« Bonjour, service livraison : votre colis 7G42B est en attente au point relais. Pour confirmer votre identite, merci de nous communiquer par retour de SMS le code de retrait a 6 chiffres recu sur ce numero. »
Celui-là ne vous demande pas votre carte bancaire. Il ne vous envoie pas sur une fausse page de banque, ne réclame pas 1,99 € de frais de douane, ne menace pas de renvoyer le colis à l'expéditeur. Il vous demande une chose minuscule, presque administrative : six chiffres. Six chiffres que vous venez effectivement de recevoir, qui ne ressemblent pas à un mot de passe, et dont vous ne savez pas très bien à quoi ils servent.
C'est exactement pour ça que ça marche. Le code de retrait d'un point relais est l'un des rares secrets du quotidien que personne ne considère comme un secret. On le montre sur l'écran au commerçant, on le lit à voix haute dans une boutique pleine de monde, on le transfère à son conjoint pour qu'il récupère le paquet en rentrant. Les escrocs ont simplement compris que ce bout de code vaut, en réalité, le prix du colis.
Ce que le code de retrait protège vraiment
Depuis que les réseaux de points relais ont explosé — commerces de proximité, consignes automatiques, casiers en gare ou en galerie marchande — les transporteurs ont dû résoudre un problème simple : comment s'assurer que la bonne personne récupère le bon paquet, sans imposer une pièce d'identité à chaque fois ?
La réponse a été le code à usage unique, envoyé par SMS ou par e-mail au destinataire. Dans beaucoup de réseaux, ce code remplace la vérification d'identité : il suffit de le présenter pour que le colis soit remis. Certains enseignes demandent en plus une pièce d'identité, mais la pratique varie fortement d'un commerçant à l'autre, et c'est précisément cette variabilité qui ouvre la brèche.
Autrement dit, le code de retrait n'est pas un détail logistique. C'est une clé. Celui qui l'a peut, dans de nombreux cas, partir avec un paquet qui ne lui appartient pas — sans violence, sans effraction, sans même avoir à mentir longuement au commerçant.
Un code de retrait se comporte comme un code de carte bancaire : il n'a de valeur que tant que vous êtes le seul à le connaître.
Les quatre scénarios que l'on retrouve le plus souvent
1. Le faux service client du transporteur
C'est la version la plus directe. Vous attendez un colis, vous recevez un SMS qui se présente comme le transporteur et qui invoque un prétexte de vérification : « adresse incomplète », « colis en souffrance », « double enregistrement », « contrôle anti-fraude ». On vous demande de renvoyer le code pour « débloquer » le retrait.
Dans les variantes plus élaborées, un appel suit le SMS. Une voix calme, un vocabulaire de métier (« tournée », « hub », « point de livraison agréé »), un prénom, un numéro de dossier. Rien de tout cela ne coûte quoi que ce soit à fabriquer.
2. L'acheteur pressé sur une plateforme de petites annonces
Vous vendez un objet. L'acheteur vous dit avoir payé, vous demande d'envoyer le colis — puis, une fois le bordereau déposé, réclame « le code de suivi et le code de retrait pour que son cousin récupère le paquet à sa place ». Le paiement, lui, n'a jamais été validé, ou sera contesté ensuite. Vous perdez l'objet et l'argent.
La variante inverse existe aussi : vous êtes acheteur, le « vendeur » vous réclame le code reçu pour « prouver que la livraison a bien eu lieu » et débloquer son versement. Une fois le code transmis, le colis est retiré par un tiers, et le vendeur jure qu'il a tout envoyé.
3. Le colis que vous n'avez jamais commandé
Celui-ci est plus retors. Un SMS vous annonce un colis en attente avec un code. Vous ne vous souvenez de rien, mais la curiosité fait le reste. En réalité, un escroc a utilisé votre numéro comme numéro de contact pour une commande frauduleuse payée avec des données volées. Il a besoin de votre code pour récupérer la marchandise sans lier le retrait à sa propre identité. En le transmettant, vous devenez le maillon visible d'une fraude qui n'est pas la vôtre.
4. Le code qui n'est pas du tout un code de retrait
Enfin, il existe une confusion que les escrocs cultivent soigneusement. Les SMS contenant un code à 6 chiffres sont devenus si banals — connexion à un compte, validation de paiement, double authentification — que beaucoup de gens ne lisent plus l'expéditeur ni le libellé. Un escroc qui tente de se connecter à votre compte sur une plateforme de livraison, de messagerie ou de paiement vous appellera en se faisant passer pour « le service livraison » et vous demandera « le code que vous venez de recevoir ». Ce n'est pas un code de retrait : c'est la clé de votre compte.
Pourquoi cette arnaque passe sous le radar
Les campagnes de smishing classiques ont un point faible : elles contiennent un lien. Un lien, ça se regarde, ça s'analyse, ça finit par être signalé et bloqué. Les navigateurs affichent des avertissements, les opérateurs filtrent, les bases de domaines malveillants se mettent à jour.
Ici, il n'y a souvent aucun lien. Juste une demande formulée en langage naturel. Aucun filtre technique ne peut décider qu'un SMS demandant « le code à 6 chiffres » est frauduleux, puisque des dizaines de services légitimes envoient exactement ce genre de message. La seule défense est humaine.
Ajoutez à cela trois facteurs qui jouent contre nous :
- Le préjudice paraît faible. Un colis à 60 €, ce n'est pas un compte bancaire vidé. Beaucoup de victimes ne portent jamais plainte, ce qui rend le phénomène statistiquement invisible.
- La responsabilité est floue. Le transporteur estime avoir livré contre présentation du code valide. La plateforme renvoie vers le vendeur. Le vendeur a bien expédié. Personne ne se sent comptable du trou.
- On est souvent en mouvement. Ces SMS arrivent quand on marche, quand on conduit, quand on est au travail. On répond vite, mal, et sans relire. Garder son téléphone accessible et chargé dans ces moments-là relève du confort, mais une batterie externe compacte a aussi cet effet pervers : on est joignable en permanence, donc toujours en situation de répondre dans l'urgence. La disponibilité n'est pas la vigilance.
Les signaux qui doivent arrêter votre pouce
Un SMS de ce type contient presque toujours au moins un de ces indices :
| Signal | Ce qui se passe réellement |
|---|---|
| On vous demande de renvoyer un code | Aucun transporteur n'a besoin d'un code qu'il a lui-même généré |
| Le message arrive d'un numéro mobile (06/07) | Les transporteurs utilisent des numéros courts ou des expéditeurs alphanumériques |
| Un tiers doit récupérer le colis à votre place | Le mandat de retrait, quand il existe, passe par l'espace client, pas par SMS |
| Le colis est inconnu de vous | Votre numéro a peut-être servi de façade à une commande frauduleuse |
| On invoque une vérification d'identité par SMS | L'identité se vérifie en boutique, avec une pièce d'identité, pas par retour de message |
| Il y a une échéance courte (24 h, 2 h, « avant fermeture ») | L'urgence est le seul outil réel de l'escroc |
Le réflexe de fond est toujours le même, et il tient en une phrase : un code reçu ne se transmet jamais, à personne, quel que soit le prétexte. Ni au transporteur, ni à l'acheteur, ni au commerçant qui vous appelle, ni à un « technicien ». Le code se montre au comptoir, au moment du retrait, et c'est tout.
Ce qu'il faut faire quand le SMS arrive
- Ne répondez pas. Ni « non », ni « stop », ni une insulte. Toute réponse confirme que le numéro est actif et attribué à une personne réactive.
- Vérifiez par un canal que vous avez choisi. Ouvrez l'application du transporteur ou tapez vous-même l'adresse de son site, et consultez le suivi avec le numéro figurant dans votre e-mail de confirmation de commande. Jamais via un lien reçu.
- Pour une vente entre particuliers, restez dans la plateforme. Les messageries internes conservent une trace. Un acheteur qui veut sortir de la plateforme pour continuer en SMS ou sur une application de messagerie annonce très souvent la couleur.
- Signalez le message. Le dispositif 33700, mis en place par les opérateurs français, permet de transférer gratuitement un SMS frauduleux : vous envoyez le message au 33700, puis le numéro de l'expéditeur dans un second SMS. Le portail Cybermalveillance.gouv.fr et la plateforme PHAROS (internet-signalement.gouv.fr) recueillent également ces signalements.
- Si vous avez déjà donné le code, contactez immédiatement le transporteur pour tenter de bloquer le retrait, et le marchand ou la plateforme pour ouvrir un litige. Déposez plainte : même pour un montant modeste, c'est ce qui permet aux enquêteurs de relier des dossiers dispersés. L'Arcep rappelle régulièrement que les signalements groupés sont ce qui déclenche le blocage des numéros utilisés en masse.
Réduire la surface d'attaque, avant même le premier SMS
Cette arnaque repose sur une donnée très simple : votre numéro de mobile, associé à une livraison en cours. Moins cette association circule, moins vous êtes exposé.
- Limitez la diffusion de votre numéro principal. Pour les achats ponctuels et les ventes entre particuliers, une seconde ligne dédiée est une option sous-estimée : une carte SIM prépayée sans engagement glissée dans un vieil appareil, ou dans le second emplacement d'un téléphone double SIM, cloisonne vos échanges commerciaux. Si ce numéro commence à recevoir du smishing en rafale, vous savez d'où vient la fuite — et vous pouvez le remplacer sans prévenir toute votre famille.
- Ne laissez pas vos codes traîner à l'écran. Les notifications d'aperçu affichent les codes sur l'écran verrouillé, donc visibles par n'importe qui dans un transport en commun. Désactiver l'aperçu du contenu des SMS prend trente secondes dans les réglages, et un filtre de confidentialité pour écran de smartphone empêche la lecture de biais pour ceux qui consultent beaucoup leur téléphone en public.
- Ne stockez pas vos justificatifs n'importe où. Les e-mails de confirmation, bordereaux et références de commande sont ce qui vous permettra de prouver votre bonne foi en cas de litige. Une sauvegarde locale sur une clé USB chiffrée ou un dossier dédié, à l'abri d'un compte de messagerie qui pourrait lui-même être compromis, évite de perdre toutes vos preuves d'un coup.
- Partagez les bons réflexes autour de vous. Les proches les moins à l'aise avec les écrans sont les plus exposés, parce qu'ils voient le code comme une formalité. Un petit guide pratique de cybersécurité pour seniors posé près du téléphone fixe, ou simplement une phrase affichée sur le frigo — « on ne dicte jamais un code reçu par SMS » — fait souvent plus que n'importe quel filtre technique.
Ce que cette arnaque dit du système
Le détournement de code de retrait n'est pas une faille informatique. C'est le résultat d'un arbitrage commercial : pour fluidifier des millions de retraits par jour, les réseaux de livraison ont remplacé une vérification lourde — la pièce d'identité — par une vérification légère et transférable. Le gain de confort est réel. Le coût, lui, a été déplacé vers le destinataire, qui est devenu le gardien d'un secret dont on ne lui a jamais expliqué la valeur.
C'est le même mécanisme que pour les codes bancaires à usage unique, les codes de double authentification ou les validations de connexion. Partout, la sécurité repose désormais sur une règle unique que les escrocs n'ont plus qu'à faire oublier le temps d'un message : ce qui arrive sur votre téléphone reste sur votre téléphone.
Un transporteur qui a besoin de vérifier votre identité le fera au comptoir. Une plateforme qui doit confirmer une livraison le fera dans votre espace client. Un acheteur légitime n'a jamais besoin de vos six chiffres. Dès que quelqu'un vous les réclame, il ne cherche pas à vous aider : il cherche à prendre votre place.
