Arnaque au colis : le faux SMS de livraison décrypté

↑ Ce conseil fait partie du guide : Arnaques et hameçonnage

Le scénario, du SMS au prélèvement

Tout commence par un SMS court, souvent bien écrit : « Votre colis n'a pas pu être livré, des frais de douane de 1,95 € restent à régler », suivi d'un lien raccourci. Le montant est choisi avec soin : assez faible pour qu'on ne réfléchisse pas, assez précis pour paraître administratif.

La page qui s'ouvre reprend le logo d'un transporteur connu, affiche un numéro de suivi crédible, et réclame nom, adresse, puis carte bancaire. Certaines versions demandent ensuite le code reçu par SMS de votre banque — c'est ce code qui valide l'enregistrement de votre carte, pas le règlement de 1,95 €.

Les jours suivants, rien ne se passe. Le colis n'arrive pas, et personne ne vous relance. Le vrai effet apparaît sur le relevé bancaire, quelques semaines plus tard : un prélèvement mensuel de vingt à cinquante euros, au nom d'une société inconnue, souvent étrangère.

Reconnaître le faux en dix secondes

Quatre points suffisent, et ils ne demandent aucune compétence technique :

1. Attendez-vous vraiment un colis ? C'est la première question, et elle règle la moitié des cas. Ces envois sont massifs : vous n'êtes pas visé personnellement.
2. Le lien. Un appui long affiche l'adresse réelle sans l'ouvrir. Un vrai transporteur utilise son propre domaine, pas un raccourcisseur ni une adresse composée de mots collés.
3. Le montant. Des frais de douane réels dépassent presque toujours quelques euros et sont annoncés par le transporteur avant l'expédition, pas par SMS la veille.
4. La demande de carte. Un règlement se fait depuis l'espace de suivi du transporteur, où vous arrivez en tapant vous-même son adresse.

La règle générale est la même que pour le faux mail des impôts : on ne suit jamais le lien d'un message, on reprend le canal que l'on connaît déjà.

L'abonnement caché derrière 1,95 €

C'est la partie que presque personne ne voit venir. En saisissant votre carte pour ces « frais », vous ne payez pas une livraison : vous autorisez un paiement récurrent. Les conditions, écrites en tout petit ou sur une page que l'on ne lit pas, mentionnent un abonnement à un service fictif — streaming, coaching, assistance — facturé chaque mois.

Plusieurs éléments rendent le procédé difficile à arrêter :

• le libellé sur le relevé ne ressemble à rien de connu, et change parfois d'un mois sur l'autre ;
• le montant reste modeste, souvent en dessous du seuil où l'on s'inquiète ;
• le « service client » est injoignable, ou renvoie vers un formulaire sans réponse.

C'est pour cela que la simple relecture de trois mois de relevés fait partie des gestes de base après ce type de saisie : le prélèvement a souvent commencé bien avant qu'on le remarque.

Ce que devient le formulaire rempli

Le prélèvement n'est pas la seule conséquence. Le formulaire a aussi collecté votre nom complet, votre adresse postale, votre téléphone et parfois votre date de naissance. Ces informations ne sont pas perdues pour tout le monde : elles sont revendues par lots, et elles réapparaissent quelques semaines plus tard sous une autre forme.

• Un appel « de votre banque » qui cite votre adresse exacte pour prouver son sérieux — le scénario complet est dans l'arnaque au faux conseiller bancaire.
• Un courrier ou un SMS très personnalisé, bien plus convaincant que le premier.
• Une tentative d'usurpation si une copie de pièce d'identité a été demandée : là, il faut déposer plainte sans attendre.

Retenez la règle qui découle de tout cela : un interlocuteur qui connaît vos coordonnées ne prouve rien. Ces informations circulent, comme l'explique savoir si son adresse mail a fuité. La seule chose qui compte reste de ne jamais valider quoi que ce soit à la demande de quelqu'un qui appelle ou qui écrit.

Vous avez payé : la marche à suivre

Un détail qui compte : faire opposition ne suffit pas toujours à stopper un abonnement si la banque le traite comme un paiement autorisé. Demandez explicitement le blocage du bénéficiaire et la contestation des échéances déjà passées. La démarche est la même que pour toute fraude à la carte, détaillée dans j'ai cliqué sur un lien de phishing.

Les variantes qui circulent

Le canevas se décline sans relâche, parce qu'il fonctionne :

• Le colis « en attente en bureau de poste », avec réexpédition à payer.
• L'adresse incomplète à corriger : le formulaire récupère vos coordonnées complètes, utiles pour un appel frauduleux ultérieur.
• Le message vocal ou l'appel d'un prétendu transporteur, qui bascule ensuite vers un faux conseiller bancaire — le scénario est décrit dans l'arnaque au faux conseiller bancaire.
• La fausse application de suivi à installer sur Android : c'est le seul cas où le téléphone lui-même est en jeu, et il faut alors reprendre les vérifications de mon téléphone Android est-il infecté.

Dans tous les cas, la réaction est identique : on ne clique pas, on vérifie depuis le site du transporteur avec le numéro de suivi que l'on possède déjà.

Signaler le SMS et le site

• Transférez le SMS au 33700 : gratuit, trente secondes, et cela permet aux opérateurs de couper les numéros et les liens de la campagne.
• Signalez le site copié sur Pharos : ces pages vivent quelques jours, chaque signalement raccourcit leur durée de vie.
• Prévenez le transporteur imité : la plupart ont une adresse dédiée aux tentatives d'hameçonnage et font fermer les domaines.
• Pour être guidé, cybermalveillance.gouv.fr et 17Cyber donnent la conduite à tenir selon ce que vous avez saisi.

Gardez une capture d'écran du SMS et de la page : votre banque peut la demander pour la contestation.

Quand vous attendez vraiment un colis

C'est la situation inconfortable : le message tombe pile au moment où une commande est en route. Trois habitudes évitent l'erreur.

1. Passez par le marchand, pas par le transporteur. Le suivi figure dans votre compte client ou dans le mail de confirmation d'origine : c'est la source sûre.
2. Comparez le numéro de suivi annoncé dans le SMS avec celui de votre commande. Une différence, et le doute est levé.
3. Souvenez-vous qu'un vrai transporteur ne demande jamais de carte pour livrer : en cas de frais réels, il propose un paiement depuis son site ou au facteur, jamais via un lien SMS.

Les périodes de fêtes et de soldes concentrent ces campagnes, précisément parce que tout le monde attend un colis. Le réflexe vaut d'être rappelé aux proches à ce moment-là.

Ne plus se faire avoir

Quelques réglages simples réduisent fortement l'exposition :

• Activez les notifications de paiement de votre banque : chaque opération vous est signalée immédiatement, y compris un premier prélèvement de quelques euros.
• Utilisez une carte virtuelle ou à plafond limité pour les achats en ligne si votre banque le propose : un abonnement frauduleux s'y heurte tout de suite.
• Relisez vos relevés une fois par mois, en regardant surtout les petites lignes régulières.
• Ne laissez pas votre carte enregistrée partout : chaque site qui la stocke est une fuite potentielle, et une fuite alimente les campagnes suivantes — voyez savoir si son adresse mail a fuité.

Si vous voulez faire le tour de ces réglages une bonne fois, la page prévention décrit la séance type, à distance ou à domicile. Et si un doute subsiste sur ce que vous avez saisi, le diagnostic au téléphone dure quinze minutes et ne coûte rien : vous pouvez aussi décrire votre situation en deux lignes.

Questions fréquentes

J'ai payé 1,95 €, dois-je vraiment faire opposition ?

Oui. Le montant n'a aucune importance : ce qui compte, c'est que votre numéro de carte et son cryptogramme soient désormais connus. L'opposition est la seule façon d'empêcher les prélèvements suivants.

Comment reconnaître de vrais frais de douane ?

Ils sont annoncés par le transporteur avec un avis détaillé, dépassent généralement quelques euros, et se règlent depuis l'espace de suivi officiel où vous arrivez en tapant vous-même l'adresse du site. Jamais par un lien reçu en SMS.

Le SMS vient d'un numéro français, est-ce rassurant ?

Non. Les numéros affichés sont falsifiables ou loués en masse, y compris des numéros mobiles français. L'origine apparente d'un message ne dit rien de son authenticité.

Un prélèvement inconnu revient chaque mois, que faire ?

Demandez à votre banque le blocage du bénéficiaire et la contestation des échéances déjà passées, par écrit. Une simple opposition sur la carte ne suffit pas toujours si l'opération est traitée comme un paiement autorisé.

J'ai donné mon adresse mais pas ma carte, est-ce grave ?

Il n'y a pas de risque financier immédiat, mais ces coordonnées servent à rendre une prochaine tentative bien plus crédible, souvent par téléphone. Attendez-vous à être recontacté et gardez la règle : on ne valide jamais rien sur un appel entrant.

À lire aussi : le guide des arnaques et de l'hameçonnage · le faux mail des impôts.