Faux SMS de justice et d’aides en Iran : reconnaître le piège

À quoi ressemble l’hameçonnage par SMS en Iran ?

Ne payez pas, n’installez pas d’application et ne donnez pas de données de compte via un SMS inattendu de justice ou d’aide. Vérifiez par un contact établi séparément. L’hameçonnage SMS, ou smishing, imite des services fiables pour diriger vers de fausses pages ou des téléchargements nuisibles. ^[3]

Pour un lecteur iranien, la question pratique est : que veut ce message ? Formulez-le simplement. « Ouvrir un avis judiciaire » peut devenir « installer une application inconnue ». « Recevoir une aide » peut devenir « saisir carte et code ». Évaluez ce changement avant de poursuivre.

Vous n’avez pas à résoudre tout le mystère téléphone en main. Vous pouvez arrêter sans décider si l’expéditeur est criminel, administratif ou simplement dans l’erreur. La décision immédiate concerne la confiance dans l’action proposée.

Au 4 novembre 2026. Gardez le message si nécessaire, sans rouvrir le lien pour enquêter. Ces conseils sont généraux ; choisissez la suite selon ce que vous avez réellement partagé ou installé.

Comment fonctionnait le faux piège Sana documenté ?

En décembre 2021, Check Point Research a décrit une campagne iranienne de fausses plaintes judiciaires et de pages imitant Sana. Les victimes étaient dirigées vers une application Android et un petit paiement. La fausse page bancaire captait les données de carte, et l’accès aux SMS aidait à obtenir les messages de vérification. Les téléphones infectés propageaient aussi les messages. ^[1]

La leçon est l’enchaînement des demandes, pas une liste permanente d’adresses malveillantes. Avis, téléchargement, accès sensible puis petit paiement supposé exposaient les finances. Un message venant du numéro d’autrui n’était pas pour autant fiable. ^[1]

Utilisez une courte liste d’arrêt :

• Que cherchais-je à vérifier au départ ?
• Pourquoi faut-il maintenant installer un logiciel ?
• Pourquoi cet accès est-il nécessaire ?
• Qui a confirmé indépendamment ce paiement ?

Sans réponses, arrêtez. Conservez le message pour preuve si nécessaire, sans reproduire les étapes jusqu’au bout. Un téléchargement suspect actif n’est pas une démonstration sûre pour les proches.

Et les messages promettant des subventions ou des aides ?

En juin 2026, ITresan a rapporté un avertissement de la justice de Téhéran sur de faux messages utilisant des noms de services publics, notamment Sana, les aides en espèces et des dispositifs de soutien. ^[2]

Traitez l’offre d’aide comme une affirmation non vérifiée, y compris son délai. « Dernière chance » ne remplace pas l’examen du paiement ou du téléchargement.

Imaginez un SMS exigeant qu’un ménage installe une nouvelle application ce soir pour conserver une aide. C’est un exemple, pas une campagne citée. Faites une pause et vérifiez séparément le fond. Il n’est pas nécessaire d’ouvrir la pièce jointe pour expliquer le message à une personne fiable.

Des messages imitent banques, employeurs ou figures d’autorité pour demander argent ou données privées. Contactez personne ou organisation par votre canal habituel et vérifiez avant de répondre. ^[6]

Comment vérifier sans suivre le lien ?

Pour une entreprise ou un compte réellement utilisé, contactez le site ou numéro dont vous connaissez l’authenticité, pas les coordonnées du SMS. Cette vérification indépendante est au cœur des conseils FTC sur les demandes inattendues de données personnelles ou financières. ^[3]

Avant contact, rédigez une question neutre : « Mon compte a-t-il un problème nécessitant une action ? » Ne lisez ni mot de passe ni code. Demandez l’explication par le canal établi.

Apple avertit des usurpateurs créant l’urgence, demandant des données sensibles et orientant vers un faux support. Si un appelant dirige chaque pression ou révélation, arrêtez et reprenez vous-même contact par un canal connu. ^[4]

Pour un prétendu avis juridique, surtout lié à activité politique ou menaces, envisagez un conseil confidentiel d’un avocat indépendant avant un organisme étatique. N’utilisez pas le lien de paiement du message pour trancher. Séparez vérification, paiement, installation et éventuel signalement.

Un cadenas, logo connu ou nom d’expéditeur prouve-t-il la sécurité ?

Non. Google explique que l’état de connexion sécurisée de Chrome protège les informations entre vous et le site. Il recommande toujours de vérifier son nom et de rester prudent avec les données sensibles. La connexion ne valide ni paiement ni identité revendiqués. ^[11]

Apple précise que les escrocs imitent des organisations fiables et que l’identité d’appelant ou d’autres signes peuvent tromper. Logo connu, belle présentation et identité de support ne remplacent pas un contact indépendant. ^[4]

Ne testez pas seulement l’orthographe. Quelles preuves resteraient avec une rédaction parfaite et sans faute graphique ? Si seule demeure l’apparence officielle, la vérification manque toujours.

Séparez « La connexion est-elle sécurisée ? » et « Est-ce le destinataire auquel je voulais faire confiance ? » Le navigateur aide pour la première sans régler toute la seconde. En cas de doute, fermez et revenez au canal établi plutôt que de devenir expert des astuces d’adresse sous pression. ^[11]

Quelles demandes doivent me faire arrêter immédiatement ?

Arrêtez si un téléchargement inattendu exige d’affaiblir Android ou d’autoriser des paramètres restreints puissants. Google avertit que des applications nuisibles peuvent ainsi exposer les informations. Comprenez le besoin avant autorisation ; « obligatoire » à l’écran n’est pas une justification indépendante. ^[5]

Arrêtez aussi les demandes de mot de passe, code de l’appareil ou de vérification sous prétexte d’assistance. Apple déconseille de les partager avec des usurpateurs. Un appelant non sollicité ne doit pas guider la sécurité de votre compte. ^[4]

Règle familiale proposée : personne n’a à finir paiement ou installation pendant qu’un inconnu attend au téléphone. Raccrochez, lisez ensemble et décidez qui vérifiera indépendamment. Appliquez-la autant à un adulte sûr de lui qu’à un proche moins expérimenté.

Si quelqu’un a déjà agi, posez des questions factuelles sans reproche. « Avez-vous installé le fichier ? » et « Saisi un code ? » aident davantage que « Pourquoi y avoir cru ? » Gardez les réponses dans l’ordre pour traiter l’exposition réelle.

Et si j’ai déjà cliqué, saisi des données ou payé ?

Avant diagnostic, listez les actions : lien ouvert, données saisies, fichier téléchargé, application installée, autorisation accordée et paiement. Marquez les trous de mémoire sans rouvrir la page pour les combler.

Après paiement ou exposition d’accès financier, contactez vite banque ou prestataire par un canal connu et demandez les possibilités. Ne supposez ni récupération certaine ni perte certaine. ^[8]

Après saisie du mot de passe Google ou perte d’accès, suivez la procédure Google de compte compromis. Vérifiez activité de sécurité et récupération ; supprimer le SMS ne répare pas le compte. ^[9]

Après installation ou activation d’un réglage inattendu, cessez de suivre ses consignes et cherchez une aide adaptée à l’appareil. Donnez nom et accès accordés. Distinguez cela de la simple réception du message : le dossier doit montrer jusqu’où vous êtes allé.

Répartissez l’aide familiale : l’un rassemble les reçus, l’autre contacte le prestataire. Évitez de nouveaux essais sur le téléphone suspect avant une prochaine action claire.

Faut-il bloquer ou signaler le message ?

Google Messages propose blocage et signalement du spam. Un signalement envoie à Google les dix derniers messages entrants de cet expéditeur, potentiellement examinés par employés ou prestataires. Des informations peuvent aussi aller à l’opérateur. Lisez ces détails avant une conversation sensible. ^[7]

Sauvegardez les preuves utiles avant suppression ou signalement. Pour un SMS indésirable ordinaire, bloquer peut convenir. Pour menaces ou perte financière, décidez séparément des preuves et d’un avis juridique. Le bouton spam n’est ni plainte formelle ni demande de remboursement.

Certains messages menaçants en Iran relèvent de l’intimidation étatique plutôt que de l’hameçonnage financier ordinaire. En octobre 2026, Iran International a rapporté des témoignages de citoyens sur des avertissements sécuritaires liés aux réseaux sociaux. Cela n’authentifie aucun SMS particulier, mais justifie de ne pas réduire toute menace à une arnaque anodine ni d’envoyer tout destinataire directement vers l’État. ^[10]

Pour prévenir autrui, décrivez la tactique sans lien d’attaque cliquable ni identité privée. Consultez le guide Pouyam sur les e-mails, SMS et QR codes d’hameçonnage pour le contexte général.