Le mode opératoire type
Les SMS sont envoyés depuis des numéros mobiles classiques (+33 6/7) ou des numéros étrangers, et invitent à régler une petite somme (souvent 1,99 € ou 2,99 €) pour la "livraison d'un colis en attente" ou des "frais de douane". Le lien pointe vers un domaine qui imite celui du transporteur officiel (variantes orthographiques, sous-domaines, extensions inhabituelles).
Une fois sur la fausse page, l'utilisateur est invité à saisir ses coordonnées bancaires complètes (nom, numéro, expiration, CVV). L'attaquant utilise ensuite ces données soit pour des achats frauduleux immédiats, soit pour préparer une attaque par vishing (faux conseiller bancaire) validée 3DS quelques heures plus tard.
Les signaux d'alerte
- Domaine : vérifiez l'URL exacte. Les domaines officiels sont *chronopost.fr*, *laposte.fr*, *colissimo.fr*, *dpd.com/fr*. Tout domaine avec un tiret, une extension inhabituelle (.delivery, .top, .info), un nom qui contient le mot "pay", "fees", "douane" est suspect.
- Frais inattendus : les transporteurs ne réclament jamais de petits frais (1-3 €) par SMS. Les frais de douane sont collectés sur le site officiel ou par votre transporteur lors de la livraison, pas par SMS.
- Urgence : "Colis en attente, action immédiate requise" est un classique des arnaques. La vraie logistique ne crée pas d'urgence par SMS.
Que faire
- Ne cliquez pas sur le lien.
- Signalez le SMS au 33700 (gratuit, service officiel de signalement géré par l'AF2M).
- Supprimez le SMS de votre boîte.
- Si vous attendez un vrai colis, passez par l'app ou le site officiel du transporteur (saisissez l'URL à la main).
- Si vous avez déjà saisi vos coordonnées : opposition carte immédiate, dépôt de plainte, surveillance des relevés sous 48 h.
Vous avez déjà cliqué ?
Ne restez pas sur cette page : la procédure d'urgence dépend de ce que vous avez saisi, et l'ordre compte. Suivez que faire après avoir cliqué sur un faux SMS de livraison — opposition bancaire, mots de passe, et surtout l'appel téléphonique qui suit souvent, plus coûteux que le SMS lui-même.
Comment réduire l'exposition future
Ces campagnes ciblent des listes de numéros et d'emails qui proviennent en grande partie de fuites de données antérieures. Deux leviers, dans cet ordre :
Réduire ce qui circule. Un service comme Incogni automatise les demandes de suppression auprès des courtiers en données. L'effet est progressif — le RGPD accorde un mois de délai de réponse — et partiel : il agit sur les courtiers légaux, pas sur les listes qui s'échangent entre fraudeurs. Vous pouvez aussi faire ces démarches vous-même, gratuitement : voir notre guide complet.
Rendre le vol inutile. Activez la double authentification par application d'authentification plutôt que par SMS, vulnérable au SIM-swapping, et utilisez un gestionnaire de mots de passe — il ne remplira jamais vos identifiants sur un domaine contrefait, ce qui en fait une protection passive contre ce type de page.