Que faire si vous avez cliqué sur un lien de phishing reçu par SMS en Suisse ?
Vous avez cliqué sur un lien reçu par SMS et vous craignez une arnaque ? Voici la marche à suivre dans l’heure : couper la connexion, changer vos mots de passe, joindre votre banque, signaler le cas à l’OFCS et à la police, conserver les preuves, puis comprendre qui supporte le dommage.
Objectif
Limiter les dégâts et préserver vos droits.
Temps
Les premières mesures se font dans l’heure.
Résultat
Comptes sécurisés, signalements faits, preuves conservées.
Cette marche à suivre est générale et vaut en Suisse romande. Votre situation dépend de ce que vous avez saisi ou installé, de votre contrat bancaire et de la faute de chacun. En cas de préjudice financier, un avocat spécialisé ou un juriste de JuriUp peut l’évaluer sur votre dossier.
1 Comprendre le risque (avant d’agir)
Un clic isolé ne signifie pas forcément que vous avez été piégé, mais la suite dépend de ce que vous avez fait sur la page. Le phishing par SMS (ou smishing) consiste à vous envoyer un faux message, par exemple d’un colis, d’une banque ou d’une autorité, pour vous faire saisir des données ou installer une application. L’Office fédéral de la cybersécurité (OFCS, anciennement NCSC) l’explique sur sa page consacrée au phishing.
À réunir
- Le SMS reçu : numéro de l’expéditeur, texte, heure.
- Le lien exact, sans le rouvrir.
- La liste de ce que vous avez saisi : identifiants, mot de passe, données de carte, code reçu.
Principe simple : agir vite, sécuriser d’abord et documenter tout.
Trois situations à distinguer
- Vous avez seulement cliqué : sans saisir de données ni télécharger d’application, fermez la page.
- Vous avez saisi des données : mot de passe, identifiant ou carte, ce qui impose de réagir immédiatement.
- Vous avez installé une application : cas plus sérieux, car l’appareil peut être compromis.
Dans le doute, partez de l’hypothèse la plus prudente : traitez le cas comme si vos données étaient compromises. Les mesures de sécurité ne coûtent presque rien, un débit frauduleux coûte beaucoup.
Exemple : Diogo J., employé à Lausanne, reçoit un SMS lui annonçant un colis bloqué. Il clique, entre son numéro de carte pour payer de faibles frais de douane, puis réalise que le site est suspect. Sa situation relève de la deuxième catégorie : il doit joindre son émetteur de carte sans attendre.
2 Marche à suivre dans l’heure (ordre recommandé)
Chaque geste réduit le risque et renforce votre dossier.
Fermez la page et coupez la connexion
Si vous avez seulement cliqué, sans rien saisir ni installer, fermez immédiatement la page dans votre navigateur, comme l’indique l’OFCS. Si vous avez saisi des données ou installé une application, coupez en plus le Wi-Fi et les données mobiles. Ce geste est un conseil pratique : il limite les échanges de l’appareil avec le site frauduleux le temps de vous organiser.
- Ne répondez pas au SMS et ne rappelez pas le numéro.
- Si une application a été installée, contactez le support de votre appareil ou isolez-le du réseau.
- Utilisez un autre appareil sain pour les étapes suivantes.
Changez vos mots de passe
Si vous avez saisi un mot de passe ou un identifiant, l’OFCS demande de le modifier immédiatement sur le service concerné, ainsi que sur tous les autres comptes où vous utilisiez le même mot de passe. Il recommande aussi d’activer l’authentification à deux facteurs partout où elle est disponible. Depuis un appareil sain, commencez par votre messagerie principale, car elle permet de réinitialiser les autres comptes.
Si c’est le mot de passe de votre messagerie principale que vous avez saisi, changez aussi ceux des services qui y sont reliés.
Appelez votre banque
Si vous avez transmis des données de carte ou de banque, contactez immédiatement l’émetteur de votre carte ou votre établissement financier, selon la page de l’OFCS. Utilisez le numéro figurant au dos de votre carte ou sur le site officiel de la banque, jamais celui du SMS. Demandez le blocage des accès e-banking compromis, le contrôle des opérations récentes et la surveillance des débits suspects. Notez l’heure de l’appel et le nom de l’interlocuteur.
Confirmez ensuite l’appel par écrit (e-banking sécurisé ou courrier), pour fixer la date à laquelle la banque a été informée. Un modèle figure à la section 3.
Faites bloquer vos cartes
L’OFCS indique que l’émetteur ou la banque doit faire bloquer la carte et surveiller les débits suspects. Faites bloquer toute carte dont vous avez saisi les données (débit, crédit, carte virtuelle ou de paiement mobile). Demandez la confirmation du blocage et le remplacement de la carte. Parcourez vos relevés des derniers jours et listez chaque opération que vous ne reconnaissez pas.
À faire
- Bloquer chaque carte concernée.
- Lister les opérations suspectes.
- Demander une confirmation écrite.
À éviter
- Attendre de voir si un débit apparaît.
- Communiquer un code reçu à un « conseiller » qui vous appelle.
- Rappeler le numéro indiqué dans le SMS.
Signalez à l’OFCS (NCSC) et à la police
Deux canaux fédéraux se complètent. Sur antiphishing.ch, vous saisissez l’adresse reçue par SMS : elle est analysée automatiquement et l’OFCS avertit les hébergeurs et les listes de blocage, sans retour personnalisé. Le formulaire report.ncsc.admin.ch permet de signaler un cyberincident, d’obtenir une évaluation automatisée avec les mesures recommandées et de transmettre le cas à l’OFCS si vous attendez une analyse.
En cas de préjudice financier ou d’usurpation d’identité, déposez plainte auprès de votre police cantonale ou via la plateforme des polices suisses. L’OFCS n’étant pas une autorité judiciaire ou de police, il ne prend pas les plaintes pénales. Selon les circonstances, les faits peuvent notamment relever de l’utilisation frauduleuse d’un ordinateur (art. 147 CP), punie d’une peine privative de liberté de cinq ans au plus ou d’une peine pécuniaire, ou de l’escroquerie (art. 146 CP), punie de la même manière. Si l’auteur fait métier de tels actes, l’al. 2 de ces deux articles prévoit une peine privative de liberté de six mois à dix ans.
Plainte
Dès que possible, selon les conditions de votre banque.
Pièces
SMS, captures, relevés, échanges avec la banque.
Après la plainte
Vos prétentions civiles se règlent dans un cadre strict, voir les prétentions civiles au pénal.
Conservez les preuves
Ne supprimez pas le SMS. Faites une capture d’écran du message (numéro, texte, heure) et copiez le lien sans l’ouvrir. Gardez les notifications de votre banque, vos relevés, les confirmations de blocage et chaque numéro de dossier. Ce conseil pratique pèsera dans l’évaluation de la faute de chacun : la banque, la police et un éventuel tribunal s’appuieront sur ces pièces.
Objectif : pouvoir démontrer ce que vous avez saisi et la rapidité de votre réaction.
3 Message à la banque (copier-coller)
Remplacez les éléments entre crochets. Envoyez ce message par e-banking sécurisé ou par courrier, après votre appel.
Conseil d’envoi (e-banking)
Utilisez la messagerie sécurisée de votre banque et conservez une capture du message envoyé.
Conseil d’envoi (courrier)
Si le préjudice est important, un envoi recommandé renforce la preuve. Gardez le récépissé et une copie de la lettre.
4 Tableau de suivi (à remplir)
Notez chaque démarche : date, canal, référence et statut. Ce suivi sert à la banque, à la police et à votre avocat.
| Action | Date et heure | Canal | Référence | Statut |
|---|---|---|---|---|
| Appel à la banque et blocage des cartes | [date, heure] | Téléphone | [nom, n° de dossier] | En attente |
| Signalement antiphishing.ch et OFCS | [date, heure] | Formulaire en ligne | [réf. éventuelle] | Signalé |
| Plainte à la police cantonale | [date] | Poste de police ou plateforme des polices | [n° de procès-verbal] | Déposée |
Conservez toutes les preuves : SMS, captures, relevés, confirmations. Ne chiffrez pas de délai de votre côté : contestez les débits dès que possible, selon les conditions de votre banque.
5 La banque est-elle responsable ? En cas de refus de remboursement
Aucune règle légale que nous ayons relevée ne garantit un remboursement automatique. Le sort du dommage dépend du contrat, des conditions générales de la banque et de la faute de chacun. Le débiteur contractuel répond du dommage causé, à moins qu’il ne prouve qu’aucune faute ne lui est imputable (art. 97 al. 1 CO). Pour un mandat, le mandataire est responsable envers le mandant de la bonne et fidèle exécution du mandat (art. 398 al. 2 CO).
Ce que la loi prévoit
- Les conditions générales contiennent souvent une clause qui reporte le risque sur le client.
- Une stipulation qui libère d’avance le débiteur en cas de dol ou de faute grave est nulle (art. 100 al. 1 CO). Pour la faute légère, l’al. 2 permet au juge de tenir une telle clause pour nulle dans certains cas.
- Le juge peut réduire les dommages-intérêts, ou même n’en point allouer, si des faits dont vous êtes responsable ont contribué à créer ou à augmenter le dommage (art. 44 al. 1 CO).
Votre propre diligence compte : avoir cliqué, saisi un code ou tardé à alerter peut peser dans la répartition du dommage. Alerter vite et conserver les preuves reste donc votre meilleur atout.
La jurisprudence du Tribunal fédéral
- Un paiement ordonné par un fraudeur est exécuté sans mandat du client : dans le système légal de base, le dommage est d’abord supporté par la banque.
- La clause de transfert de risque des conditions générales est inopérante si la banque a commis une faute grave.
- Si la clause ne joue pas, la banque peut opposer au client une faute de diligence.
Cette grille ressort notamment des arrêts publiés sous ATF 146 III 326 et ATF 146 III 387. La répartition dépend du cas, du contrat et de la faute de chacun : aucune issue ne peut être promise sans examen de votre dossier. Pour comprendre un autre litige avec un établissement financier, voir cette actualité sur PostFinance.
Si la banque refuse de rembourser, réclamez sa décision par écrit avec ses motifs, puis faites examiner vos conditions générales et les faits par un avocat spécialisé. Pour une contestation écrite structurée, voyez aussi la logique de la contestation d’une facture que vous n’avez pas commandée.
Un débit frauduleux ou un refus de la banque ?
Via JuriUp, un avocat spécialisé ou un juriste examine vos conditions bancaires, vos preuves et la faute de chacun, puis vous indique les démarches adaptées à votre dossier.
6 FAQ : questions fréquentes
Cliquez pour ouvrir.
Un simple clic sur le lien est-il dangereux ?
Si vous n’avez rien saisi ni téléchargé, l’OFCS indique de fermer immédiatement la page. Signalez néanmoins l’adresse sur antiphishing.ch pour aider à la bloquer, et restez attentif à vos comptes dans les jours suivants.
Que faire si j’ai installé une application ?
Isolez l’appareil du réseau, contactez le support de l’appareil, puis appliquez toutes les étapes de cette page depuis un autre appareil. Les pages de l’OFCS que nous avons consultées ne détaillent pas de procédure technique : faites-vous aider par un professionnel.
Ma banque doit-elle me rembourser ?
Pas automatiquement. Le remboursement dépend du contrat, des conditions générales et de la faute de chacun (art. 97 al. 1, art. 100 al. 1 et art. 44 al. 1 CO). Un avocat spécialisé l’évalue sur votre dossier.
Puis-je signaler le cas à l’OFCS au lieu de déposer plainte ?
Non, les deux démarches sont différentes. L’OFCS n’étant pas une autorité judiciaire ou de police, il ne prend pas les plaintes pénales : celles-ci se déposent auprès de la police cantonale. En cas de préjudice financier, faites les deux.
Rédigé par la Rédaction juridique JuriUp
Équipe de rédaction et de contenu juridique de JuriUp, plateforme de mise en relation avec des experts juridiques en Suisse romande.
