même au site électronique avec votre certificat numérique ou Cl@ve.

Que faire d'un message suspect que je n'ai pas ouvert ?

Ne cliquez pas sur le lien, ne répondez pas, supprimez-le et bloquez le numéro. Si vous voulez aider les autres, vous pouvez le transférer à l'INCIBE.

D'autres fraudes qui profitent de la précipitation

Le SMS est l'une des portes d'entrée ; les autres sont les codes QR, les e-mails et les paiements par Bizum. Vous trouverez les guides sur les arnaques aux codes QR, sur les arnaques du Black Friday qui usurpent votre boutique et sur le Bizum inversé.

Comment Mitza peut vous aider

Nous examinons les accès et les comptes de votre entreprise, nous activons la vérification en deux étapes et nous vous aidons à définir un protocole pour votre équipe. Si vous êtes dans le sud de Madrid, découvrez notre maintenance informatique, ou écrivez-nous depuis la page de contact.