Comprendre · Arnaque au colis
Arnaque au colis par SMS : reconnaître le piège et réagir
Un colis bloqué, une livraison à reprogrammer, quelques euros à payer : un faux SMS peut transformer une attente banale en vol de données. Vérifiez le suivi officiel avant d'agir.
Mis à jour le 9 septembre 2026 · DYLETH
Le scénario
Qu'est-ce qu'une arnaque au colis par SMS ?
Un fraudeur se présente comme un livreur ou un transporteur et invente un problème d'acheminement pour obtenir des données ou un paiement. C'est une forme fréquente de smishing, l'hameçonnage par SMS. Ce guide détaille le piège de la livraison et les gestes à faire selon votre situation.
Les fraudeurs peuvent usurper l'identité de transporteurs connus : La Poste, Colissimo, Chronopost ou Mondial Relay sont cités par Cybermalveillance.gouv.fr. Ces entreprises subissent l'usurpation ; elles ne sont pas à l'origine des faux messages.
Le mécanisme
Comment fonctionne le faux SMS de livraison ?
Le lien mène à une imitation de suivi de colis. La page demande identité, adresse puis carte bancaire, sous prétexte de terminer la livraison. Les données saisies peuvent être récupérées même sans paiement abouti. Elles peuvent ensuite servir à d'autres fraudes, notamment un appel de faux conseiller bancaire. Le dossier officiel sur les colis décrit cet enchaînement.
Une demande de 1 €, 1,99 €, 2 € ou 2,99 €, par exemple, peut rendre le piège rassurant et pousser à saisir sa carte. Un faible montant ne rend pas une demande légitime. Ces montants illustrent l'appât ; tous les petits frais ne sont pas frauduleux.
Les prétextes
Les messages les plus fréquents
Voici des scénarios paraphrasés, sans reproduire de SMS ni de lien :
- Livraison impossible : absence supposée ou colis trop volumineux pour la boîte aux lettres.
- Adresse incomplète : correction demandée ou reprogrammation vers un autre créneau ou point relais.
- Colis en attente : prétendus frais de livraison, d'affranchissement ou de douane à régler.
- Dernier rappel : colis annoncé bloqué ou retour à l'expéditeur imminent pour provoquer une réaction pressée.
Un incident réel peut aussi nécessiter une action. La Poste confirme que des droits et taxes peuvent être dus sur certains colis. Vérifiez leur présence dans le suivi officiel ouvert par vos soins.
Les indices
Comment reconnaître un faux SMS de colis ?
- Contexte incohérent : aucun colis attendu ou référence différente de celle fournie par le vendeur.
- Urgence artificielle : délai très court, menace de retour ou paiement immédiat de quelques euros.
- Adresse suspecte : domaine légèrement modifié, URL inhabituelle ou lien raccourci qui masque la destination.
- Demande sensible : carte bancaire ou identifiants réclamés pour une simple reprogrammation.
- Expéditeur inhabituel : numéro mobile inconnu, formulation étrange ou fautes. Aucun de ces indices ne suffit seul à conclure.
Attendre vraiment un colis ne valide pas le SMS. Un texte sans faute et un nom familier ne prouvent pas son authenticité, comme l'explique le dossier officiel sur les SMS frauduleux. Consultez aussi notre guide pour vérifier un lien.
Avant le clic
Ne cliquez pas : les bons réflexes
En cas de doute, ne passez pas par le lien reçu. Ouvrez vous-même le site ou l'application officielle du transporteur. Retrouvez la référence dans votre commande et comparez le suivi. La Poste explique comment contrôler le suivi et les éventuels droits de douane.
Ne répondez pas au SMS et ne transmettez ni carte ni identifiants. Si le doute persiste, contactez le vendeur ou le transporteur par ses coordonnées habituelles. Conservez le message avant de le signaler.
Après le clic
J'ai cliqué sur le lien : que faire ?
J'ai cliqué mais rien saisi
Fermez la page sans rien accepter. Vérifiez les téléchargements éventuels et gardez navigateur et téléphone à jour. Un clic seul ne prouve pas une infection ; demandez assistance en cas d'alerte ou de comportement inhabituel.
J'ai saisi un mot de passe
Changez-le immédiatement sur le service officiel et sur chaque compte où il était réutilisé. Choisissez des mots de passe distincts et activez la double authentification si possible. Si l'accès est perdu, contactez le support officiel.
J'ai donné mes informations personnelles
Notez les données transmises. Méfiez-vous des nouvelles sollicitations qui les reprennent, notamment d'un prétendu banquier. Si votre identité est utilisée frauduleusement, déposez plainte. Les conseils de Cybermalveillance.gouv.fr détaillent ces démarches.
J'ai installé une application ou téléchargé un fichier
N'ouvrez pas le fichier. Si vous avez installé ou exécuté quelque chose de suspect, cessez les opérations sensibles, déconnectez l'appareil en cas d'infection suspectée et demandez assistance depuis un autre équipement. Faites vérifier l'appareil selon les conseils officiels sur les virus.
Banque et paiement
J'ai saisi mes coordonnées bancaires ou payé : que faire ?
J'ai saisi ma carte bancaire
Contactez immédiatement votre banque via son application ou son numéro officiel et faites opposition à la carte compromise, même sans débit constaté. Surveillez ensuite vos opérations. L'opposition et la contestation d'un débit sont deux démarches distinctes.
J'ai validé un paiement
Expliquez précisément à la banque ce que vous avez saisi et validé. Demandez les possibilités de contestation. Conservez SMS, URL sans la rouvrir, captures, montants et références. Une opération non autorisée et un paiement validé sous manipulation doivent être examinés selon leurs circonstances.
Selon la Banque de France, l'authentification forte ne suffit pas, à elle seule, à établir qu'une opération était autorisée. Le remboursement n'est pas automatique pour toute situation. Agissez sans attendre : Service Public précise les délais et recours applicables. Un signalement ne remplace pas la demande auprès de la banque.
Avec DYLETH
Comment DYLETH peut aider
Le module Anti-fraude SMS analyse le contenu du SMS et émet une alerte lorsqu'un lien ou un message présente des caractéristiques connues de fraude. Le module Vérification des URLs analyse les liens avant ouverture et alerte sur les caractéristiques connues de sites frauduleux.
Ces alertes apportent un repère supplémentaire. Elles ne garantissent pas la détection de chaque faux SMS de livraison. Vérifiez le suivi officiel avant toute saisie ou tout paiement.
Signaler
Où signaler un faux SMS de colis ?
- SMS frauduleux : transférez-le au 33700 ou utilisez son formulaire. Prévenez aussi le transporteur usurpé via sa page officielle, comme celle de La Poste.
- Besoin d'aide : 17Cyber propose un diagnostic et une orientation.
- Achats en ligne non autorisés : Perceval convient si vous possédez encore la carte, n'êtes pas à l'origine des achats et avez fait opposition.
- Escroquerie subie : déposez plainte auprès de la police ou de la gendarmerie. THESEE concerne certains scénarios en ligne ; vérifiez l'éligibilité, un simple SMS suspect ne suffit pas.
Pour distinguer signalement, plainte et démarches bancaires, consultez notre guide : qui contacter pour signaler une arnaque ?
À retenir
Le suivi officiel avant le lien reçu
Le nom du transporteur et le petit montant ne prouvent rien. Vérifiez votre commande. Après une interaction, réagissez selon les informations communiquées, le paiement validé ou l'installation effectuée.
Sources
- Cybermalveillance.gouv.fr — Hameçonnage à la livraison de colis : scénarios et usurpations.
- Cybermalveillance.gouv.fr — Smishing : indices et mécanismes.
- Cybermalveillance.gouv.fr — Hameçonnage : comptes, preuves et plainte.
- Cybermalveillance.gouv.fr — Virus informatiques : assistance technique.
- La Poste — Message frauduleux : signalement.
- La Poste — Droits de douane : vérifier une demande.
- Banque de France — Recommandations sur le remboursement : authentification et autorisation.
- Service Public — Fraude à la carte bancaire : opposition et contestation.
- Service Public — Perceval : conditions d'accès.
- 33700 — Signaler un SMS indésirable : modalités.
- Ministère de l'Intérieur — THESEE : périmètre.