Le SMS de « livraison de colis » est-il une arnaque ?

À quoi ça ressemble

Un vrai exemple, anonymisé.

      [La Poste] Votre colis ne peut être livré en raison d'informations d'adresse incomplètes. Veuillez confirmer votre adresse sous 24 heures pour éviter le retour à l'expéditeur : laposte-suivi[.]top/confirmer
    

Les variantes utilisent La Poste, Chronopost, Colissimo, DHL, UPS, FedEx, DPD, Mondial Relay, Bpost. La structure est toujours la même : urgence, petits frais ou « confirmation », un lien que vous n'avez jamais vu.

Signaux d'alerte

Comment le repérer en cinq secondes.

Vous n'attendiez aucun colis, ou le SMS arrive le jour même pour une « livraison d'hier ». Les escrocs envoient ces SMS à des millions de numéros, en espérant que quelques destinataires aient justement une commande en cours.
Le lien n'est pas le vrai domaine du transporteur. Le vrai La Poste est laposte.fr. Le vrai DHL est dhl.fr. Le vrai Chronopost est chronopost.fr. Les liens d'arnaque ressemblent à laposte-suivi.top, dhl-pay.com, chrono-fr.help, ou utilisent un raccourcisseur.
Les frais sont suspicieusement modestes. 1,99 €, 2,49 €, 3,50 €. Le montant est trop faible pour ressembler à une cible d'arnaque. Le vrai but, c'est vos données bancaires.
La grammaire cloche légèrement. « Votre colis ne peut pas livraison ». « Veuillez à confirmer ». « Désolés pour le dérangement ». Les vrais transporteurs envoient des millions de SMS par jour et emploient des rédacteurs professionnels.
Délai urgent. « Sous 24 heures », « ou le colis retourne à l'expéditeur ». Les vrais transporteurs tentent à nouveau la livraison, laissent un avis de passage et vous écrivent par email. Ils n'exigent jamais une action en quelques heures par SMS.
L'expéditeur est un long numéro, un code court aléatoire ou une passerelle email. Les vrais SMS des transporteurs viennent de codes courts enregistrés. Si l'expéditeur est un numéro normal d'un pays étrange, c'est une arnaque.

Ce qu'il faut faire

Faites plutôt cela.

Si vous attendez réellement un colis, ouvrez l'app ou le site officiel du transporteur vous-même en tapant l'URL. Utilisez le numéro de suivi de votre confirmation de commande originale. Jamais le lien du SMS.
Signalez le SMS. En France, transférez-le au 33700 (numéro de signalement des spams SMS). Au Royaume-Uni, au 7726. La plupart des opérateurs transmettent à une équipe anti-fraude.
Supprimez le message après l'avoir signalé. Bloquez l'expéditeur si votre téléphone le permet.
Si vous avez déjà cliqué sur le lien mais n'avez rien saisi, vous êtes probablement tranquille. Fermez l'onglet. Lancez l'antivirus de votre téléphone si vous en avez un (rare sur iPhone).
Si vous avez saisi vos données bancaires, appelez immédiatement le service fraude de votre banque (numéro au dos de la carte) et faites bloquer la carte pour en émettre une nouvelle. Changez ensuite le mot de passe de tout compte utilisant les mêmes identifiants.

Ce qu'il ne faut pas faire

Ne faites jamais cela.

Ne cliquez pas sur le lien « pour voir ce que c'est ». Certaines pages d'arnaque collectent des données dès le chargement (votre IP, votre navigateur, parfois plus). La plupart vous demandent vos données bancaires à l'écran suivant.
N'appelez aucun numéro indiqué dans le SMS. Les escrocs maintiennent de faux centres d'appel comme solution de repli si le lien est bloqué.
Ne répondez pas par « mauvais numéro », « STOP » ou autre. Répondre confirme que votre numéro est actif, et vous passez sur une liste « répondants » revendue à d'autres réseaux d'arnaque.
Ne payez aucune somme, aussi petite soit-elle. Les vrais frais de douane en France, Belgique, Suisse et au Canada sont prélevés par le transporteur à la livraison, à la Poste au retrait, ou affichés dans votre commande en ligne, jamais par SMS surprise.

Questions rapides

FAQ.

J'attends vraiment un colis en ce moment. Comment être sûr ?

Ouvrez votre email de confirmation de commande ou l'app du marchand (Amazon, eBay, le site de la marque). Récupérez-y le numéro de suivi. Tapez ensuite vous-même l'URL officielle du transporteur dans votre navigateur (laposte.fr, dhl.fr, chronopost.fr, etc.) et collez le numéro de suivi. Si la vraie page de suivi indique que votre colis circule normalement, le SMS était une arnaque. Si elle indique un problème de livraison, le transporteur vous le dira dans sa propre app, sans frais surprise.

J'ai cliqué sur le lien mais je n'ai rien saisi. Suis-je en danger ?

Presque toujours non. Les téléphones modernes isolent le navigateur, donc simplement visiter une page d'arnaque n'installe rien. L'arnaque a besoin de votre carte ou de votre mot de passe pour vous monétiser. Fermez l'onglet. Sur Android, vous pouvez lancer Play Protect (Paramètres → Sécurité → Google Play Protect → Analyser). Sur iPhone, il suffit de fermer Safari et d'effacer l'historique.

Comment ont-ils obtenu mon numéro ?

Ce n'est pas ciblé. Les escrocs achètent des listes de numéros issues d'anciennes fuites de données (LinkedIn, Facebook, Orange, des centaines d'autres) ou génèrent des numéros en masse. Le SMS est envoyé à des millions de personnes à la fois. Vous n'êtes pas une cible personnelle, c'est aussi pour cela que le message est aussi générique.

Vous avez un autre message ?

Vérifiez votre texte exact. Cela prend 5 secondes.

Gratuit, sans inscription, rien n'est conservé. Fonctionne pour SMS, email, WhatsApp, liens et captures d'écran en 10 langues.

Vérifier mon message →

Plus de guides d'arnaque

Le SMS de livraison de colis est-il une arnaque ?