Tu reçois un SMS qui annonce qu’un colis n’a pas pu être livré par Chronopost, Colissimo ou DHL, et qu’il faut régler quelques euros de frais de redirection pour le récupérer. Le lien mène à un faux site de l’opérateur où l’on te demande ton numéro de carte bancaire. C’est l’arnaque au faux livreur, en circulation continue depuis 2021, qui a fait des milliers de victimes en France et qui continue parce que tout le monde commande en ligne.
Les opérateurs de livraison ne fonctionnent jamais ainsi. Ce qu’il faut savoir pour reconnaître l’arnaque, que faire si tu as donné tes informations, et comment éviter de tomber dans la prochaine variante.
L’essentiel
Chronopost, Colissimo et DHL ne demandent jamais de frais de redirection par SMS avec lien vers un formulaire bancaire. Toute facture supplémentaire sur un colis est rare et passe par la voie postale ou ton espace client habituel.
Si tu as donné ton numéro de carte : opposition immédiate via ta banque, puis plainte. Conserve une capture du SMS et du faux site.
Pour vérifier un message : connecte-toi à l’app officielle de l’opérateur, ou tape l’adresse de leur site à la main. Le statut réel du colis y apparaît.
Comment l’arnaque fonctionne
Le SMS arrive souvent quelques jours après que tu as passé une commande, parfois par hasard, parfois parce que l’attaquant croise des bases de données de prospects e-commerce. Le message évoque un colis en attente, un frais de douane symbolique (1,99 €, 2,99 €), une livraison à confirmer. La petite somme demandée a un objectif précis : te faire saisir ta carte sans réflexion poussée.
Sur la fausse page, tu saisis ton numéro de carte, sa date d’expiration et le cryptogramme. La somme prélevée sans délai est minime (souvent 1 ou 2 euros) pour ne pas alerter. Quelques jours après, ton compte voit débarquer des achats à distance pour plusieurs centaines, voire milliers d’euros, sur des sites étrangers difficiles à contester.
Les signaux qui doivent t’alerter
- Un montant ridiculement faible. 1,99 €, 2,99 €, 3 €. C’est le signal le plus régulier. Personne ne demande des sommes microscopiques sur des canaux officiels.
- Un lien dans le SMS. Chronopost et Colissimo te dirigent vers leur app ou leur site, jamais par un lien direct dans un SMS de notification.
- Un nom de domaine bidouillé. Le seul vrai site de Chronopost est chronopost.fr, celui de Colissimo est laposte.fr/colissimo. Les variantes avec tirets, sous-domaines exotiques ou extensions étranges (.live, .info, .top) sont à fuir.
- Un colis dont tu n’as pas connaissance. Si tu ne te souviens d’aucune commande qui justifierait ce SMS, ignore-le, point.
- Une demande de carte bancaire complète. Aucun opérateur de colis ne demande tes coordonnées bancaires complètes par SMS et formulaire web.
Si tu as saisi tes informations
Opposition immédiate sur la carte
Appelle ta banque ou utilise son app pour bloquer la carte. Une opposition coupe l’utilisation future, mais ne récupère pas les sommes déjà parties. Demande aussi une nouvelle carte. Surveille les relevés des 30 jours suivants pour repérer les achats frauduleux et les contester.
Plainte et signalement
Plainte en ligne sur cybermalveillance.gouv.fr, complétée par un dépôt au commissariat. Signalement du SMS au 33 700. Avec la plainte, ta banque sera plus disposée à te rembourser les transactions frauduleuses (article L. 133-19 du Code monétaire et financier).
Comment t’en protéger
Premier réflexe simple : installer l’app officielle Chronopost ou Colissimo sur ton smartphone. Toute notification légitime arrivera dedans. Toute notification de livraison qui passe par SMS avec un lien externe peut être ignorée par défaut.
Une carte bancaire virtuelle (Revolut, certaines banques en ligne proposent des cartes jetables liées à ton compte) limite l’impact d’une fuite. Tu génères un numéro qui n’est valide que pour un achat ou une période courte. Si l’attaquant capture ce numéro, il ne pourra rien en faire derrière. Ces cartes coûtent rien à activer chez la plupart des néobanques.
Sur le long terme : un gestionnaire de mots de passe avec adresses email jetables (alias hide-my-email chez Proton ou DuckDuckGo) réduit la surface de risque. Quand un site marchand fuite ses données, l’attaquant ne reçoit qu’une adresse alias que tu peux désactiver, pas ton vrai email.
Questions fréquentes
Et si j’attends vraiment un colis au moment où le SMS arrive ?
Concordance qui rend l’arnaque crédible, mais qui ne change pas la règle : passe par l’app officielle ou tape l’URL à la main pour vérifier le statut de ton colis. Si la livraison a un problème, le statut réel y apparaîtra. Si tout est normal sur l’app, le SMS est faux.
L’attaquant peut-il me livrer un faux colis ?
Très rarement. La technique exige plus d’efforts qu’elle ne rapporte. L’objectif des arnaques par SMS est de récupérer tes coordonnées bancaires, pas de te livrer quoi que ce soit.
Pourquoi les opérateurs ne bloquent-ils pas ces SMS ?
Les attaquants utilisent des passerelles SMS à l’étranger ou des numéros loués en quantité, qu’ils renouvellent en permanence. Les opérateurs français filtrent en bloquant les expéditeurs identifiés, mais le jeu de cache-cache est continu. C’est pour ça que ta vigilance reste la meilleure défense.
