L’hameçonnage à la livraison de colis

Vous avez reçu un message par SMS ou par courriel (e-mail) qui semble provenir d’un service de livraison ou d’un livreur ? Ce message indique que le transporteur a tenté de vous livrer un colis ou est en attente d’instructions pour sa livraison et vous demande le paiement de frais d’expédition ou d’affranchissement ? Attention, il s’agit d’une tentative d’escroquerie à la livraison de colis, l’un des thèmes les plus massivement utilisés en matière d’hameçonnage !

Cybermalveillance.gouv.fr observe en permanence des campagnes d’hameçonnage à la livraison de colis. L’objectif principal ? Dérober des informations personnelles et de carte bancaire pour en faire un usage frauduleux.
Toutefois, l’accroche de la livraison de colis peut avoir également d’autres buts : diffusion de virus, piratage de compte, arnaque au faux support technique, abonnement déguisé (voir encadré en fin d’article).

Exemples de mails et SMS d’escroquerie à la livraison de colis :

1. De quoi s’agit-il ?

Ces messages frauduleux sont un type d’hameçonnage (phishing en anglais) qui consiste à usurper l’identité d’une marque ou d’une organisation connue pour inciter la victime à fournir des informations personnelles et confidentielles.

Dans le cas des escroqueries à la livraison de colis, les victimes reçoivent un SMS ou un mail qui semble provenir d’un livreur ou de sociétés de transport existantes telles que Mondial Relay, La Poste, Colissimo, DPD, Chronopost, UPS ou fictives (IPS / International Parcel Service).

Le mail a par exemple pour sujet « Votre commande a été envoyée », « Colis en Attente d’instruction » ou « Votre Colis Nº6Q02864XX33 est en attente de livraison », etc.
Quant aux SMS, ils affichent généralement un numéro de téléphone mobile (commençant par 06 ou 07) et sont, en général, supposément envoyés par un livreur.

Ce message annonce qu’un colis rencontre un problème de livraison : colis trop volumineux pour rentrer dans une boîte aux lettres, absence du destinataire du colis, demande de créneau de livraison, choix d’un point-relais ou « locker », ou encore absence d’affranchissement, frais de port ou d’expédition restant dus, paiement de taxes comme la TVA, frais de douane ou de dédouanement, etc.

La victime est invitée à cliquer sur un lien contenu dans le message qui la redirige vers un site Internet qui usurpe l’identité de l’entreprise de livraison. Ce type de site est en général très bien fait afin de mettre en confiance la victime pour mieux tenter de la tromper.

Sur ce site Internet, des informations personnelles son demandées : identité, adresses postale et mail, numéro de téléphone… et il est systématiquement demandé de renseigner ses coordonnées de carte bancaire afin de régler de prétendus frais supplémentaires liés à la livraison.
En remplissant ce formulaire, la victime transmet ses informations personnelles et bancaires aux escrocs qui pourront en faire un usage frauduleux (à noter qu’il y a rarement de véritable paiement ; il s’agit uniquement de récupérer les numéros de carte bancaire). Ils chercheront par exemple à utiliser eux-mêmes ces coordonnées bancaires pour tenter d’effectuer des achats ou bien revendre les informations collectées à d’autres cybercriminels qui en feront usage à leur tour.
Dans de très nombreux cas, les données récupérées seront utilisées dans les heures ou jours qui suivent par des escrocs qui mènent des fraudes au faux conseiller bancaire.

Exemple de site Internet frauduleux d’hameçonnage à la livraison de colis :

« Bonjour vous êtes chez vous ? »

À l’été 2025, nombre d’entre nous ont reçu ce SMS mystérieux. En pleine période estivale, certaines personnes se sont demandé si il ne s’agissait d’un cambrioleur en repérage. Il n’en n’est rien ! Il s’agit d’une nouvelle pratique d’escrocs pour l’hameçonnage à la livraison de colis.
Pour lutter contre le smishing, certaines applications de messages désactivent les liens contenus dans les SMS qui proviennent de numéros inconnus. Mais, si l’on commence à répondre, la conversation sera considérée légitime et les messages suivants pourront contenir des liens actifs.

Les escrocs l’ont bien compris et veulent vous inciter à répondre à un premier message pour vous en envoyer un autre contenant un lien vers un site d’hameçonnage. Ils utilisent un système automatisé basé sur un programme informatique (robot ou « bot ») qui envoie des messages prédéfinis ; vous n’échangez donc pas avec un humain. De plus, ces SMS sont envoyés en masse à de très nombreux numéros de téléphone en même temps. Il ne s’agit pas non plus d’une intelligence artificielle (IA) puisqu’un véritable agent conversationnel adapterait ses réponses à vos messages.

2. Que faire si vous recevez un message d’arnaque à la livraison de colis ?

En préalable, sachez que les entreprises de livraison ne vous demanderont jamais par SMS ou par mail un quelconque paiement pour recevoir un colis. Par exemple, La Poste informe sur son site Internet qu’elle « ne vous demandera jamais de payer pour retirer un colis par SMS ou par mail ». De même, Chronopost précise qu’il « ne vous demande pas de carte d’identité ni de frais de livraison pour des livraisons en France ». Pour sa part, Mondial Relay mentionne qu’il « ne vous demandera jamais de payer des frais additionnels« .

1. Au moindre doute, vérifiez le véritable suivi du colis que vous attendez ou contactez directement l’entreprise de livraison concernée pour confirmer le message que vous avez reçu. Si le suivi de votre colis ne vous indique aucun problème ou si l’entreprise vous indique qu’elle n’est pas à l’origine de l’envoi de ce message, considérez qu’il s’agit d’une tentative d’hameçonnage.
   
   
2. N’ouvrez pas les courriels ou leurs pièces jointes et, également dans le cas de SMS, ne cliquez jamais sur les liens au moindre doute. Tous nos conseils et nos recommandations sur l’hameçonnage (phishing en anglais).
   
   
3. Si vous avez cliqué sur une pièce-jointe ou sur un lien contenu dans le message qui a pu installer un programme malveillant, suivez nos conseils en cas d’infection par un virus.
   
   
4. Avant de cliquer sur un lien douteux, positionnez le curseur de votre souris sur ce lien (sans cliquer). Sur votre téléphone mobile, faites un appui long sur le lien contenu dans le mail. Cela affichera l’adresse vers laquelle il pointe réellement afin d’en vérifier la vraisemblance.
   
   
5. Si vous avez cliqué sur le lien, vérifiez l’adresse du site qui s’affiche dans votre navigateur. Si l’adresse (nom de domaine) ne correspond pas exactement au site concerné, il s’agit certainement d’un site frauduleux. Au moindre doute, ne fournissez aucune information et fermez immédiatement la page correspondante.
   
   
6. Signalez tout message (mail) ou site douteux à Signal Spam. S’il s’agit d’un SMS, signalez-le sur la plateforme 33700 ou par SMS au 33 700 (service gratuit). Ces services feront bloquer l’émetteur du message.
   
   
7. Signalez l’adresse du site d’hameçonnage à Phishing Initiative qui bloquera l’adresse de ce site.
   
   
8. Signalez également les messages et sites douteux aux sociétés de livraison dont l’identité est usurpée. Ces entreprises disposent généralement d’adresses de contact par messagerie dédiées pour recevoir des informations sur les fraudes les concernant et agir afin de faire supprimer les sites frauduleux. Par exemple :
   La Poste / Colissimo: phishing@laposte.fr ; Chronopost / DPD : abuse@chronopost.fr ; UPS : fraud@ups.com ; Mondial Relay : abuse@mondialrelay.fr
   
9. Dans votre boîte mail ou votre application de messagerie, classez le message en spam/courrier indésirable et bloquez l’expéditeur.

3. Et si vous êtes victime de l’arnaque à la livraison de colis ?

Vigilance ! Dans un grand nombre de cas, les informations personnelles et bancaires dérobées sont utilisées pour des fraudes au faux conseiller bancaire dans les heures ou jours qui suivent l’hameçonnage. Jamais un conseiller de votre banque ne vous appellera pour vous faire effectuer des actions sur votre application bancaire ou lui transmettre des codes pour de supposées fraudes en cours sur vos comptes ! De même, aucune honnête personne n’enverra jamais un coursier à votre domicile pour récupérer votre carte afin de l' »analyser ».

1. Faites opposition immédiatement : si vous avez communiqué des éléments sur vos moyens de paiement ou si vous avez constaté des débits frauduleux sur votre compte, faites opposition immédiatement auprès de votre organisme bancaire ou financier.
   
   
2. Conservez les informations sur le message que vous avez reçu (adresse mail ou numéro de téléphone, nom de l’appelant, etc.) et sur le site Internet malveillant visité (adresse du site, captures d’écran, etc.).
   
   
3. Si vous avez communiqué un mot de passe, appliquez les conseils de notre article dédié au piratage de compte.
   
   
4. Si vous avez cliqué sur un lien ou ouvert un fichier qui a pu installer un programme malveillant et/ou si vous constatez un fonctionnement anormal de votre appareil, appliquez les conseils de notre article dédié aux virus informatiques.
   
   
5. Si vous constatez des débits frauduleux liés à votre carte bancaire, signalez les faits à la plateforme Perceval du ministère de l’Intérieur. Votre signalement aidera les autorités à identifier les auteurs de ces fraudes. À noter que le signalement sur la plateforme Perceval ne se substitue pas au dépôt de plainte.
   
   
6. Déposez plainte au commissariat de police ou à la brigade de gendarmerie ou par écrit au procureur de la République du tribunal judiciaire dont vous dépendez en fournissant toutes les preuves en votre possession.
   Si vous êtes un particulier, vous pouvez être accompagné gratuitement dans cette démarche par une association de France Victimes au 116 006 (appel et service gratuits), numéro d’aide aux victimes du ministère de la Justice. Service ouvert 7 jours sur 7 de 9h à 19h.
   
   
7. Contactez votre banque pour vous faire rembourser. Certaines banques demandent la preuve du dépôt de plainte ou le récépissé Perceval pour instruire votre demande.
   
   
8. Signalez le message reçu et le site d’hameçonnage aux différents services décrits au chapitre précédent.
   
   
9. Pour être conseillé dans vos démarches, contactez la plateforme Info Escroqueries du ministère de l’Intérieur au 0 805 805 817 (appel et service gratuits). Le service est ouvert de 9h à 18h30 du lundi au vendredi.

Pour aller plus loin

Publication initiale : 03 février 2021

À lire aussi :

Au-delà de l’arnaque à la livraison de colis, les cybercriminels multiplient les tentatives d’escroquerie en lien avec le commerce en ligne, particulièrement lors des périodes promotionnelles. Fausses annonces ou promotions, fausses commandes, faux sites Internet marchands, hameçonnage (phishing) par SMS, téléphone ou courriel (email), faux service après-vente… Retrouvez nos 7 conseils pour éviter de vous faire escroquer.

A lire aussi

Le « Smishing » ou hameçonnage (phishing) par SMS

Voir l’actualité