# Faux SMS de livraison et de douane : décrypter la mécanique de l'arnaque au colis

> Frais de douane, colis en attente, adresse incomplète : l'arnaque au colis reste la fraude par SMS la plus répandue en France. Voici comment elle fonctionne, pourquoi elle marche si bien et comment y couper court.

- Source: https://www.envoyer-sms-gratuit.com/fr/blog/2026-08-22/sms-frauduleux-vacances-colis-douane-livraison
- Published: 2026-08-22 (22 août 2026)
- Author: L'équipe Envoyer SMS Gratuit
- Language: fr
- Categories: Confidentialité
- Tags: Cybersécurité, SMS, France 2026, Protection des données, Guide

---
Il y a des arnaques qui disparaissent au bout de six mois. Celle du colis, elle, tient depuis 2020 et ne montre aucun signe d'essoufflement. Chaque année, les services de Cybermalveillance.gouv.fr la placent parmi les motifs de consultation les plus fréquents du grand public, et la plateforme 33700 continue de recevoir des dizaines de milliers de signalements mensuels sur ce seul thème.

Sa longévité n'a rien d'un hasard. Elle repose sur une combinaison presque parfaite : un contexte crédible (nous recevons tous des colis), une somme dérisoire (moins de trois euros, donc peu suspecte), une urgence artificielle (« sous 48 heures ») et une marque de confiance usurpée. Comprendre son fonctionnement interne, étape par étape, reste le meilleur vaccin.

![Homme assis sur un canapé lisant un message sur l'écran de son téléphone portable, vu de dos](/images/blog/2026-08-22-sms-frauduleux-vacances-colis-douane-livraison/hero.jpg)

## Pourquoi le colis plutôt qu'autre chose

Les escrocs travaillent sur des taux de conversion. Un scénario ne les intéresse que s'il parle à une large fraction de la population au moment précis où le message arrive.

Le colis coche toutes les cases :

- **La fréquence.** Selon la Fevad (Fédération du e-commerce et de la vente à distance), les Français ont commandé plusieurs milliards de colis ces dernières années. À un instant T, une proportion considérable de la population attend effectivement une livraison. Le message tombe donc « juste » sans que l'escroc ait la moindre information sur vous.
- **La banalité de l'expéditeur.** Chronopost, Colissimo, DHL, UPS, Mondial Relay, Vinted : autant de noms que nous voyons passer sans y réfléchir. La marque ne déclenche aucune alerte.
- **La faiblesse du montant.** Réclamer 1,99 € ou 2,99 € désamorce la méfiance. Personne ne se dit « on tente de me voler ». On se dit « encore des frais, c'est agaçant ».
- **La saisonnalité.** Le volume explose lors des soldes, du Black Friday, des fêtes de fin d'année et — période souvent oubliée — de la rentrée, quand les achats scolaires et informatiques repartent.

Ajoutez la fatigue de fin de journée, un écran de smartphone consulté d'une main dans le métro, et la marge d'erreur devient énorme.

## Anatomie d'un message piégé

Prenons un exemple typique, reconstitué à partir des signalements publics :

> **Colissimo** : votre colis n'a pas pu être livré, adresse incomplète. Merci de régler les frais de réexpédition (1,95 €) avant le 24/08 : colissimo-suivi-fr[.]net/xk9

Quatre ingrédients y sont empilés.

**1. Un expéditeur crédible.** Il apparaît parfois sous forme d'un nom alphanumérique (« COLISSIMO »), parfois sous forme d'un numéro mobile à dix chiffres. Le premier cas relève souvent du *spoofing* d'expéditeur ; le second d'une carte SIM prépayée jetable. Dans les deux cas, ce qui s'affiche sur votre écran n'est **jamais** une preuve d'identité.

**2. Un problème qui vous met en défaut.** « Adresse incomplète », « colis en attente », « paiement refusé ». La formulation vous attribue subtilement la responsabilité : c'est vous qui devez corriger, donc vous qui devez agir.

**3. Une échéance courte.** Deux à quatre jours. Assez pour paraître raisonnable, trop court pour vous laisser vérifier tranquillement le lendemain.

**4. Un lien maquillé.** Le nom de domaine ressemble à celui du transporteur mais s'en écarte toujours : tiret ajouté, extension exotique (.net, .top, .icu, .cc), sous-domaine trompeur du type `laposte.suivi-colis.xyz`. Rappel utile : dans une adresse web, ce qui compte est ce qui précède immédiatement le premier `/`, lu de droite à gauche.

### Ce qui se passe après le clic

La page d'arrivée est généralement une copie très soignée du site du transporteur. Le formulaire demande votre nom, votre adresse, votre numéro de téléphone, puis la carte bancaire pour « régler » les fameux deux euros.

Les deux euros ne sont pas le butin. Ils servent de test : la transaction valide le fait que la carte est active et que vous êtes disposé à confirmer. Le véritable objectif est double.

- **Constituer un jeu de données monnayable** : nom, adresse postale, numéro de mobile, numéro de carte, date d'expiration, cryptogramme. Ce bloc se revend tel quel.
- **Déclencher une seconde vague.** Quelques jours plus tard, un « conseiller anti-fraude de votre banque » vous appelle, cite votre nom, votre banque et votre dernière opération — celle de 1,95 € — pour vous faire valider des paiements ou « mettre vos fonds en sécurité ». C'est l'étape où les pertes se comptent en milliers d'euros. La Banque de France et la DGCCRF alertent régulièrement sur cet enchaînement, parfois appelé *faux conseiller bancaire*.

Autrement dit : le SMS de colis n'est pas l'arnaque. C'est la porte d'entrée.

## Les variantes qui circulent en 2026

Le scénario de base s'est diversifié. Les principales déclinaisons observées :

| Variante | Prétexte | Signal d'alerte |
| --- | --- | --- |
| Frais de douane | Colis hors UE bloqué en douane | La douane ne réclame jamais un paiement par SMS avec lien |
| Réexpédition | Adresse incomplète ou absente | Un transporteur laisse un avis de passage, pas un lien de paiement |
| Casier de retrait | « Code de retrait expiré, régénérez-le » | Aucun code ne se régénère contre paiement |
| Application à installer | « Suivez votre colis dans notre appli » via un fichier hors magasin officiel | Installation en dehors de l'App Store / Google Play = danger |
| Remboursement | « Votre colis est perdu, réclamez votre remboursement » | Un remboursement ne demande jamais le cryptogramme |

La variante « application » est la plus dangereuse sur Android : le fichier proposé installe un logiciel malveillant capable de lire vos SMS entrants, donc d'intercepter les codes de validation bancaire. Sur iPhone, l'attaque passe plutôt par une page web imitant l'écran d'identification.

Un détail que beaucoup ignorent : les vrais frais de douane sont dus au transporteur au moment de la remise du colis, ou réglés depuis l'espace client officiel du transporteur — jamais via un lien reçu par message. Les règles applicables sont publiées par la Direction générale des douanes et droits indirects, qui rappelle sur son site ne jamais solliciter de paiement par SMS.

## Sept vérifications qui prennent trente secondes

Face à un message de ce type, l'idée n'est pas de devenir expert en cybersécurité, mais d'installer quelques réflexes mécaniques.

1. **Attendez-vous réellement un colis ?** Si non, la question est réglée. Et si oui, souvenez-vous : un transporteur légitime connaît votre adresse, puisque le vendeur la lui a transmise.
2. **Ne cliquez pas. Retapez.** Ouvrez vous-même le site du transporteur, ou l'application officielle, et collez votre numéro de suivi. Le vrai suivi est toujours accessible sans lien.
3. **Lisez le nom de domaine à voix basse.** `chronopost.fr`, oui. `chronopost-livraison-fr.top`, non.
4. **Vérifiez le numéro de suivi.** Un vrai numéro Colissimo suit un format précis (deux lettres, neuf chiffres, deux lettres pour l'international par exemple). Les faux messages en omettent souvent un, ou en donnent un incohérent.
5. **Méfiez-vous du montant ridicule.** Plus la somme est faible, plus il faut se demander pourquoi on vous la réclame par message plutôt que sur le site.
6. **Regardez la langue.** Accents manquants, espaces avant la ponctuation absents, majuscules au milieu d'une phrase, tournures traduites : ces indices se raréfient avec les outils de rédaction automatique, mais ils subsistent.
7. **Interrogez un moteur de recherche.** Copier une phrase du message entre guillemets suffit souvent à faire remonter des dizaines de témoignages identiques.

![Smartphone posé sur une table en bois affichant une notification SMS d'alerte bancaire sur l'écran verrouillé](/images/blog/2026-08-22-sms-frauduleux-vacances-colis-douane-livraison/body-1.jpg)

## Réduire la surface d'exposition en amont

On ne peut pas empêcher les messages d'arriver, mais on peut limiter la casse et le nombre de tentatives.

**Cloisonnez vos achats en ligne.** Une carte bancaire virtuelle à usage unique, proposée par la plupart des banques françaises, rend une fuite de numéro sans conséquence. Certains préfèrent une carte prépayée rechargeable dédiée aux achats sur des sites peu connus : le plafond limite mécaniquement le préjudice.

**Utilisez une adresse e-mail secondaire pour les commandes.** Elle absorbera les fuites de bases clients, fréquentes chez les petits e-commerçants.

**Protégez le terminal lui-même.** Un smartphone dont l'écran est fissuré se lit mal, et un écran mal lisible favorise les erreurs de lecture d'une adresse web. Un simple [film en verre trempé](https://www.amazon.fr/s?k=film+verre+tremp%C3%A9+protection+%C3%A9cran+smartphone&tag=ds050-21) et une coque de protection antichoc prolongent la vie de l'appareil et, indirectement, la qualité de votre vigilance. Dans le même esprit, un téléphone dont la batterie tient la journée évite les consultations expédiées en mode économie d'énergie ; une batterie externe compacte a plus d'effets protecteurs qu'on ne l'imagine, ne serait-ce qu'en vous laissant le temps d'appeler votre banque.

**Activez les filtres natifs.** Android et iOS proposent tous deux un tri des messages d'expéditeurs inconnus et un signalement en un geste. Sur iPhone : Réglages → Messages → Filtrer les expéditeurs inconnus. Sur Android, l'application Messages de Google intègre une détection de spam activable dans les paramètres de protection.

**Formez l'entourage.** Les personnes les moins à l'aise avec le numérique sont surreprésentées parmi les victimes. Un [téléphone senior à grosses touches](https://www.amazon.fr/s?k=t%C3%A9l%C3%A9phone+portable+senior+grosses+touches&tag=ds050-21), avec une interface épurée, réduit le risque de clic accidentel sur un lien. Et pour ceux qui veulent creuser, un guide pratique de cybersécurité pour débutants fait souvent plus d'effet qu'une explication orale répétée dix fois.

## Vous avez cliqué et payé : la marche à suivre

Le temps compte davantage que la honte. Voici l'ordre des opérations.

**Dans l'heure**
- Contactez votre banque (numéro d'opposition au dos de votre carte, ou service d'urgence interbancaire au **0 892 705 705**) et faites opposition.
- Changez le mot de passe du compte de messagerie associé, puis celui de votre espace bancaire, depuis un autre appareil si possible.
- Si vous avez installé une application hors magasin officiel, coupez les données mobiles et désinstallez-la ; en cas de doute, une réinitialisation d'usine reste la seule garantie.

**Dans les 48 heures**
- Signalez le message en le transférant au **33700**, service gratuit géré par les opérateurs français, ou via l'application dédiée. Puis signalez l'adresse web sur la plateforme **Phishing Initiative**.
- Déposez plainte, en ligne via le service de pré-plainte ou en commissariat. Le récépissé sera exigé par votre banque.
- Déclarez l'incident sur **Cybermalveillance.gouv.fr**, qui oriente vers les démarches adaptées.

**Dans les jours suivants**
- Surveillez vos relevés quotidiennement pendant un mois.
- Rappelez-vous l'article L133-18 du Code monétaire et financier : en cas d'opération non autorisée signalée sans délai, la banque doit rembourser immédiatement, sauf à démontrer une négligence grave de votre part. Un paiement obtenu par tromperie n'est pas, en soi, une négligence grave — plusieurs arrêts de la Cour de cassation l'ont rappelé ces dernières années, notamment en matière de faux conseiller bancaire.
- **N'échangez plus jamais** avec un « service anti-fraude » qui vous rappelle spontanément. Raccrochez et composez vous-même le numéro figurant sur votre contrat.

## Ce qu'un vrai transporteur ne fait jamais

Pour finir, une liste courte à garder en tête. Un transporteur légitime :

- ne demande jamais votre numéro de carte bancaire par SMS ;
- ne réclame jamais le cryptogramme à trois chiffres, quelle que soit la situation ;
- ne fait jamais installer une application depuis un lien reçu par message ;
- ne menace jamais de destruction ou de retour du colis sous 24 heures ;
- ne vous appelle pas ensuite pour « sécuriser » votre compte bancaire.

Le SMS reste un outil formidablement pratique : direct, universel, lisible sur n'importe quel appareil. C'est précisément pour cela qu'il est convoité par les fraudeurs. Envoyer un message court à un proche, prévenir d'un retard, transmettre un code : ces usages légitimes n'ont aucune raison de disparaître. Il suffit de garder une règle en tête, valable pour toute la messagerie mobile — **un message qui contient à la fois un lien et une urgence mérite d'être traité comme faux jusqu'à preuve du contraire**.

### Ressources officielles

- **Cybermalveillance.gouv.fr** — fiches réflexes et diagnostic en ligne
- **33700** — plateforme de signalement des SMS et appels frauduleux, gratuite
- **Phishing Initiative** — signalement des adresses web malveillantes
- **DGCCRF** — alertes consommateurs et procédure de plainte
- **Direction générale des douanes et droits indirects** — règles réelles de dédouanement des colis


{/* image-sources: https://images.pexels.com/photos/6632411/pexels-photo-6632411.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 https://images.pexels.com/photos/7821761/pexels-photo-7821761.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 */}