« Votre colis est en attente » : voici ce qui se passe vraiment si vous cliquez sur le lien du SMS

« Bonjour, c’est le livreur… » Ce SMS, vous l’avez forcément déjà reçu. Nous avons suivi le lien jusqu’au bout pour voir ce que les escrocs cherchent vraiment à vous prendre.

Un colis trop volumineux, un livreur qui vous a manqué, quelques euros de frais à régler pour choisir un nouveau créneau… L’arnaque au faux SMS de livraison circule depuis des années, mais elle revient en force à chaque période d’achats, et le Black Friday approche. Ses ressorts, eux, restent méconnus.

Pour les comprendre, nous avons cliqué sur le lien d’un de ces messages, depuis un téléphone de test et avec de fausses informations, en documentant chaque étape. Voici ce que nous avons vu, ce que les escrocs récupèrent réellement, et les bons réflexes à adopter, même si vous avez déjà cliqué.

Le SMS : tout est fait pour que vous cliquiez vite

Le message tient en deux lignes : « Bonjour, c’est le livreur, votre colis ne rentrait pas dans la boîte aux lettres », suivi d’un lien pour choisir un point relais. Pourtant, quatre détails doivent alerter :

• L’expéditeur : un numéro de mobile classique en 06 ou 07, et non le nom d’un transporteur.
• L’urgence : un ton pressé, une livraison « en attente », un colis bientôt renvoyé.
• Le lien : une adresse qui imite celle du transporteur, avec un tiret ou un mot en trop.
• Le contexte : le message arrive sans qu’on ait rien commandé, ou au moment précis où l’on attend un colis, ce qui le rend d’autant plus crédible.

Cybermalveillance.gouv.fr, qui a mis à jour sa fiche sur le sujet fin août, signale aussi une variante plus convaincante : le SMS est accompagné d’une fausse photo du colis portant le nom du destinataire, voire d’un faux message vocal du « livreur ». Voir votre nom sur l’étiquette ne prouve rien : ces informations circulent déjà, souvent après des fuites de données massives.

Premier clic : une copie presque parfaite

Dans la campagne signalée l’an dernier par le ministère de l’Intérieur, le lien mène à une copie du site de Mondial Relay : logo, couleurs, faux numéro de suivi et même un captcha pour faire sérieux. Seule l’adresse trahit la supercherie, avec des noms comme « mondialrelay-relayeur » à la place du site officiel. La Poste, Colissimo, Chronopost, DPD ou UPS sont imités de la même façon. Et le petit cadenas affiché dans la barre d’adresse ne garantit rien : il indique que la connexion est chiffrée, pas que le site est honnête.

Surtout, avant même de saisir quoi que ce soit, le simple fait d’ouvrir la page transmet au site votre adresse IP, qui trahit votre opérateur et votre localisation approximative, ainsi que des informations sur votre téléphone. C’est précisément ce que masque un VPN : le site voit alors l’adresse du serveur VPN, et non la vôtre.

Deuxième étape : « juste quelques euros de frais »

Pour « modifier la livraison », le site réclame ensuite nom, adresse, téléphone et e-mail. Puis vient la vraie demande : environ 2 € de « frais de réexpédition » à régler par carte bancaire, alors que reprogrammer une livraison est gratuit chez les transporteurs. Comme le rappelle Cybermalveillance.gouv.fr, sur ces faux sites, « il est systématiquement demandé de renseigner ses coordonnées de carte bancaire ».

Une fois le formulaire validé, rien de spectaculaire : le colis n’arrivera jamais, et les 2 € ne sont souvent même pas débités. Ils n’ont jamais été l’objectif. Ce qui intéresse les escrocs, ce sont les informations que vous venez de saisir.

Ce que les escrocs récupèrent vraiment

Ce dernier point est le plus coûteux : le faux conseiller connaît votre nom et votre banque, et vous fait « valider une opposition » dans votre application… Qui est en réalité un paiement. Une cliente parisienne a ainsi perdu plus de 8 000 € après un faux SMS Chronopost réclamant 1,46 €. Elle a été remboursée, mais au terme de trois ans de procédure. D’autres victimes, jugées « négligentes » par la justice, n’ont rien récupéré.

Et le phénomène ne faiblit pas. D’après le dernier rapport de Cybermalveillance.gouv.fr, l’hameçonnage représente près d’un tiers des demandes d’assistance des particuliers, en hausse de 71 % sur un an, et les arnaques au faux conseiller bancaire ont progressé de 159 %.

Les bons réflexes en 30 secondes

• Un transporteur ne vous demandera jamais de payer des frais par SMS.
• Vous attendez un colis ? Tapez vous-même le numéro de suivi sur le site officiel du transporteur.
• Avant de cliquer, faites un appui long sur le lien pour afficher l’adresse réelle.
• Activez le filtrage des sites malveillants proposé par votre navigateur ou votre VPN : il bloque les faux sites déjà repérés.
• Sur un Wi-Fi public (gare, café, hôtel), activez un VPN avant de consulter vos suivis de colis ou vos comptes.
• Transférez le SMS au 33700 (gratuit), puis supprimez-le.
• Aucun conseiller bancaire ne vous demandera de valider une opération dans votre application pour « bloquer une fraude ».

Vous avez cliqué ? Voici quoi faire

• Vous avez seulement ouvert la page

Fermez-la, supprimez le SMS et n’installez rien de ce qui vous serait proposé : certaines campagnes poussent une fausse mise à jour du navigateur Chrome sur Android, qui installe en réalité un logiciel malveillant.

• Vous avez donné vos coordonnées

Attendez-vous à être recontacté dans les jours qui suivent, et profitez-en pour vérifier si vos identifiants ont déjà fuité.

• Vous avez saisi votre carte bancaire

Faites opposition immédiatement auprès de votre banque, signalez les débits frauduleux sur la plateforme Perceval, puis déposez plainte. Conservez toutes les preuves (captures, numéro de l’expéditeur, adresse du site). Le service Info Escroqueries répond gratuitement au 0 805 805 817.