Arnaque colis par SMS : comment repérer un faux message

Comment reconnaître un faux SMS de colis ?

Un faux message coche en général plusieurs de ces cases :

• Tu n'attends rien. Pas de commande en cours, personne qui doit t'envoyer quelque chose : ce message n'a aucune raison de t'arriver. Service-public.fr cite le « problème d'acheminement d'un colis » parmi les prétextes habituels du phishing.
• Il te demande de l'argent pour livrer. Des frais de port, des frais de livraison, un petit montant pour « débloquer » le colis. La Poste ne te demandera jamais « de payer un supplément pour réceptionner un colis ». Mondial Relay ne te demande jamais de payer des frais additionnels, et Chronopost ne demande pas, par défaut, de frais de livraison pour une livraison en France.
• Il te presse. « Il ne vous reste que 24 heures… », « Payez immédiatement… » : bpost cite ces phrases comme des signes de fraude et dit ne jamais te mettre la pression. La Poste suisse ne menace pas non plus et ne fixe pas de délais extrêmement courts.
• Le lien n'est pas celui du transporteur. Les vrais liens de Chronopost mènent à www.chronopost.fr ou n.pkup.fr, ceux de La Poste suisse à ses domaines connus comme post.ch, poste.ch ou swisspost.ch. Méfie-toi des imitations : La Poste suisse a vu passer post.ch.paysget.info, bpost montre de fausses adresses comme [email protected].
• L'expéditeur ne colle pas. Les SMS de Chronopost arrivent sous le nom « Chronopost », sans numéro de téléphone. Les e-mails de Mondial Relay viennent de [email protected] ou [email protected], ceux de bpost d'une adresse qui se termine par bpost.be.
• Il te demande de rappeler, d'envoyer un SMS ou d'installer une app. La Poste ne te demande jamais de rappeler un numéro surtaxé, Mondial Relay jamais d'envoyer un SMS pour suivre ton colis ni de télécharger un fichier. La Poste suisse, elle, te dit de n'installer ses apps que depuis l'App Store ou Google Play, jamais via un lien reçu par message.

La langue peut aussi te mettre la puce à l'oreille : La Poste suisse écrit en allemand, en français ou en italien, parfois en anglais. Un logo familier, en revanche, ne prouve rien : La Poste suisse prévient que les faux sites et les fausses apps peuvent imiter son logo, ses couleurs et sa mise en page.

Comment lire un lien avant de cliquer

Un lien piégé commence souvent par le nom du transporteur. Ce qui compte, c'est la fin du nom de domaine, juste avant le premier / seul : c'est elle qui dit à qui appartient l'adresse. Voici un exemple inventé au nom de Royal Mail, la poste britannique (le piège est le même avec laposte.fr ou bpost.be) :

Même si un lien a l'air correct, ne l'utilise pas : tape toi-même l'adresse du transporteur.

La Poste, Chronopost, Mondial Relay et bpost envoient-ils des SMS ?

Oui : Chronopost et La Poste envoient de vrais SMS, et la plupart des transporteurs t'écrivent aussi par e-mail. C'est pour ça que les faux marchent. Voici ce que chacun dit envoyer, et ce qu'il dit ne jamais faire :

Les vrais transporteurs envoient donc des liens : un lien seul ne prouve rien, ni dans un sens ni dans l'autre. Les vraies demandes de paiement existent aussi, presque toujours pour des frais d'importation (La Poste-Colissimo, Chronopost, FedEx). Pour les reconnaître, lis comment repérer un faux SMS de frais de douane, et vérifie toujours sur le site du transporteur.

Les faux SMS de colis qui circulent

Les mêmes scénarios reviennent sans cesse. Ceux-ci sont cités par les transporteurs eux-mêmes sur leurs pages d'alerte :

• Colis retenu, frais à payer. Le message affirme que ton colis est retenu, puis te demande de payer des frais ou de confirmer tes données. La Poste suisse cite parmi les faux repérés « Colis retenu dans le terminal » et un « délai de 24 heures », fait pour te mettre la pression.
• Frais de port ou de douane. La Poste cite les SMS qui t'invitent à payer des frais de port ou de douane pour recevoir un colis. Certaines demandes de douane sont vraies : vérifie-les comme plus haut.
• Faux avis de passage. Un faux avis glissé dans ta boîte aux lettres, avec un lien ou un QR code qui mène vers une page qui récupère tes coordonnées bancaires (La Poste).
• Code SMS ou numéro surtaxé. La Poste suisse a vu des faux qui demandent d'« Envoyer le code SMS au 41414 » ou renvoient vers des numéros en 0901. Mondial Relay ne te demande jamais d'envoyer un SMS pour suivre un colis.
• Faux numéro de suivi. Un numéro qui a l'air tout à fait réel peut être inventé, comme le 34632900-371 relevé par La Poste suisse. Chez Chronopost, le numéro du message doit être celui que t'a donné le vendeur.
• WhatsApp ou un appel. La Poste suisse voit aussi passer des faux sur WhatsApp, et des appels qui poussent à rappeler, à payer ou à donner tes données. Chronopost propose de signaler les appels suspects au 33700.
• Un faux acheteur sur Vinted. Tu vends quelque chose ? bpost prévient que de faux acheteurs, sur Marketplace ou Vinted, envoient des liens vers de faux sites bpost. La Poste suisse signale aussi de faux ordres de prise en charge à son nom dans les petites annonces.

Comment vérifier un SMS de colis sans risque

Aucune de ces étapes n'utilise le message :

1. 1Demande-toi si tu attends quelque chosePas de commande, personne qui t'envoie un colis ? Alors considère que c'est une arnaque.
2. 2Retrouve le vrai numéro de suiviPrends celui de l'e-mail d'expédition ou de ta commande, jamais celui du SMS.
3. 3Passe toi-même par le transporteurTape son adresse ou ouvre son app. Ne touche, ne scanne et n'appelle rien de ce qui est dans le message.
4. 4Cherche une vraie demandeDes frais vraiment dus apparaissent sur le site ou dans l'app du transporteur.
5. 5Signale-le, puis supprime-leAu 33700 en France, à [email protected] en Belgique, à l'OFCS en Suisse (détails plus bas).

La Poste conseille de vérifier ton numéro dans son propre outil de suivi, Mondial Relay de suivre ton colis uniquement sur mondialrelay.fr/suivi-de-colis, et La Poste suisse uniquement sur poste.ch ou dans son app officielle. Tu ne trouves pas le numéro ? Lis où trouver ton numéro de suivi. Tu peux aussi le coller dans Peek, qui interroge le transporteur et, si besoin, d'autres sources de suivi : tu vois les derniers scans sans passer par le lien.

Quand le livreur t'a vraiment raté, il laisse en général un avis de passage, mais La Poste prévient que de faux avis circulent aussi : là encore, vérifie avec ton numéro sur son site. Pour les vrais avis de passage et la nouvelle livraison, lis avis de passage : que faire.

Arnaque colis par SMS : que faire si tu as cliqué ?

Tout dépend de ce que tu as fait sur la page :

1. 1Ferme la pageNe saisis plus rien. Ne réponds pas, même « STOP ».
2. 2Appelle ta banqueAu numéro inscrit sur ta carte ou dans ton app bancaire, et fais opposition sur ta carte.
3. 3Change tes mots de passePartout où tu as tapé ou réutilisé celui que tu as saisi.
4. 4Méfie-toi des appelsQuelqu'un t'appelle ensuite, même « de ta banque » ou du transporteur ? Raccroche et rappelle un numéro officiel que tu as trouvé toi-même.
5. 5Porte plainteÀ la police (ou à la gendarmerie en France), si tu as perdu de l'argent ou des données.

Tu as seulement cliqué ? « Ne saisissez aucune donnée et fermez la page », conseille La Poste suisse, puis signale le message.

Tu as saisi ton numéro de carte ou payé les frais ? « Faites opposition immédiatement », dit Cybermalveillance.gouv.fr, et garde les preuves (le message, une capture d'écran du site). En Belgique, si tu as donné ton code PIN, bpost te dit d'appeler tout de suite Card Stop au 078 170 170 ou ta banque. En Suisse, La Poste te dit de modifier tes mots de passe et de bloquer les moyens de paiement concernés.

En France, si des débits ont eu lieu, Service-public.fr te dit de contacter ta banque pour faire opposition, contester les opérations et obtenir un remboursement. Des achats en ligne que tu n'as pas faits apparaissent sur ton compte ? Une fois l'opposition faite, et si tu as toujours ta carte, tu peux les signaler sur Perceval. Perceval ne couvre pas les frais que tu as payés toi-même sur le faux site. Et même un montant minuscule compte : DPD en Allemagne prévient que ces formulaires de paiement peuvent t'abonner à d'autres prélèvements, alors surveille tes relevés.

Où signaler une arnaque colis par SMS ?

Signale le SMS ou le mail même si tu n'as pas cliqué, puis supprime-le.

Cybermalveillance.gouv.fr présente le 33700 comme un service gratuit ; il ne vaut que pour les SMS et appels reçus sur un mobile. L'OFCS ne prend pas de plainte : pour ça, il faut passer par la police.