Le faux SMS de La Poste réclamant le paiement de frais de livraison est devenu l’une des arnaques numériques les plus répandues de France. Plus de 2 millions de victimes ont déjà cliqué sur ces messages frauduleux contenant toujours la même phrase : « votre colis n’a pas pu être livré ». Une mécanique redoutablement efficace qui évolue rapidement grâce à l’IA générative et aux bases de données volées.
Un faux SMS La Poste sur un colis est une arnaque, que faire ?
Par · Publié le
Ne cliquez pas sur le lien et ne payez pas les quelques euros réclamés : aucun transporteur sérieux ne demande un paiement par SMS pour redélivrer un colis. Si vous avez déjà saisi vos coordonnées bancaires, faites opposition à votre banque et signalez le message au 33700.
Comment reconnaître un faux SMS La Poste sur un colis ?
Le message reprend souvent la phrase « votre colis n'a pas pu être livré ». Il peut usurper l'identité de La Poste, Colissimo, Chronopost ou Mondial Relay, et réclamer le paiement de frais minimes, 1,99 € ou 2 €, via un lien. Ces petits montants servent d'appât : on hésite moins à payer deux euros qu'à ignorer un colis.
Les escrocs envoient des millions de messages. Plus il y a de colis en circulation, plus un SMS aléatoire a de chances de tomber au bon moment. Selon les études de marketing mobile, le SMS est lu dans les trois minutes suivant sa réception dans 90 % des cas, avec un taux d'ouverture de 95 %, contre environ 20 % pour un email. En 2025, les demandes d'assistance pour hameçonnage ont atteint 108 000, soit 70 % de plus qu'en 2024.
Pourquoi le message peut citer votre nom ?
Les fraudes les plus personnalisées utilisent des données volées. Des vols de données d'entreprises comme Free, Bouygues Telecom, SFR, Orange, Boulanger ou France Travail ont concerné plusieurs dizaines de millions de Français. Un SMS peut donc mentionner votre nom, votre prénom, parfois votre adresse, avec un faux numéro de suivi de colis. Des images de paquet générées par intelligence artificielle, avec le nom apparent et un faux logo, peuvent aussi rendre le message plus crédible.
Le lien mène vers un site trompeur aux couleurs de l'organisme usurpé. On y demande l'identité, les adresses mail et postale, la date de naissance, le numéro de téléphone, les coordonnées de carte bancaire, voire des identifiants et mots de passe. La récolte ne s'arrête pas à la carte : les données alimentent une chaîne criminelle réutilisée pendant des mois.
Que faire pour vérifier un colis sans cliquer ?
Tapez vous-même l'adresse du site dans la barre du navigateur, par exemple laposte.fr, et passez par l'application officielle ou le compte personnel sécurisé. Cette précaution neutralise la grande majorité des tentatives de smishing.
- Un SMS inattendu ne doit pas servir de point de départ : ouvrez vous-même le site officiel.
- Les frais de redélivrance ne se règlent pas par SMS.
- Le suivi se fait dans l'application ou le compte sécurisé, pas via un lien reçu.
Que faire si vous avez cliqué et saisi vos coordonnées bancaires ?
- Faites immédiatement opposition auprès de votre banque.
- Signalez le SMS au 33700.
- Signalez l'arnaque sur internet-signalement.gouv.fr.
- Conservez les captures d'écran, l'adresse du site frauduleux et le numéro de l'expéditeur.
- Envisagez un dépôt de plainte.
L'outil 17Cyber permet aux victimes de cybermalveillance d'être mises en relation 24h/24 et 7j/7 avec un téléservice ou un opérateur spécialisé. Ce service est gratuit et accessible depuis un navigateur.
Des équipes « terrain » ont parfois été mandatées pour récupérer physiquement les cartes bancaires au domicile des personnes piégées, sous couvert d'un faux coursier envoyé par la banque.
Les sites frauduleux disparaissent-ils vraiment ?
Des sites frauduleux sont régulièrement fermés après signalement. De nouveaux sites apparaissent régulièrement, portés par des réseaux internationaux. La vigilance individuelle reste souvent le rempart le plus efficace.
Sources : cybermalveillance.gouv.fr | cybermalveillance.gouv.fr | abe-infoservice.fr