Arnaque SMS colis : reconnaître le faux avis de livraison

Un SMS annonce un colis bloqué et réclame deux ou trois euros de frais : c’est le scénario type de l’arnaque SMS colis. Aucun transporteur ne réclame de paiement par message pour remettre un colis. Le lien mène à un faux site conçu pour capter vos coordonnées bancaires. Voici comment le repérer et comment réagir.

Ce que contient vraiment un SMS de faux colis

Le message tient en deux lignes et suit toujours la même mécanique : un prétexte crédible, un lien court, un montant dérisoire.

Le prétexte s’appuie sur une situation banale. Colis présenté en votre absence, adresse incomplète, format trop volumineux pour la boîte aux lettres, frais de dédouanement restés impayés. Cybermalveillance.gouv.fr décrit ce schéma dans sa fiche consacrée à l’hameçonnage à la livraison de colis, et rappelle une règle simple : les entreprises de livraison ne réclament jamais de paiement par message pour remettre un colis.

Le lien vient ensuite. Il est presque toujours raccourci, et ce lien raccourci masque le vrai domaine derrière une suite de caractères neutres. Sur un écran de téléphone, le destinataire perd alors le seul indice réellement lisible : le nom de domaine.

Reste le montant. Un à trois euros, rarement davantage. Ce n’est pas une maladresse d’escroc : une somme minuscule ne déclenche aucune réflexion budgétaire, et le vrai butin se trouve ailleurs. Le formulaire de paiement sert à collecter le numéro de carte, la date d’expiration et le cryptogramme, parfois complétés par un appel téléphonique destiné à récupérer le code de validation envoyé par la banque.

Les campagnes recyclent aussi des transporteurs qui n’existent pas. « IPS », présenté comme International Parcel Service, revient régulièrement dans les signalements publics recensés sur signal-arnaques.com. La sonorité rappelle celle d’un grand réseau américain, la marque n’a aucune existence commerciale en France, et c’est précisément l’effet recherché.

Le vocabulaire aide à s’y retrouver. L’hameçonnage par courriel s’appelle phishing, sa déclinaison par SMS porte le nom de smishing, et la version par appel téléphonique celui de vishing. Une variante plus récente passe par un QR code imprimé, le quishing. Le support change, le mécanisme reste identique : capter une donnée que la victime livre elle-même, sans aucune effraction technique. Un faux SMS de colis appartient donc à la famille du smishing, la plus rentable pour les escrocs parce que le message arrive sur l’écran le plus consulté de la journée.

Quatre éléments reviennent dans presque tous ces messages :

• Un expéditeur inconnu, souvent un numéro mobile étranger ou une suite de chiffres inhabituelle
• Un lien raccourci qui ne laisse apparaître aucun nom de transporteur
• Une somme minuscule à régler tout de suite, entre un et trois euros
• Une échéance courte, vingt-quatre ou quarante-huit heures, avant un prétendu retour à l’expéditeur

Reconnaître une arnaque SMS colis en moins d’une minute

Trois vérifications suffisent, et aucune ne demande de compétence technique.

Commencez par la commande. Attendez-vous réellement un colis ? Un message qui arrive alors qu’aucun achat n’est en cours tranche la question en trois secondes. C’est le filtre le plus rapide et le plus fiable, et il fonctionne sans même lire le contenu du SMS.

Passez ensuite au canal. Reprenez le suivi là où vous le consultez d’habitude : l’espace client du vendeur, ou le site du transporteur avec le numéro de suivi saisi à la main. Un colis réellement immobilisé apparaît dans ce suivi, avec un statut daté. Quand vous avez l’habitude de suivre un colis en point relais, l’écart saute aux yeux : le SMS annonce un blocage que le suivi officiel ignore.

Terminez par le paiement. Un transporteur français encaisse au moment de l’achat, ou au comptoir du point relais. Jamais par un lien reçu sur mobile. Une demande de coordonnées bancaires arrivée par message suffit à qualifier l’envoi, quel que soit le reste.

Un contrôle supplémentaire sert de filet quand le lien a déjà été ouvert : lisez l’adresse de droite à gauche. Le nom de domaine réel est celui qui précède immédiatement la première barre oblique, et tout ce qui apparaît avant lui peut être inventé de toutes pièces. Une adresse du type « laposte.suivi-colis-fr.net » n’appartient pas à La Poste, malgré les apparences.

Ces réflexes s’acquièrent. Le problème ? Ils s’acquièrent par l’exposition répétée à des cas concrets, pas par une explication unique donnée au téléphone un dimanche soir. Un parent qui reçoit ces messages seul, sans personne à côté pour dire « celui-là est faux, et voilà pourquoi », n’a aucune base de comparaison. C’est l’angle retenu par ce service par SMS, conçu pour être souscrit par l’enfant et reçu par le parent : chaque semaine, un exemple d’arnaque réellement en circulation arrive sur son téléphone, décortiqué en langage courant. Le rythme est hebdomadaire, l’intention pédagogique, et rien à installer sur le mobile. À force d’exemples réels, le faux message de colis devient un motif reconnaissable au lieu d’une surprise.

Une remarque sur le doute lui-même : hésiter devant un message n’est pas un aveu de faiblesse, c’est la bonne réaction. Un vrai transporteur reste joignable, et une vérification de trente secondes ne coûte rien.

À quoi ressemble un vrai message de transporteur

Un avis authentique ne cherche pas à déclencher une action dans la seconde. Il informe, puis il attend.

Sur un envoi en point relais, le message annonce la mise à disposition, nomme le commerce et son adresse, donne un délai de retrait et rappelle qu’une pièce d’identité sera demandée au comptoir. Les réseaux conservent le colis entre huit et quatorze jours selon les enseignes. Ce cadre est détaillé dans notre guide pour se faire livrer en point relais.

Les marqueurs d’un message légitime tiennent en cinq points :

• Le nom du point relais et son adresse complète, pas un vague « votre colis »
• Un numéro de suivi qui fonctionne sur le site du transporteur, saisi manuellement
• Un code de retrait ou un identifiant de remise, jamais une demande de carte
• Une date de mise à disposition et une date limite de retrait clairement écrites
• Aucun compte à rebours chiffré en heures

L’expéditeur affiché fournit un indice supplémentaire. Les transporteurs et les marchands passent par des numéros courts ou par un nom d’émetteur alphanumérique constant, identique d’un envoi à l’autre. Un message légitime rejoint donc le fil de conversation déjà présent sur votre téléphone, au lieu d’ouvrir un fil neuf depuis un numéro mobile jamais vu.

Le dépôt et le retrait dans un point de collecte Mondial Relay suivent cette logique, comme dans un point de collecte Chronopost : les frais se règlent en amont, à la commande, et le comptoir ne sert qu’à la remise. Un transporteur qui réclamerait 1,99 euro par SMS pour libérer un colis casserait son propre modèle économique.

Pourquoi ce message tombe si souvent au bon moment

Coïncidence apparente, arithmétique réelle. Des millions de colis circulent chaque semaine en France et une part croissante transite par des points de retrait. Un envoi aveugle à grande échelle atteint forcément des destinataires qui attendent vraiment quelque chose.

Les chiffres publics donnent la mesure du phénomène. Cybermalveillance.gouv.fr a traité plus de 504 000 demandes d’assistance en 2025, en hausse de 20 % sur un an, dont 93 % émanant de particuliers. Le premier motif reste l’hameçonnage par SMS et par courriel, en progression de 70 % sur la même année. Les sollicitations liées aux violations de données ont bondi de 107 %, et ces fuites alimentent directement les listes de numéros exploitées ensuite.

Le numéro d’expéditeur affiché se manipule, ce qui achève de brouiller la lecture. La loi du 24 juillet 2020 sur l’encadrement du démarchage téléphonique a imposé aux opérateurs un mécanisme d’authentification des numéros. L’Arcep a complété ce dispositif : depuis le 1er janvier 2026, les opérateurs français masquent le numéro mobile de tout appel venu de l’étranger qui n’a pas pu être authentifié. Le régulateur a enregistré plus de 19 000 signalements d’usurpation de numéro sur sa plateforme « J’alerte l’Arcep » en 2025.

Reste la dimension humaine. Un message de livraison ne demande pas de réfléchir, il demande de réagir, et il arrive au milieu de notifications ordinaires. Le destinataire ne tombe pas par manque de discernement, il tombe parce que le message imite un contexte qu’il connaît bien.

Vous avez cliqué : les gestes des premières heures

La suite dépend de ce que vous avez réellement fait. Trois situations, trois réponses.

Vous avez seulement ouvert la page

Fermez l’onglet et ne saisissez rien. Une page de collecte de données ne fait rien toute seule : sa valeur pour l’escroc dépend entièrement de ce que vous tapez. Vérifiez ensuite le suivi réel de vos commandes en cours depuis vos accès habituels, supprimez le message, puis bloquez le numéro dans les réglages du téléphone.

Profitez de ce faux départ pour vérifier deux réglages : la mise à jour du système du téléphone, et la restriction d’installation d’applications en dehors du magasin officiel. Ces deux points limitent les dégâts le jour où un lien ira plus loin qu’une simple page de formulaire.

Vous avez saisi vos données bancaires

Quatre gestes, dans cet ordre :

• Appeler la banque et faire opposition sur la carte concernée, numéro au dos de la carte ou dans l’application
• Photographier le SMS et la page avant toute suppression, pour la future plainte
• Changer le mot de passe de la messagerie utilisée si le même sert ailleurs
• Surveiller les relevés des semaines suivantes, y compris les petits montants récurrents

Cette opposition bancaire est la seule action réellement urgente. Le reste se traite dans la journée.

Un débit est déjà passé

Contestez par écrit auprès de votre banque. L’article L133-18 du Code monétaire et financier prévoit le remboursement immédiat d’une opération de paiement non autorisée signalée par le client, au plus tard à la fin du premier jour ouvrable suivant le signalement. L’article L133-24 fixe à treize mois après le débit le délai maximum de contestation. Signalez en parallèle les débits sur Perceval, le téléservice du ministère de l’Intérieur ouvert en 2018 pour les paiements par carte contestés sans perte ni vol du support.

Où signaler ce SMS, et à quoi ça sert vraiment

Un signalement isolé paraît dérisoire. Agrégé, il fait tomber des noms de domaine et des numéros en quelques heures.

Cinq dispositifs français couvrent les différents cas :

• Le 33700, plateforme des opérateurs mobiles gérée par l’Association française du multimédia mobile depuis novembre 2008 : transférez le SMS, puis renvoyez le numéro de l’expéditeur quand la réponse automatique le demande
• Cybermalveillance.gouv.fr, dispositif national d’assistance aux victimes, pour être orienté selon votre situation
• Signal-arnaques.com, plateforme communautaire créée en 2014, où retrouver une campagne en cours à partir de quelques mots du message
• Perceval, pour un débit par carte contesté auprès des forces de l’ordre
• Thésée, plateforme de plainte en ligne du ministère de l’Intérieur ouverte le 15 mars 2022, pour les escroqueries subies sur internet

Concrètement, le transfert déclenche une analyse du lien et du numéro par la plateforme, qui relaie ensuite aux opérateurs et aux hébergeurs concernés. Chaque envoi alimente le blocage des numéros et la fermeture des adresses malveillantes. Votre message ne sera pas traité individuellement, il pèse par accumulation, et ce fonctionnement explique pourquoi les campagnes changent de domaine tous les deux ou trois jours.

Le volume traité par le 33700 donne la mesure de cet effet de masse : 2,2 millions de signalements en 2022, puis 3,4 millions en 2023 selon les données publiées par l’association. Une adresse remontée par plusieurs milliers de destinataires disparaît beaucoup plus vite qu’un site signalé une seule fois.

Un réflexe complémentaire vaut pour les acheteurs réguliers. Concentrer ses achats sur un nombre limité de plateformes de vente identifiées réduit le bruit : quand vos livraisons passent par trois transporteurs connus, un message venu d’ailleurs détonne immédiatement.

Installer le réflexe chez un proche sans le braquer

Le sujet se traite mal en une conversation. Un adulte de soixante-quinze ans qui reçoit un faux SMS de colis n’est pas naïf : il est visé par une technique d’ingénierie sociale calibrée pour fonctionner sur tout le monde, y compris sur vous.

Cinq mesures concrètes, à mettre en place ensemble plutôt qu’à imposer :

• Convenir d’une règle familiale explicite : aucun paiement validé depuis un lien reçu, quel que soit le montant, sans un appel préalable
• Abaisser le plafond de paiement en ligne de la carte, opération réalisable en deux minutes depuis l’application bancaire
• Activer le filtrage anti-spam proposé par l’opérateur mobile et le blocage des numéros déjà signalés
• Faire ensemble le premier transfert au 33700, pour que le geste soit connu avant d’être nécessaire
• Garder une trace des messages douteux reçus, ce qui construit peu à peu une base de comparaison

Le ton compte autant que le dispositif. Une consigne descendante produit du silence, et le parent piégé n’en parlera pas. Un cadre partagé, où chacun signale ce qu’il a reçu dans la semaine, produit l’inverse : le message douteux circule, il est commenté, et la prochaine campagne trouve une cible avertie.

Une précision utile pour l’aidant : le parent n’a aucun besoin de comprendre la technique pour être protégé. Reconnaître une forme suffit. Personne ne sait expliquer le fonctionnement d’un moteur pour savoir qu’un bruit anormal impose un arrêt immédiat, et le raisonnement vaut exactement de la même façon devant un message de livraison inattendu.

Prochaine étape

Ouvrez votre historique de SMS et transférez au 33700 le dernier message de livraison suspect encore présent. Appelez ensuite le proche le plus exposé et faites le même geste avec lui, sur son téléphone. Comptez dix minutes pour les deux, et un premier retour automatique du 33700 dans la journée.