... En fait, l'attaquant envoie un SMS contenant un lien vers une site du genre http://m.facebook.machintrucbidulechouette.mon-attaque.com/...

Le vrai nom de domaine est mon-attaque.com... et on ne peut pas voir grand chose de l'URL sur un smartphone. Bref, faut être vigilant ! L'auteur détaille quels sites sont concernés (en plus de facebook)