Aller au contenu principal
Le SMS arrive avec une photo de votre colis, votre nom sur l’étiquette
Jusqu’au printemps, l’arnaque au colis se reconnaissait en trois secondes. Un SMS mal écrit, un lien raccourci, une demande de 1,99 € de frais de livraison. Depuis mars 2026, le message contient une photo. Un carton posé devant une porte, une étiquette lisible, et votre nom dessus. Depuis avril, certaines campagnes ajoutent un message vocal. Une voix de livreur, calme, qui explique qu’il est passé et vous demande de confirmer l’adresse via le lien. Elle est synthétique, et elle est convaincante.
Cette montée en gamme n’est pas un détail technique, c’est un changement d’échelle. L’hameçonnage représente désormais un tiers des demandes d’assistance reçues par Cybermalveillance.gouv.fr, en hausse de 71 % sur un an. Nous avions décrit le mécanisme de base lorsque le smishing a commencé à se répandre en France ; ce qui suit décrit ce qu’il est devenu, et pourquoi le code de vérification par SMS ne vous protège plus comme vous le croyez.
Le verdict en une phrase : le SMS n’est plus l’arnaque, c’est l’hameçon le vrai piège se referme quelques heures plus tard, au téléphone, avec un faux conseiller bancaire.
Les chiffres officiels, et ils sont mauvais
Le rapport d’activité de Cybermalveillance.gouv.fr donne la mesure du phénomène : plus de 504 000 demandes d’assistance en 2025, soit 20 % de plus que l’année précédente. Le classement des menaces visant les particuliers place l’hameçonnage très loin devant.
| Rang | Menace | Part ou volume | Évolution sur un an |
|---|---|---|---|
| 1 | Hameçonnage | 33 % des demandes | +71 % |
| 2 | Piratage de compte | 11 % | −2 % |
| 3 | Violation de données | 6,6 % | +107 % |
| 4 | Faux support technique | 5,9 % | +39 % |
| 5 | Cyberharcèlement | ~18 000 demandes | +134 % |
| 6 | Faux conseiller bancaire | ~15 000 demandes | +159 % |
| 7 | Virus informatiques | — | +8 % |
| 8 | Fraude au virement | ~13 000 demandes | +196 % |
| 9 | Fraude à la carte bancaire | — | +96 % |
| 10 | Usurpation de numéro | Marginale en volume | +517 % |
Trois lignes de ce tableau racontent la même histoire : hameçonnage, faux conseiller bancaire et fraude au virement progressent ensemble, parce qu’ils forment une chaîne unique. Le SMS ouvre la porte, l’appel téléphonique vide le compte.
Côté montants, la fraude au faux conseiller bancaire a coûté 380 millions d’euros en 2024, avec un virement frauduleux moyen d’environ 3 000 €. Sur le seul premier semestre 2025, les fraudes par manipulation ont atteint 245 millions d’euros, dont 71 % par virement.
Comment la photo du colis est fabriquée
C’est la partie que les articles de prévention ne traitent jamais, et c’est celle qui explique pourquoi l’image fonctionne si bien.
Le fraudeur ne prend aucune photo. Il dispose d’un jeu de données volées nom, prénom, adresse, parfois numéro client issues de fuites massives, et il génère l’image à la demande. Un modèle produit un carton générique posé sur un paillasson, et le nom est incrusté sur l’étiquette au moment de l’envoi. Le coût marginal par victime est proche de zéro, ce qui permet d’industrialiser la personnalisation.
La raison pour laquelle le cerveau tombe dans le piège est simple : une photo est traitée comme une preuve. Un texte se lit avec méfiance, une image se croit. Ajoutez un nom exact sur l’étiquette et la vérification mentale s’arrête là.
Ce qui trahit encore ces images, quand on prend le temps de regarder : la typographie de l’étiquette ne correspond à aucun format transporteur réel, le code-barres n’est pas scannable, le sol et l’ombre du carton ne concordent pas toujours, et le logo du transporteur est approximatif. Mais personne ne regarde une photo de colis à la loupe sur un écran de 6 pouces, à 19 h, en rentrant du travail.
La voix synthétique, l’étape d’après
Depuis avril, des campagnes ajoutent un message vocal joint au SMS ou laissé sur la messagerie. Quelques secondes d’audio suffisent aujourd’hui à produire une voix crédible, et il ne s’agit même pas d’imiter quelqu’un en particulier une voix générique de livreur pressé fait le travail.
L’effet recherché est le même que celui de la photo : déplacer le message du registre de l’écrit, où l’on se méfie, vers celui de l’humain, où l’on baisse la garde. C’est le même ressort que les techniques d’ingénierie sociale que nous avions détaillées à propos des méthodes employées par les pirates pour accéder aux données personnelles, appliqué à une échelle industrielle.
Le vrai piège n’est pas le SMS
C’est le point le plus important de ce dossier. Les 1,99 € réclamés ne sont pas l’objectif ils servent à récupérer les coordonnées bancaires et, surtout, à identifier une victime qui a mordu.
Quelques heures ou quelques jours plus tard arrive l’appel. Un interlocuteur se présente comme conseiller du service anti-fraude de votre banque. Il connaît votre nom, votre agence, parfois vos quatre derniers chiffres de carte et le montant du prélèvement suspect celui que vous venez d’autoriser. Il vous explique qu’une opération frauduleuse a été détectée, et qu’il faut sécuriser les fonds immédiatement.
Il ne vous demande jamais votre code. Il vous demande de valider vous-même les opérations dans votre application, ou de dicter le code reçu par SMS pour « annuler » le virement. Chaque validation transfère de l’argent. La conversation dure parfois une heure, et la victime coopère jusqu’au bout parce qu’elle croit se défendre.
La progression est visible dans les chiffres : +159 % de dossiers de faux conseiller bancaire et +196 % de fraude au virement en un an. Ce ne sont pas deux menaces distinctes, c’est le même scénario compté deux fois.
Pourquoi le code par SMS ne suffit plus
Le second facteur d’authentification envoyé par SMS repose sur une infrastructure ancienne, et il n’a jamais été conçu pour résister à ce type d’attaque. Deux failles jouent ici.
La première est technique : certains sites d’hameçonnage font désormais du relais en temps réel. Vous saisissez vos identifiants sur le faux site, le site les rejoue immédiatement sur le vrai, la banque envoie un code par SMS, vous le saisissez sur le faux site, et le fraudeur le réutilise dans la seconde. Le code est valide, l’opération passe.
La seconde est humaine, et elle est plus difficile à corriger : quand un interlocuteur crédible vous dit que le code sert à bloquer une fraude, vous le donnez. Le message d’avertissement de la banque est lu après coup, ou pas du tout.
La parade existe et elle est déjà déployée dans la plupart des banques françaises : la validation par application avec authentification biométrique, où l’écran affiche le montant et le bénéficiaire réels de l’opération. Le fraudeur ne peut pas modifier ce qui s’affiche. Encore faut-il lire cet écran avant de poser le pouce.
Les sept signaux qui trahissent la fraude
- Le numéro de l’expéditeur commence par 06 ou 07. Aucun transporteur n’envoie ses notifications depuis un mobile personnel.
- L’adresse du lien est raccourcie ou ne correspond pas au domaine officiel. Un caractère de différence suffit, et il est fait pour ne pas se voir.
- On vous demande un paiement par lien SMS. Les frais de douane réels se règlent sur le site du transporteur ou à la livraison, jamais via un lien reçu par message.
- Le message crée une urgence artificielle — colis en instance, retour à l’expéditeur sous 48 h, dernière tentative de livraison.
- Une photo du colis est jointe. C’est devenu un signal d’alerte à part entière : les transporteurs ne joignent pas de photo dans un SMS de notification.
- Vous n’attendez aucun colis. Évident, et pourtant : avec un achat en ligne par semaine, beaucoup de gens ne savent plus ce qu’ils attendent.
- Vous n’avez pas vérifié directement auprès du transporteur. Le suivi se consulte en tapant l’adresse du site à la main, jamais en cliquant.
Les marques usurpées le plus souvent : La Poste et Colissimo, Mondial Relay, DHL. Le rapport officiel note aussi une forte présence des faux avis de contravention imitant l’ANTAI, des fausses confirmations de commande aux couleurs d’Amazon, et une nouveauté apparue en 2025 puis en recul, l’arnaque au péage en flux libre.
La personnalisation, carburant de la nouvelle vague
Un point relevé par Cybermalveillance mérite l’attention : les messages contiennent de plus en plus d’éléments authentiques IBAN, BIC, plaque d’immatriculation, identifiant client. Ces données ne sont pas devinées, elles proviennent de fuites récentes.
Cela explique la troisième ligne du tableau : les violations de données ont progressé de 107 % en un an. Chaque fuite alimente la campagne d’hameçonnage suivante, et la crédibilité des messages augmente à chaque cycle. Un SMS qui cite votre plaque d’immatriculation dans un faux avis de contravention n’a plus rien d’un message de masse.
Conséquence pratique : la vieille règle « ils ne connaissent pas mes informations, donc c’est faux » ne fonctionne plus. Le fait qu’un interlocuteur connaisse vos données ne prouve plus rien.
Les autres campagnes en circulation
Le colis est la plus visible, elle n’est pas la seule. Le rapport officiel recense plusieurs scénarios actifs, et il vaut mieux les connaître avant de les recevoir.
| Campagne | Prétexte | Ce qui la trahit |
|---|---|---|
| Faux avis de contravention | Amende impayée, aux couleurs de l’ANTAI et d’Amendes.gouv.fr | Le paiement d’une amende ne se fait jamais par lien reçu en SMS. Certains messages citent votre plaque, ce qui ne prouve rien |
| Fausse confirmation de commande | Un achat que vous n’avez pas fait, aux couleurs d’Amazon, avec un numéro à rappeler pour annuler | Le rappel téléphonique est l’objectif : personne au bout du fil ne travaille chez Amazon |
| Péage en flux libre | Passage non réglé sur une autoroute sans barrière | Apparue en 2025 et en recul depuis, elle exploite un système que peu d’usagers maîtrisent encore |
| Impôts et assurance maladie | Remboursement à percevoir, mise à jour de dossier | Moins présente qu’auparavant, mais elle revient au rythme du calendrier fiscal |
| Chantage à la webcam | Menace de diffusion d’images intimes, parfois avec accusation de consultation de contenus pédopornographiques | Aucune image n’existe. Certaines campagnes réclament désormais une copie de pièce d’identité en amont |
| « Bonjour, vous êtes chez vous ? » | Message anodin sans lien, souvent via iMessage, pour engager la conversation | L’absence de lien est justement la nouveauté : le but est de vous faire répondre, puis de basculer sur un appel |
Cette dernière ligne mérite d’être soulignée. Les campagnes les plus récentes suppriment le lien, précisément parce que les filtres et les réflexes des utilisateurs se sont améliorés. Un message sans lien ne déclenche aucune alerte et n’a plus qu’un objectif : obtenir une réponse, qui identifie un numéro actif et attentif.
Protéger un proche moins à l’aise
Les personnes âgées ne sont pas les seules ciblées, mais elles perdent davantage quand elles le sont, et elles préviennent plus tard. Trois réglages valent mieux qu’un long discours : activer la validation bancaire par application avec biométrie plutôt que par SMS, plafonner les virements sortants depuis l’espace client, et convenir d’une règle simple aucun appel se disant « de la banque » ne se traite pendant l’appel, on raccroche et on rappelle le numéro au dos de la carte.
Le point de vigilance, pour un aidant : la honte. Une part importante des victimes ne signale rien parce qu’elles s’estiment fautives d’avoir cru au scénario. Or ces montages sont conçus par des professionnels et fonctionnent sur des gens parfaitement lucides. Le dire à l’avance fait gagner les heures qui comptent pour l’opposition.
Ce que la loi a changé, et ce qui arrive
| Mesure | Depuis quand | Ce que ça change |
|---|---|---|
| Loi Naegelen | Octobre 2024 | Blocage automatique des appels dont le numéro n’est pas authentifié vise l’usurpation de numéro, en hausse de 517 % |
| Vérification obligatoire de l’IBAN | Octobre 2025 | Le nom du bénéficiaire est contrôlé face à l’IBAN avant validation d’un virement |
| Fichier des comptes signalés | Annoncé pour mai 2026 | Doit permettre de repérer les comptes ayant déjà servi à des fraudes |
| Signalement au 33700 | En place | Transférer le SMS frauduleux au 33700, gratuitement, alimente le blocage des numéros |
Ces dispositifs s’attaquent à la couche téléphonique et bancaire. Aucun ne traite la couche qui progresse le plus vite : la crédibilité du message, désormais produite à coût quasi nul.
Que faire si vous avez cliqué
Vous avez seulement ouvert le lien sans rien saisir. Le risque est faible. Fermez la page, ne saisissez rien, et signalez le SMS au 33700 en le transférant.
Vous avez saisi vos coordonnées bancaires. Appelez immédiatement votre banque au numéro figurant au dos de votre carte — jamais celui reçu par message — et faites opposition. Attendez-vous à recevoir un appel de « votre banque » dans les heures qui suivent : c’est le fraudeur. Une banque ne vous demandera jamais de valider une opération pour en annuler une autre.
Vous avez validé une opération. Opposition immédiate, puis dépôt de plainte. La banque doit rembourser les opérations non autorisées, mais elle oppose souvent la négligence grave lorsque la victime a validé elle-même. Le dépôt de plainte et la chronologie précise des événements sont ce qui fait basculer les dossiers.
Dans tous les cas. Changez le mot de passe de la boîte mail associée au compte bancaire, activez l’authentification par application plutôt que par SMS, et signalez sur cybermalveillance.gouv.fr, qui oriente vers les démarches et les prestataires selon le cas.
Questions fréquentes
Le SMS avec une photo de colis est-il une arnaque ?
Oui, dans la quasi-totalité des cas. Les transporteurs ne joignent pas de photo du colis dans leurs SMS de notification. Depuis mars 2026, ces images sont générées automatiquement, avec le nom de la victime incrusté sur l’étiquette à partir de données issues de fuites.
Comment reconnaître un faux SMS de livraison ?
Numéro expéditeur en 06 ou 07, lien raccourci ou domaine approximatif, demande de paiement par lien, urgence artificielle, photo du colis jointe, et aucun colis réellement attendu. Le suivi se vérifie en tapant l’adresse du transporteur à la main, jamais en cliquant.
Que se passe-t-il si je paie les 1,99 € demandés ?
Le prélèvement n’est pas l’objectif. Il sert à récupérer vos coordonnées bancaires et à vous identifier comme victime réceptive. L’appel du faux conseiller bancaire arrive ensuite, dans les heures ou les jours suivants, et c’est lui qui vide le compte — avec un virement moyen d’environ 3 000 €.
Le code de sécurité reçu par SMS protège-t-il vraiment ?
Plus autant. Certains sites d’hameçonnage relaient les identifiants en temps réel vers le vrai site bancaire et réutilisent le code dans la seconde. La validation par application avec biométrie, qui affiche le montant et le bénéficiaire réels, offre une protection nettement supérieure.
Comment signaler un SMS frauduleux en France ?
En le transférant gratuitement au 33700, ce qui alimente le blocage des numéros utilisés. Pour un préjudice financier, s’ajoutent l’opposition auprès de la banque, le dépôt de plainte et le signalement sur cybermalveillance.gouv.fr.
Pourquoi les arnaqueurs connaissent-ils mes informations personnelles ?
Parce qu’elles proviennent de fuites de données, dont les signalements ont progressé de 107 % en un an. Les messages intègrent désormais IBAN, BIC, plaques d’immatriculation ou identifiants clients authentiques. Le fait qu’un interlocuteur connaisse vos données ne prouve plus qu’il est légitime.
Ma banque doit-elle me rembourser en cas de fraude ?
Elle doit rembourser les opérations non autorisées. La difficulté apparaît quand la victime a validé elle-même les opérations, la banque invoquant alors la négligence grave. Le dépôt de plainte et une chronologie précise des échanges sont déterminants dans ces dossiers.
Verdict
L’hameçonnage par SMS a franchi un seuil en 2026. Tant qu’il fallait écrire un message crédible, le volume limitait la qualité. Depuis que l’image et la voix se produisent à la demande pour quelques centimes, la personnalisation de masse est devenue possible et les vieux réflexes de détection, fautes d’orthographe et formulations bizarres, ne servent plus à grand-chose.
Ce qui reste valable tient en deux gestes, et ils n’ont pas changé. Ne jamais cliquer sur un lien reçu par message : taper l’adresse du transporteur ou de la banque à la main prend dix secondes et annule l’attaque entière. Et considérer tout appel entrant se présentant comme votre banque comme frauduleux par défaut : raccrocher, puis rappeler soi-même le numéro figurant au dos de la carte.
Le reste la photo du colis, la voix du livreur, la connaissance de votre IBAN est du décor. Sophistiqué, bon marché, et conçu pour vous faire sauter ces deux gestes-là.
Par Antoine - Daily Geek Show, le
Étiquettes: inteligence-artificielle, arnaque téléphonique
Catégories: Dossiers, Société, Robots & IA