Votre numéro n’a pas eu besoin de fuiter, le faux message peut s’afficher dans la conversation de votre banque, et les 1,99 € réclamés ne sont pas l’objectif. Les vrais indices, et la suite après un clic.
Le faux SMS de colis n’est pas ciblé : le plan de numérotation mobile français offre environ 200 millions de combinaisons pour de l’ordre de 80 millions de lignes actives, donc un numéro tiré au hasard existe presque deux fois sur cinq. Le nom d’expéditeur affiché peut être recopié, si bien que le message frauduleux se range parfois sous les messages authentiques de la marque. Les 1,99 € réclamés servent à obtenir une carte et un numéro de téléphone, pas à encaisser. Le signalement passe par le 33700, gratuitement.
« Votre colis n’a pas pu être livré en raison de frais de douane impayés de 1,99 €. Régularisez sous 48 h. » Le message tombe un mercredi, et vous attendez effectivement deux commandes. Le lien mène à une page propre, aux couleurs d’un transporteur connu, avec un formulaire de carte bancaire et un montant si faible qu’il ne mérite pas qu’on y réfléchisse.
C’est exactement le raisonnement visé. Le fraudeur ne veut pas vos 1,99 €. Il veut les seize chiffres, la date de validité, le cryptogramme et votre numéro de téléphone, qui vaudront beaucoup plus dans les jours suivants.
Ces campagnes fonctionnent parce que trois idées répandues sont fausses : que le message a été envoyé à vous en particulier, que le nom de l’expéditeur affiché veut dire quelque chose, et qu’un transporteur ne demande jamais d’argent par SMS.
Les numéros mobiles français commencent par 06 ou 07, suivis de huit chiffres. Cela fait de l’ordre de 200 millions de combinaisons possibles, pour environ 80 millions de lignes actives. Un numéro tiré au hasard a donc près de deux chances sur cinq de correspondre à une ligne réelle. Aucune base de données n’est nécessaire : générer la liste est plus simple que l’acheter.
L’envoi coûte quelques centimes par message en gros volume, et beaucoup moins lorsque les fraudeurs passent par des boîtiers bourrés de cartes SIM prépayées ou par des téléphones infectés. Sur cent mille envois, il suffit que quelques dizaines de personnes saisissent leur carte pour que l’opération soit largement rentable.
Deux conséquences pratiques en découlent. D’abord, recevoir ce SMS ne signifie pas que vos données ont fuité, et ne demande aucune mesure particulière si vous n’y avez pas répondu. Ensuite, en recevoir juste après une commande n’a rien de troublant : la coïncidence est arithmétique, pas magique, car en novembre et décembre une grande partie de la population attend un colis. Si vous voulez savoir ce que vos données ont réellement subi, c’est une autre enquête, décrite dans la marche à suivre après une fuite de données.
Les scénarios changent peu, parce qu’ils reposent sur des situations administratives réelles que chacun peut avoir en cours.
| Prétexte | Ce que le message demande | Ce qui se passe en réalité | Où vérifier |
|---|---|---|---|
| Colis bloqué, frais de douane, réexpédition | Un paiement de 1 à 3 € sur une page copiée | Capture de la carte complète et du numéro de téléphone | Le numéro de suivi, saisi sur le site du transporteur ou dans votre compte marchand |
| Amende majorée, contravention à régler | Un paiement rapide pour éviter la majoration | Capture de la carte, parfois du numéro de permis | Le site officiel des amendes, avec le numéro figurant sur l’avis papier |
| Compte bloqué, connexion suspecte, carte suspendue | Une connexion sur une page de banque ou d’organisme copiée | Capture des identifiants, puis appel téléphonique dans la foulée | L’application officielle déjà installée sur votre téléphone |
| Carte Vitale, mutuelle ou compte de formation | Des données d’identité et un numéro de sécurité sociale | Usurpation d’identité et revente du dossier | Votre compte d’assurance maladie, ouvert par vos propres moyens |
Le quatrième cas est le plus sous-estimé, parce qu’il ne réclame pas d’argent. Un numéro de sécurité sociale, une date de naissance et une pièce d’identité scannée ouvrent des droits, des crédits et des abonnements au nom de la victime. Les espaces concernés et leur usage légitime sont décrits dans la présentation d’Ameli et de Mon espace santé.
Un SMS commercial n’arrive pas d’un numéro à dix chiffres mais d’un nom affiché en toutes lettres. Ce nom est un champ transmis avec le message, rempli par l’émetteur. Le téléphone, lui, regroupe les conversations par ce libellé.
La conséquence est déroutante : un fraudeur qui inscrit le nom d’une banque ou d’un transporteur voit son message se ranger automatiquement dans le fil existant, juste sous les messages authentiques reçus les mois précédents. Le contexte, le seul indice auquel presque personne ne résiste, est alors fabriqué par le téléphone lui-même.
Les opérateurs français ont progressivement restreint l’usage de ces noms d’expéditeur aux émetteurs déclarés, et un mécanisme d’authentification des numéros, prévu par la loi de 2020 sur les appels frauduleux, conduit depuis fin 2024 à écarter les appels dont le numéro français n’est pas authentifiable. Le phénomène recule. Il n’a pas disparu, et la place du message dans un fil ne prouve toujours rien.
Depuis le 1er juillet 2021, la TVA s’applique à toutes les importations de biens vers l’Union européenne, quel que soit leur montant : l’ancienne franchise sur les petits envois a disparu. Des frais réels, souvent quelques euros de TVA augmentés de frais de dossier du transporteur, existent donc bel et bien sur un colis venant de l’étranger.
Les opérateurs postaux et les transporteurs envoient en conséquence de vrais messages de régularisation, avec un vrai lien de paiement. Le conseil « aucun transporteur ne demande d’argent par SMS » est donc faux, et c’est précisément pour cela que la fraude fonctionne : elle se moule dans une pratique légitime.
Le critère utile n’est pas ce que le message demande, mais le chemin qu’il propose. Un avis de régularisation authentique se retrouve toujours depuis le numéro de suivi, sur le site du transporteur atteint par vos propres moyens, ou dans votre compte chez le marchand. S’il ne s’y trouve pas, il n’existe pas. Ce raisonnement est la règle du canal indépendant, détaillée dans l’anatomie d’un hameçonnage.
Une seule partie de l’adresse compte : le nom enregistrable, situé juste à gauche de l’extension. Dans laposte.fr.suivi-colis.info, ce nom est suivi-colis.info, et laposte.fr n’est qu’un sous-domaine écrit par le fraudeur. La lecture se fait de droite à gauche, en s’arrêtant au premier point après l’extension, et cette méthode est développée dans l’anatomie d’une URL.
Trois pièges spécifiques au SMS méritent d’être connus. Les raccourcisseurs de liens masquent totalement la destination, et sont fréquents dans les vrais messages commerciaux comme dans les faux, ce qui les rend inutilisables comme indice. La barre d’adresse d’un navigateur mobile tronque l’URL et masque justement sa fin. Enfin, l’absence d’accents n’est pas un signe de fraude : l’alphabet standard des SMS n’inclut qu’une partie des caractères accentués, et un message qui en contient voit sa capacité tomber de 160 à 70 caractères, si bien que beaucoup d’expéditeurs légitimes les retirent pour des raisons de coût.
Le test le plus rapide reste comportemental. Reprenez le numéro de suivi ou le numéro d’avis figurant dans le message, et allez le saisir vous-même sur le site officiel. Un message authentique passe cette épreuve sans difficulté.
Une deuxième génération de messages ne se contente plus du hasard. Elle s’appuie sur des données réelles issues de violations subies par des marchands, des places de marché ou des transporteurs : nom, prénom, adresse postale, numéro de commande, parfois montant et date de livraison prévue.
Le SMS devient alors indiscernable d’un vrai. Il vous appelle par votre nom, cite la bonne commande, annonce un retard cohérent avec le suivi. Tous les indices de forme tombent d’un coup, et il ne reste que le nom de domaine, qui se lit mal sur un écran de téléphone.
Ce genre de campagne suit de quelques semaines la fuite qui l’alimente. Lorsqu’un organisme vous informe d’une violation de données, sa notification indique justement les catégories de données concernées et les risques attendus, ce que précise le régime de notification d’une violation de données. Une notification mentionnant des coordonnées et des historiques de commandes annonce en pratique une vague de messages très crédibles.
Contre cette variante, le contenu ne sert plus à rien. Seul le chemin reste discriminant, et c’est la raison pour laquelle la vérification par un canal choisi par vous n’est pas un conseil de prudence parmi d’autres : c’est le seul qui survive à la personnalisation.
Le troisième point est le plus important, parce qu’il anticipe la suite du scénario. La saisie d’une carte sur une fausse page de livraison est très souvent le premier acte d’un enchaînement qui se poursuit par l’appel du faux conseiller bancaire, quelques heures à quelques jours plus tard. Une victime prévenue de cette suite ne décroche pas.
Ouvrir un lien n’installe pas de logiciel sur un téléphone à jour. Une page web s’exécute dans un espace cloisonné, elle peut afficher, demander, imiter, mais pas écrire dans le système.
L’infection réelle suppose une chaîne complète que vous devez parcourir vous-même : téléchargement d’un fichier d’installation, autorisation explicite d’installer depuis une source inconnue, installation, puis octroi de permissions sensibles. Cette chaîne n’est possible que sur Android, et seulement en sortant du magasin officiel. Des logiciels malveillants diffusés exactement de cette façon par de faux SMS de colis ont circulé massivement en Europe au début des années 2020, en lisant le répertoire de leurs victimes pour se propager, avant d’être démantelés par une opération policière coordonnée.
Deux permissions méritent une attention particulière parce qu’elles suffisent à tout : l’accès aux SMS, qui donne les codes de validation, et les services d’accessibilité, qui permettent de lire l’écran et de simuler des appuis. Leur portée exacte est détaillée dans le tour des permissions Android et iOS, et les réflexes de téléchargement dans l’installation d’un logiciel sans se faire piéger.
Le 33700 est un numéro court gratuit, commun aux opérateurs français. La procédure tient en deux gestes : transférer le message frauduleux au 33700, puis répondre à l’accusé de réception en envoyant, seul, le numéro de l’expéditeur. Le dispositif traite aussi les appels et messages vocaux indésirables.
Il faut distinguer trois familles de messages, qui n’appellent pas le même geste.
| Type de message | Ce que veut l’expéditeur | Le bon geste | Ce qu’il ne faut pas faire |
|---|---|---|---|
| Publicité d’une marque chez qui vous êtes client | Vous vendre quelque chose | Répondre STOP au numéro court indiqué, conformément à l’obligation légale d’opposition | Rien de particulier |
| Démarchage d’un émetteur inconnu | Un contact commercial non sollicité | Signalement au 33700, et inscription sur la liste d’opposition au démarchage téléphonique | Répondre, ce qui valide la ligne |
| Hameçonnage | Vos identifiants, votre carte, votre identité | Signalement au 33700, puis suppression | Répondre STOP, rappeler, ou cliquer « pour voir » |
La nuance sur STOP est importante. Répondre STOP à une prospection identifiée est un droit prévu par la réglementation, et cela fonctionne. Répondre STOP à un message frauduleux revient à confirmer que le numéro est actif et surveillé par un humain, ce qui augmente sa valeur sur les listes revendues. La règle tient en une ligne : STOP seulement à un expéditeur que vous reconnaissez et chez qui vous êtes client.
Le signalement n’est pas symbolique. Les numéros massivement signalés sont bloqués par les opérateurs, les domaines transmis alimentent les listes utilisées par les navigateurs, et les suites judiciaires reposent sur ces volumes. Vous pouvez aussi vérifier votre propre œil sur des cas réels avec notre test de reconnaissance d’arnaques, qui inclut volontairement deux messages parfaitement légitimes.
Ne cherchez pas à décider si le message est vrai. Cette question n’a pas de réponse fiable depuis un écran de téléphone, et elle n’a pas besoin d’en avoir une. Demandez-vous plutôt où se trouverait l’information si le message était authentique : dans un suivi de commande, dans un espace personnel, dans une application déjà installée. Allez-y par vos propres moyens. Si l’information s’y trouve, le message était inutile. Si elle ne s’y trouve pas, le message était faux.
Très probablement pas. L’ouverture d’une page web ne prend pas le contrôle d’un téléphone à jour : la page peut afficher un formulaire, pas installer un programme. Le risque commence si vous avez saisi des informations, ou si vous avez téléchargé puis installé manuellement un fichier d’application en autorisant une source inconnue. Vérifiez la liste de vos applications récemment installées, et en cas de doute, suivez la méthode de nettoyage d’un appareil.
Considérez que le numéro complet de votre carte, sa date de validité et son cryptogramme sont entre des mains hostiles, et que votre numéro de téléphone y est associé. Faites opposition sans attendre, surveillez le compte, et attendez-vous à un appel se présentant comme celui de votre banque dans les jours qui suivent : cet appel fait partie du même scénario. Les opérations que vous n’avez pas autorisées doivent vous être remboursées, selon les règles applicables aux paiements frauduleux.
Le 33700 est un numéro court gratuit, commun aux opérateurs français. Transférez le SMS frauduleux à ce numéro. Vous recevez en retour un accusé demandant le numéro de l’expéditeur : répondez en envoyant ce numéro, seul, dans un second message. Le dispositif accepte aussi les signalements d’appels et de messages vocaux indésirables. Les numéros signalés en nombre sont bloqués par les opérateurs et transmis aux autorités.
Parce que le téléphone regroupe les SMS par nom d’expéditeur affiché, et que ce nom est un champ de texte transmis par l’émetteur. Si un fraudeur y inscrit le nom d’une banque ou d’un transporteur, le message se range mécaniquement sous les messages authentiques portant le même libellé. Les opérateurs français ont progressivement restreint l’usage de ces noms d’expéditeur à des émetteurs déclarés, ce qui réduit le phénomène sans l’avoir supprimé.
Cela ne coûte rien mais ne protège guère : la campagne suivante partira d’un autre numéro, souvent d’une autre plage, parfois de l’étranger. Le geste utile est le signalement au 33700, qui agit à l’échelle du réseau et non de votre seul appareil. Supprimez ensuite le message pour ne pas le rouvrir par distraction, et ne répondez jamais, y compris par une réponse hostile : une réponse prouve que la ligne est active et lue.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Mots de passe, arnaques, fuites de données et réflexes qui changent vraiment quelque chose.