L’essentiel — Un SMS annonce un colis bloqué ou demande « Vous êtes chez vous ? ». Avant de cliquer, voici comment reconnaître les faux livreurs, vérifier un envoi et protéger vos données.

Pourquoi les faux messages de livraison fonctionnent

Le scénario est banal : une notification arrive au moment où l’on attend un achat, indique que le colis ne rentre pas dans la boîte aux lettres, puis invite à choisir un nouveau créneau. Le message n’a pas besoin de connaître la commande réelle pour paraître convaincant. Comme beaucoup de consommateurs attendent régulièrement des livraisons, il joue sur une coïncidence plausible. L’arnaque commence précisément lorsque le destinataire traite ce texte comme une information vérifiée plutôt que comme une simple affirmation provenant d’un inconnu.

Cybermalveillance.gouv.fr décrit ce mécanisme comme une forme d’hameçonnage : un acteur malveillant usurpe l’identité d’un transporteur afin d’obtenir des données personnelles, bancaires ou des identifiants. Les marques citées dans les messages changent, tout comme le prétexte. Une livraison manquée, un supplément d’affranchissement ou un point relais à confirmer servent la même stratégie : créer un petit problème concret et offrir une solution immédiate, à portée de clic.

Il ne faut donc pas chercher seulement les messages bourrés de fautes. Certains sont rédigés correctement, reprennent les couleurs d’une entreprise réelle et comportent un prénom ou un numéro de colis. L’apparence professionnelle n’est pas une preuve d’authenticité. La question décisive reste toujours : puis-je retrouver cette information dans mon espace client ou dans le suivi officiel, sans passer par le lien reçu ?

Le SMS « Bonjour, vous êtes chez vous ? » : une conversation piégée

Une variante particulièrement déroutante commence par une question anodine : « Bonjour, vous êtes chez vous ? ». Rien n’évoque une facture, un mot de passe ou une urgence. Le destinataire répond naturellement pour comprendre de qui il s’agit. Son interlocuteur se présente ensuite comme un livreur et annonce un obstacle : paquet trop volumineux, adresse incomplète ou absence lors du passage. Un lien arrive seulement après ces premiers échanges, une fois la conversation engagée.

Cette méthode exploite une habitude sociale : on répond plus facilement à quelqu’un qui semble déjà discuter avec nous qu’à un message publicitaire impersonnel. La réponse peut aussi rendre certains liens plus visibles dans des applications qui limitent les interactions provenant de numéros inconnus. Le rapport 2025 de Cybermalveillance.gouv.fr, publié en 2026, documente explicitement cette variante et rappelle qu’un dialogue apparemment ordinaire peut être automatisé.

L’attitude prudente n’est pas de deviner l’identité du correspondant. Si un véritable colis est attendu, ouvrez vous-même l’application du vendeur ou du transporteur. Le suivi doit permettre de confirmer l’état de l’envoi. En l’absence d’information concordante, cessez l’échange. Ne communiquez ni adresse complète, ni code reçu par SMS, ni coordonnées bancaires, même si la personne prétend simplement vouloir vous rendre service.

Les indices d’une fausse notification de colis

Le premier signal d’alerte est la demande d’action par un lien inattendu. Le message exige parfois de régler une somme minime pour débloquer le colis. Le faible montant n’est pas rassurant : la page peut rechercher les informations de carte plutôt qu’un paiement réel. D’autres messages demandent de vérifier l’adresse, de choisir un relais ou de confirmer son identité. L’apparente modestie de la démarche masque le caractère sensible des données qui seront saisies.

Le deuxième indice est la pression temporelle. Les formules « dernier rappel », « retour à l’expéditeur » et « frais supplémentaires sous vingt-quatre heures » poussent à agir avant de vérifier. Une urgence fabriquée réduit le temps de réflexion. Méfiez-vous aussi des numéros mobiles non identifiés, des noms de domaine étranges, des adresses raccourcies et des sites qui ressemblent à une marque connue sans utiliser son véritable domaine.

Aucun indice isolé ne suffit à classer automatiquement un message comme frauduleux : un transporteur peut envoyer une notification légitime, et un message dangereux peut être bien écrit. La méthode fiable consiste à quitter le canal reçu. En ouvrant soi-même le site officiel déjà connu, son application ou le suivi fourni dans la commande, on vérifie le fait annoncé sans faire confiance à l’expéditeur initial.

Comment vérifier une livraison sans cliquer

Commencez par le commerçant auprès duquel vous avez commandé. Dans le récapitulatif des achats, retrouvez la référence d’expédition et, lorsque c’est disponible, le nom du transporteur. Saisissez ensuite l’adresse du transporteur directement dans votre navigateur ou ouvrez son application déjà installée. Si vous disposez d’un numéro de suivi, entrez-le dans l’interface officielle. Cette démarche évite de confondre un site usurpé avec le véritable service.

Comparez la date, le lieu et le type d’incident. Un SMS signalant un colis bloqué alors que le suivi officiel indique « livré » ou « en cours d’acheminement » est incohérent. Si vous ne retrouvez aucune commande correspondante, n’inventez pas une justification au message. Les arnaques sont envoyées largement ; tomber sur une personne qui attend effectivement un paquet peut n’être qu’un hasard.

En cas de doute persistant, contactez le vendeur depuis son site ou le service client du transporteur par les coordonnées publiées officiellement. Évitez de rappeler un numéro présent uniquement dans le SMS suspect. L’objectif n’est pas d’obtenir une réponse rapide à tout prix, mais de multiplier les points de vérification indépendants. Quelques minutes de contrôle protègent davantage qu’une réaction précipitée.

Pourquoi les faux sites paraissent authentiques

Une page frauduleuse peut reproduire un logo, les couleurs d’une marque, une barre de progression de livraison et un formulaire proprement présenté. Certains sites s’adaptent parfaitement à l’écran d’un smartphone. Le cadenas du navigateur ne confirme pas qu’un site appartient à l’entreprise qu’il prétend représenter : il indique principalement que la connexion avec ce domaine est chiffrée. Un escroc peut lui aussi disposer d’un certificat valide.

Examinez le domaine réel, c’est-à-dire la partie centrale de l’adresse qui précède l’extension. Une longue adresse contenant le nom d’un transporteur ne garantit rien si elle est hébergée sous un domaine sans rapport. Les tirets supplémentaires, les suffixes inattendus et les pages de paiement hébergées ailleurs doivent inciter à vérifier. Le nom visible dans le texte d’un lien peut être différent de la destination véritable.

Sur téléphone, la barre d’adresse est parfois réduite ou masquée lorsque l’on fait défiler une page. Il est donc plus simple et plus sûr de ne pas inspecter indéfiniment le lien reçu : fermez-le et repartez du site officiel. Cette règle évite les erreurs de lecture, notamment avec des caractères ressemblants. Même une personne habituée à Internet peut se tromper face à une imitation convaincante.

Les données que recherchent les fraudeurs

Le formulaire peut commencer par des informations ordinaires : nom, adresse postale, téléphone et courriel. Ces données peuvent faciliter une nouvelle tentative de fraude, plus personnalisée. L’étape suivante demande souvent les références d’une carte bancaire sous prétexte de payer quelques euros. Une fois transmises, ces informations peuvent être exploitées sans rapport avec la livraison. Il est donc essentiel de considérer le formulaire entier comme suspect, et pas seulement son écran de paiement.

Certains scénarios vont plus loin et sollicitent un mot de passe, un code de connexion ou un code de validation envoyé par une banque. Ne transmettez jamais un code d’authentification à un prétendu livreur. Une entreprise de livraison n’a pas besoin d’accéder à votre compte bancaire ou à votre messagerie pour déposer un colis. La mention « vérification de sécurité » ne change rien à cette règle.

Il existe aussi des versions où un faux site propose d’installer une application ou de mettre à jour le navigateur. Le fichier peut être malveillant, particulièrement lorsqu’il provient d’une source inconnue plutôt que d’une boutique d’applications officielle. Refusez toute installation déclenchée par un SMS de livraison. Le suivi d’un paquet ne nécessite normalement pas de modifier la sécurité du téléphone.

Vous avez cliqué, mais rien renseigné : que faire ?

Un clic isolé ne signifie pas automatiquement que votre compte bancaire est compromis. La conduite à tenir dépend de ce qui s’est passé ensuite. Si vous avez simplement ouvert une page sans installer de fichier, sans accepter de permissions inhabituelles et sans transmettre d’information, fermez-la. Évitez de la rouvrir « pour vérifier » et supprimez le message. Vous pouvez ensuite mettre à jour le système et le navigateur si des mises à jour officielles sont proposées.

Si le site vous a demandé d’autoriser des notifications, vérifiez les permissions accordées dans les paramètres du navigateur. Si vous avez téléchargé une application, ne l’ouvrez pas et recherchez l’aide appropriée pour contrôler le téléphone. Les démarches diffèrent selon Android ou iPhone et selon l’installation effective d’un logiciel. Un message alarmant affiché à l’écran ne doit pas vous pousser à appeler un faux support technique.

L’important est de décrire précisément les faits au moment de demander de l’aide : simple consultation, données saisies, carte renseignée, mot de passe communiqué ou application installée. Ces situations n’impliquent pas les mêmes mesures. Cybermalveillance.gouv.fr propose des parcours d’assistance adaptés. Conserver une capture du SMS et de l’adresse frauduleuse peut également être utile pour le signalement, sans revisiter la page.

Vous avez donné votre carte bancaire : les bons réflexes

Si les coordonnées de votre carte ont été saisies sur une page suspecte, contactez sans tarder votre banque par son application officielle ou le numéro figurant sur vos documents bancaires. Expliquez que les références de la carte ont potentiellement été compromises et demandez la marche à suivre, notamment pour faire opposition si cela est nécessaire. N’attendez pas l’apparition d’un débit : la collecte de données peut précéder de plusieurs heures ou jours une tentative d’utilisation.

Consultez ensuite les opérations et les notifications de paiement. Si un mouvement inconnu apparaît, signalez-le à la banque selon sa procédure. Gardez les éléments utiles : capture du message, adresse du faux site, date approximative et éventuels échanges. Ces informations peuvent faciliter l’analyse du dossier. Elles ne remplacent pas la prise de contact rapide avec l’établissement financier.

Si vous avez également communiqué un mot de passe, modifiez-le immédiatement depuis le véritable service concerné. Lorsque ce mot de passe est réutilisé ailleurs, changez-le aussi sur les autres comptes. Activez, lorsque possible, une authentification renforcée et vérifiez les appareils connectés ou les règles de transfert de votre messagerie. Un accès à la boîte mail peut servir à réinitialiser d’autres comptes ; elle mérite donc une attention particulière.

Signaler le SMS frauduleux en France

En France, la plateforme 33700 permet de signaler les messages et appels indésirables. Elle dispose d’un dispositif de signalement en ligne et de procédures depuis un téléphone mobile. Les opérateurs peuvent utiliser les signalements pour identifier des campagnes abusives. Effectuer ce geste aide à documenter la fraude, même lorsqu’aucune somme n’a été perdue. Il ne garantit toutefois pas qu’un expéditeur sera immédiatement bloqué.

Vous pouvez également consulter les ressources de Cybermalveillance.gouv.fr pour comprendre le type d’escroquerie rencontré, appliquer les recommandations adaptées et rechercher un accompagnement. Si vous êtes victime d’une fraude financière, conservez les preuves et renseignez-vous sur les démarches de plainte et de contestation auprès des organismes compétents. Les situations et les recours varient selon ce qui a été divulgué et les opérations observées.

Une fois le signalement terminé, bloquez l’expéditeur lorsque le téléphone le permet. Les filtres anti-spam intégrés aux applications de messagerie peuvent réduire les messages indésirables, mais ils ne constituent pas une garantie absolue. Les fraudeurs changent de numéro et de méthode. Le réflexe durable demeure la vérification par un canal indépendant.

Familles, personnes âgées et adolescents : adapter la prévention

Dans une famille, la prévention fonctionne mieux lorsqu’elle repose sur une règle simple partagée par tous : on ne règle jamais un prétendu supplément de livraison depuis un lien inattendu. Cette règle est plus facile à retenir qu’une longue liste de domaines interdits. Elle ne suppose pas de maîtriser les détails techniques du fonctionnement d’un navigateur. On peut également apprendre à consulter l’historique des commandes dans les applications utilisées régulièrement.

Pour une personne peu habituée aux démarches en ligne, il est utile de proposer une vérification commune plutôt que de reprocher un éventuel clic. La peur de paraître naïf peut conduire à cacher un incident, alors qu’une intervention rapide limite parfois les conséquences. Un proche peut aider à retrouver le site officiel, contacter la banque si nécessaire et conserver les éléments du message sans exposer davantage de données.

Les adolescents, eux aussi, peuvent recevoir ces messages. Leur familiarité avec les applications n’empêche pas de céder à une urgence ou à un dialogue convaincant. Des exemples concrets — faux livreur, petite somme réclamée, code demandé — rendent la prévention plus efficace. Le but n’est pas de créer une méfiance permanente, mais d’installer une courte étape de contrôle avant tout partage d’information.

Les erreurs courantes qui entretiennent les risques

La première erreur consiste à répondre pour demander si le message est authentique. Dans une fraude, l’expéditeur a tout intérêt à rassurer sa cible. Sa réponse ne constitue pas une vérification indépendante. La deuxième erreur est de faire confiance au logo du site ou au ton poli du correspondant. Ces signes sont faciles à reproduire. La troisième consiste à considérer qu’une faible somme protège contre une escroquerie importante.

Autre piège : demander à un moteur de recherche le nom exact du site inconnu et cliquer sur n’importe quel résultat. Une recherche peut afficher des pages trompeuses ou des annonces ambiguës. Lorsque c’est possible, utilisez l’application officielle déjà installée ou l’adresse enregistrée dans vos favoris. Méfiez-vous des appels entrants prétendant « régler le problème » après que vous avez communiqué vos coordonnées.

Enfin, la recherche d’une certitude absolue peut faire perdre du temps. On n’a pas besoin de prouver qu’un SMS est frauduleux pour décider de ne pas suivre son lien. Il suffit qu’il soit inattendu et non vérifié. Si une livraison nécessite une action réelle, elle doit pouvoir être retrouvée auprès du vendeur ou du transporteur. Ce principe évite d’entrer dans le scénario imposé par le fraudeur.

Une méthode en trois étapes pour les prochaines livraisons

Première étape : interrompez l’automatisme. À la réception d’un SMS évoquant un incident de livraison, ne cliquez pas immédiatement. Lisez ce qui est demandé, mais ne considérez pas la demande comme une obligation. Si elle contient un paiement, un code secret, une installation d’application ou une urgence inhabituelle, augmentez votre niveau de vigilance. Une notification sert à informer ; elle ne doit pas vous priver du temps nécessaire pour vérifier.

Deuxième étape : reprenez le contrôle du parcours. Ouvrez la commande dans la boutique où l’achat a été réalisé, puis le suivi dans l’application ou le site officiel du transporteur. Vérifiez le numéro de colis et l’existence du problème annoncé. Si la situation reste ambiguë, contactez le support via les coordonnées officielles. Ne recopiez pas l’adresse web envoyée par l’inconnu et ne lui demandez pas de confirmation.

Troisième étape : agissez selon le résultat. Si l’alerte était fausse, signalez-la au 33700 et bloquez l’expéditeur. Si vous avez transmis des informations, appliquez les mesures adaptées sans attendre. Si un vrai incident de livraison existe, gérez-le depuis le service officiel. Cette méthode sépare trois opérations souvent confondues : lire une notification, vérifier un fait et autoriser une action. C’est cette séparation qui réduit le risque.

Sources et pour aller plus loin

Pour vérifier les informations et approfondir le sujet :

Cybermalveillance.gouv.fr — L’hameçonnage à la livraison de colis (mis à jour en août 2026)Cybermalveillance.gouv.fr — Le smishing ou hameçonnage par SMS33700 — Signaler un SMS indésirableCybermalveillance.gouv.fr — Rapport sur l’hameçonnage en 2025

Cet article est publié par la rédaction de VIVA Magazine. Une correction à proposer ? Contactez-nous.