Faux colis par SMS : ce que le transporteur ne demande jamais

Un SMS signé d'un livreur : le colis n'entrait pas dans la boîte aux lettres, il faut choisir un créneau ou régler des frais, un lien suit. Cybermalveillance.gouv.fr classe ce prétexte parmi les thèmes les plus massivement utilisés en matière d'hameçonnage. La question utile n'est pas de savoir si le message « a l'air vrai », mais ce qu'un transporteur demande réellement, et où vérifier.

Un transporteur peut-il réclamer de l'argent par message ?

La Poste répond dans sa page Comment reconnaître une tentative de fraude : il ne faut jamais payer un supplément ou des « frais de port » pour réceptionner un colis ou modifier sa livraison, et jamais rappeler un numéro surtaxé pour recevoir un colis. Ses services clients, le 3631 et le 3634, sont gratuits depuis la France métropolitaine et les DOM.

Elle signale deux exceptions, et c'est ce qui rend le piège crédible :

• les droits et taxes de douane, si vous avez commandé à l'étranger ou si le colis part vers un département d'outre-mer ou en provient ;
• les défauts de conformité, notamment un affranchissement non conforme.

Pour ces demandes, La Poste indique sur sa page consacrée aux tentatives de fraude que le lien du message mène à son site officiel, laposte.fr. Pour les droits et taxes de douane, sa page dédiée ajoute que le détail des étapes d'acheminement, dans le suivi de l'envoi, montre s'ils sont dus.

Pour les autres transporteurs, Cybermalveillance.gouv.fr relève que Chronopost indique ne pas demander de frais de livraison pour les livraisons en France, et que Mondial Relay indique ne jamais demander de frais additionnels. La règle pratique est donc la même partout : une demande de paiement se vérifie dans le suivi officiel, pas dans le message.

Vérifier votre colis sans passer par le lien

1. Ne cliquez pas sur le lien et n'appelez pas le numéro indiqué.
2. Demandez-vous si vous attendez un envoi, et si la demande est cohérente avec vos commandes et leur délai d'acheminement.
3. Ouvrez vous-même le site ou l'application du transporteur ou du marchand, et saisissez le numéro de suivi qui figure dans votre confirmation de commande. Pour La Poste et Colissimo, l'outil est le suivi d'envois de laposte.fr. Si le message contient un numéro d'envoi, La Poste recommande de l'y saisir pour vérifier qu'il existe bel et bien.
4. Si le suivi ne signale aucun problème, considérez le message comme une tentative d'hameçonnage. C'est la conclusion que recommande Cybermalveillance.gouv.fr.

Regarder l'adresse du lien ne suffit pas à trancher : sur un téléphone, elle est souvent tronquée, et une seule lettre modifiée la rend trompeuse. Notre vérificateur de lien et notre analyseur d'email et SMS donnent une estimation du risque, utile pour un proche qui hésite, mais c'est le suivi officiel qui fait foi.

Les formes que prend le message

Les variantes décrites par Cybermalveillance.gouv.fr et par La Poste aident à reconnaître la manœuvre :

• un SMS envoyé depuis un numéro de mobile ordinaire (06 ou 07), au nom d'un « livreur » ;
• un premier message très court, du type « Bonjour, vous êtes chez vous ? », sans lien ni demande de paiement, destiné à obtenir une réponse avant l'envoi du lien ;
• une photo de colis retouchée avec votre nom sur l'étiquette, ou un fichier audio présenté comme un message vocal du livreur ;
• un faux avis de passage déposé dans la boîte aux lettres, avec un QR code à scanner ;
• un appel d'un faux livreur, sans message préalable, qui demande le code que vous recevez au même moment par SMS. Selon Cybermalveillance.gouv.fr, ce code permet en réalité de réaliser un achat facturé sur votre abonnement téléphonique.

Le motif invoqué change (colis trop volumineux, absence, point relais à choisir, affranchissement manquant, taxes), la destination reste la même dans le scénario principal décrit par Cybermalveillance.gouv.fr : une page aux couleurs d'un transporteur qui demande identité, adresse, téléphone, puis systématiquement les coordonnées de la carte bancaire.

Ce que deviennent les informations saisies

Cybermalveillance.gouv.fr apporte une précision importante : il y a rarement un véritable paiement sur la fausse page. Le formulaire sert uniquement à récupérer le numéro de carte. Le montant affiché n'a donc aucune signification, et l'absence de débit immédiat ne veut pas dire que rien ne s'est passé.

Trois suites sont documentées.

L'appel d'un faux conseiller bancaire. Dans de très nombreux cas, selon Cybermalveillance.gouv.fr, les données servent dans les heures ou les jours qui suivent à une fraude au faux conseiller bancaire. L'appelant connaît votre nom, votre banque, votre carte, et prétend bloquer une fraude en cours. Un vrai conseiller ne vous fait pas effectuer d'opérations dans votre application ni dicter des codes, et personne n'envoie de coursier récupérer une carte.

Un abonnement caché. Dans une variante, la page annonce un cadeau à recevoir contre quelques euros de frais d'envoi. En validant, vous consentez à un abonnement dont le coût peut atteindre plusieurs dizaines d'euros par mois. Cybermalveillance.gouv.fr conseille de faire opposition au prélèvement si vous en constatez un.

Un virus ou un vol de compte. Certaines campagnes ne visent pas la carte. Sur Android, le lien affiche une alerte incitant à installer une fausse mise à jour du navigateur, qui est une application malveillante. Sur iPhone, une page demande de ressaisir l'identifiant et le mot de passe du compte Apple.

Si vous avez saisi vos coordonnées

Dans l'ordre :

1. Faites opposition sur la carte, auprès de votre banque ou du serveur interbancaire au 0 892 705 705 (numéro majoré, 7 jours sur 7, 24 heures sur 24). Conservez le numéro d'enregistrement de l'opposition.
2. Gardez les preuves : le SMS, le numéro de l'expéditeur, l'adresse du site, des captures d'écran.
3. Contestez les débits auprès de votre banque dès qu'ils apparaissent. Le remboursement d'une opération non autorisée doit intervenir au plus tard à la fin du premier jour ouvrable suivant votre signalement, selon l'article L133-18 du Code monétaire et financier.
4. Signalez la fraude sur Perceval si des débits ont eu lieu. Le téléservice exige que vous ayez déjà fait opposition et que la carte soit toujours en votre possession. Il délivre un récépissé, que vous devez transmettre à votre banque lors de la demande de remboursement, indique Service-Public.fr.
5. Déposez plainte au commissariat ou à la gendarmerie. Cybermalveillance.gouv.fr souligne que Perceval ne remplace pas la plainte, et que certaines banques demandent l'un ou l'autre pour instruire le remboursement.
6. Si vous avez aussi saisi un mot de passe, changez-le partout où il sert. Voir Compte piraté : que faire.

Le détail des droits au remboursement et des délais figure dans Fraude à la carte bancaire.

Signaler le message

• Le SMS : transférez-le au 33700. Le service vous répond en demandant le numéro de l'expéditeur.
• L'email : signalez-le sur Signal Spam.
• Le transporteur usurpé : La Poste demande qu'on lui signale le message par mail à [email protected], en indiquant vos coordonnées complètes (nom, prénom, adresse, numéro de téléphone et/ou adresse mail), la date d'envoi du mail ou du SMS, le numéro de téléphone à appeler, l'adresse mail à contacter, le lien vers lequel le message vous dirige et, si possible, une capture d'écran (procédure de La Poste). Cybermalveillance.gouv.fr liste les adresses équivalentes des autres transporteurs.
• Les autorités : l'escroquerie à la livraison de colis fait partie des types d'hameçonnage que l'on peut signaler sur PHAROS, via la rubrique « Escroquerie », précise Cybermalveillance.gouv.fr.

Le fonctionnement de chaque canal est détaillé dans le guide Phishing par email et SMS. Le même mécanisme, avec un autre décor, est décrit dans Faux SMS des impôts ou d'une amende.