Faux SMS de colis : comment fonctionne le piège des frais de livraison
Le faux SMS de colis réclame une petite somme, entre un et trois euros, pour un motif de frais de douane ou de réexpédition. Cette somme n'est pas l'objectif : elle sert à obtenir un numéro de carte complet et, de plus en plus souvent, à faire valider une authentification bancaire détournée vers un autre paiement. Aucun transporteur ne réclame de paiement par lien SMS. Si vous avez saisi votre carte, faites opposition, contestez au titre de l'article L133-18, puis transférez le message au 33700.
Le message arrive un mardi en fin de journée : « Votre colis n'a pas pu être livré, merci de régler 1,99 € de frais de douane. » Le logo ressemble à celui de La Poste, de Chronopost ou de Mondial Relay, le ton est neutre, la somme est ridicule. Et vous attendiez peut-être justement un colis. Si vous avez cliqué, ou même payé, une chose d'abord : cette arnaque piège chaque semaine des milliers de personnes très prudentes. Elle n'exploite aucune crédulité, elle exploite une logistique que plus personne ne maîtrise. Voici comment elle fonctionne réellement, et quoi faire à chaque étape.
Pourquoi la somme est si petite, et pourquoi c'est délibéré
C'est le point que presque tout le monde comprend de travers. On imagine un escroc peu ambitieux qui se contenterait de deux euros par victime. La réalité est l'inverse : le montant faible est l'outil principal du dispositif, et il remplit trois fonctions simultanées.
Il désactive d'abord la vérification. Devant une demande de trois cents euros, n'importe qui appelle le transporteur. Devant 1,99 €, le calcul mental s'inverse : vérifier coûterait plus de temps que la somme ne vaut. Il neutralise ensuite le doute résiduel, parce qu'un escroc supposé cupide ne demanderait pas si peu, ce qui rend le message paradoxalement crédible. Il confirme enfin que la carte est active et que son titulaire réagit, information qui a une valeur marchande en soi.
Ce qui est réellement collecté sur la page
Le formulaire qui s'ouvre derrière le lien ne ressemble pas à un piège, il ressemble à une page de paiement ordinaire, souvent mieux réalisée que celle de certains commerçants légitimes. Ce qu'il capture n'est pas le paiement de 1,99 €, qui n'est parfois même jamais débité.
Ce qu'il capture, c'est le numéro de carte complet, la date d'expiration et le cryptogramme, c'est-à-dire tout ce qu'il faut pour payer ailleurs. Souvent aussi votre nom, votre adresse postale et votre téléphone, qui serviront à rendre crédible un appel ultérieur. Ces jeux de données sont soit réutilisés directement, soit revendus par lots. C'est pourquoi le débit frauduleux n'arrive pas toujours le lendemain : entre la collecte et l'utilisation, il peut s'écouler des semaines.
L'évolution qui change tout : la validation détournée
La version que je vois le plus souvent remonter dans les signalements récents ajoute une étape. Après la saisie de la carte, la page affiche un écran d'attente et vous demande de valider une notification dans votre application bancaire. Le message affiché sur la page parle de vérification de sécurité, parfois de simple confirmation d'identité.
Or l'authentification que vous validez à cet instant ne porte pas sur les 1,99 € affichés à l'écran. Elle porte sur une opération lancée en parallèle, d'un tout autre montant, chez un tout autre marchand. C'est la raison pour laquelle il faut prendre l'habitude de lire le montant et le nom du commerçant dans la notification bancaire elle-même, jamais sur la page qui vous a envoyé la demande. La notification de votre banque est la seule source fiable de ce que vous êtes réellement en train d'autoriser.
Le hasard n'en est pas un
« Ça tombait pile au moment où j'attendais un colis. » Cette phrase revient dans presque tous les signalements, et elle donne au message une force considérable. Il n'y a pourtant aucun ciblage individuel derrière.
Les numéros de téléphone sont générés automatiquement ou proviennent de fuites de données anciennes, et les envois se comptent en centaines de milliers. Sachant qu'une part importante de la population attend un colis à un instant donné, il suffit d'arroser largement pour que la coïncidence se produise. Les campagnes s'intensifient logiquement lors des pics d'achat : soldes, rentrée, fêtes de fin d'année. Le message ne vous connaît pas, il joue simplement sur un volume qui lui donne raison.
Les signaux qui trahissent le faux message
- Une demande de paiement par lien dans un SMS. Les transporteurs ne procèdent jamais ainsi, et de vrais frais de douane se règlent à la livraison ou via un avis officiel.
- Une adresse de site qui n'est pas le domaine officiel. Attention au procédé le plus courant : le nom du transporteur placé avant un domaine étranger, comme un « laposte » suivi d'une extension inhabituelle. Ce qui compte est ce qui précède immédiatement le premier slash, pas ce qui figure au début.
- Un expéditeur qui est un numéro de portable en 06 ou 07, alors que les envois professionnels utilisent un nom d'expéditeur ou un numéro court.
- Une urgence chiffrée : « sous 48 heures », « dernier avis avant retour ». Le compte à rebours n'existe que pour empêcher la vérification.
- Un colis que vous n'attendez pas, ou dont le numéro de suivi ne correspond à aucune commande retrouvée dans vos e-mails.
Le seul réflexe qui rend le piège inopérant
Il tient en une règle, et elle a l'avantage de dispenser de tout examen du message : n'utilisez jamais le lien reçu. Pas pour vérifier, pas par curiosité, pas même pour voir à quoi ressemble la page.
Si vous attendez réellement un colis, ouvrez vous-même le site du transporteur, ou mieux, retournez dans le mail de confirmation du marchand et suivez le lien qu'il contient. Cette habitude fonctionne quelle que soit la qualité de l'imitation, y compris pour les messages parfaitement rédigés que produisent désormais les outils de génération de texte. Elle vous dispense d'avoir à repérer la faute d'orthographe qui, il y a trois ans, trahissait le faux et qui a aujourd'hui disparu.
Vous avez saisi votre carte : la marche à suivre
Sans panique et sans perdre de temps, dans cet ordre :
- Faites opposition immédiatement en appelant le numéro au dos de votre carte. Le service est joignable en permanence, y compris la nuit et le week-end.
- Contestez avec les bons termes. Dites que vous contestez une opération de paiement non autorisée au titre de l'article L133-18 du code monétaire et financier. Cette qualification déclenche une procédure encadrée, là où « j'ai été victime d'une arnaque » n'ouvre qu'une réclamation ordinaire.
- Signalez sur Perceval, la plateforme dédiée aux fraudes à la carte bancaire quand vous êtes toujours en possession de celle-ci.
- Transférez le SMS au 33700, sans rien y ajouter, puis renvoyez le numéro de l'expéditeur quand le service vous le demande. Les opérateurs coupent les numéros signalés, ce qui réduit la campagne pour les suivants.
- Reprenez vos relevés sur plusieurs mois. Une carte compromise est rarement utilisée une seule fois, et les débits de test de faible montant passent facilement inaperçus.
Un point de droit trop peu connu, encore une fois : la banque doit rembourser une opération non autorisée immédiatement, et au plus tard à la fin du premier jour ouvrable suivant votre signalement. Elle ne peut s'y soustraire qu'en prouvant une négligence grave de votre part. Et vous disposez de treize mois à compter du débit pour contester, ce qui laisse largement le temps de découvrir une fraude ancienne.
Ce que vous pouvez faire pour les autres
Une campagne de faux SMS vit tant que ses liens fonctionnent. Chaque signalement raccourcit cette durée de vie, et c'est mesurable. Transférer le message au 33700 agit sur le canal d'envoi, en faisant couper le numéro émetteur. Signaler l'adresse du faux site sur Stop Arnaque agit sur la destination, en permettant d'afficher une alerte à la personne suivante qui cliquera.
Et si un proche vous en parle, résistez au « comment as-tu pu tomber là-dedans ». Ces campagnes sont conçues par des gens dont c'est le métier à temps plein, testées et optimisées message après message. Se faire prendre ne dit rien de votre intelligence. Cela dit seulement que vous étiez occupé le jour où le message est arrivé.
Le lien s'ouvre, et l'alerte tombe avant le formulaire
Le point faible du faux SMS de colis n'est pas le message, c'est la page qui s'ouvre derrière. C'est là que tout se joue, et c'est là que notre extension navigateur intervient : elle compare l'adresse à notre base de signalements et affiche une alerte en plein écran si la page a déjà été dénoncée par d'autres utilisateurs. Vous voyez le danger avant de taper le premier chiffre de votre carte.
L'alerte sur les sites signalés est gratuite. La protection étendue · analyse de l'expéditeur des e-mails, déjà active sur Gmail · est incluse dans le Premium · 2,99 €/mois (facturé à l'année) ou 5,99 €/mois sans engagement.
Vous avez reçu un de ces SMS ? Signalez le lien en 2 minutes · chaque signalement alimente l'alerte affichée aux suivants.
À retenir
- La somme dérisoire est une technique, pas une maladresse. Un montant faible désactive la méfiance et permet de valider que la carte saisie est bien active.
- Le vrai butin n'est pas le paiement mais le numéro de carte complet, avec date d'expiration et cryptogramme, qui se revend ou se réutilise pour des montants sans rapport.
- Le SMS n'est jamais adressé à vous personnellement : ces campagnes partent par centaines de milliers, et la coïncidence avec un colis réellement attendu est purement statistique.
- Transférer le message au 33700 fait couper le numéro par les opérateurs. C'est le seul geste qui réduit le volume de la campagne pour les personnes suivantes.
Questions fréquentes
J'ai seulement cliqué sur le lien, sans rien saisir. Est-ce grave ?
Dans l'immense majorité des cas, non. Ces pages sont des formulaires de collecte, pas des logiciels qui s'installent : le risque réel apparaît au moment de la saisie des données. Surveillez néanmoins vos relevés les jours suivants, et si le lien a déclenché un téléchargement, ne l'ouvrez pas et supprimez le fichier.
Pourquoi me demander seulement 1,99 € au lieu d'une grosse somme ?
Parce que le paiement n'est pas le but. Un montant faible n'éveille pas la méfiance et n'entraîne pas de vérification, tout en confirmant que la carte est active et que le titulaire répond. Le numéro complet, une fois collecté, sert ensuite pour des opérations sans rapport avec la somme affichée.
Comment savoir si un SMS de suivi est authentique ?
En n'utilisant jamais le lien du message, quel qu'il soit. Ouvrez vous-même le site officiel du transporteur et collez le numéro de suivi fourni par le marchand au moment de la commande. Si le colis existe, vous le retrouverez ainsi. S'il n'apparaît nulle part, le SMS était faux.
J'ai saisi ma carte. Vais-je être remboursé ?
L'article L133-18 du code monétaire et financier oblige votre banque à rembourser une opération de paiement non autorisée, immédiatement et au plus tard à la fin du premier jour ouvrable suivant votre signalement. Elle ne peut refuser qu'en prouvant une négligence grave de votre part, et c'est à elle d'en apporter la preuve.
Pourquoi je reçois ces SMS alors que je n'ai rien commandé ?
Parce que vous n'êtes pas ciblé individuellement. Les numéros sont générés ou proviennent de fuites de données, puis les messages partent en masse. Les expéditeurs savent qu'une fraction des destinataires attend réellement un colis à ce moment-là, et c'est suffisant pour que la campagne soit rentable.
