C'est l'arnaque la plus répandue en France, et elle tient sa réussite d'un détail de conception : le montant demandé est ridicule.
Un ou deux euros de « frais de douane », de « réexpédition » ou de « mise à jour d'adresse ». Une somme trop faible pour qu'on prenne le temps de vérifier — et c'est exactement le but. Elle ne sert pas à vous voler deux euros : elle sert à obtenir votre numéro de carte.
Ce que vous risquez dépend entièrement de ce que vous avez saisi.
Vous avez seulement ouvert la page
Rien de grave. Fermez, supprimez le message, ne revenez pas dessus.
Sachez simplement que votre numéro est désormais marqué comme actif : vous recevrez davantage de tentatives dans les semaines qui viennent. Désagréable, sans danger tant que vous ne répondez pas.
Vous avez payé les « frais »
C'est le cas le plus fréquent, et il y a deux conséquences distinctes.
Le débit de 1,99 € n'est pas le problème. C'est un test de validité de la carte.
Le vrai problème est ce qui suit. Vos coordonnées bancaires complètes sont maintenant entre leurs mains, et deux choses peuvent arriver :
- Un abonnement récurrent discret, souvent entre 30 et 60 € par mois, sur un service fictif. C'est le modèle économique réel de cette arnaque, et il passe inaperçu pendant des mois chez beaucoup de victimes.
- Une revente des données, avec un débit qui peut survenir bien plus tard.
À faire :
- Opposition immédiate — application bancaire, numéro au dos de la carte, ou 0 892 705 705. C'est ce qui coupe l'abonnement à la racine. Le détail des canaux est dans notre article sur l'opposition.
- Relisez vos trois derniers relevés, ligne par ligne. Cherchez les petits montants récurrents avec des libellés vagues.
- Contestez tous les débits auprès de votre banque, y compris les anciens : vous avez treize mois.
- Signalez sur [Perceval](https://www.service-public.gouv.fr/particuliers/vosdroits/R46526) et portez plainte.
Vous avez saisi des identifiants
Certaines variantes demandent de « se connecter à son espace client » La Poste, Colissimo ou Chronopost. Si vous avez réutilisé un mot de passe que vous employez ailleurs — et surtout celui de votre messagerie — changez-le partout, sans attendre.
Si ce sont vos identifiants bancaires que vous avez saisis, c'est un autre sujet, traité dans notre article dédié.
Vous avez installé une application
Certaines campagnes, surtout sur Android, proposent d'installer une « application de suivi ». C'est le scénario le plus sérieux : coupez la connexion, désinstallez, et faites examiner l'appareil. Ne vous connectez à rien depuis ce téléphone en attendant.
Comment reconnaître le vrai du faux, la prochaine fois
Trois signes qui ne trompent pas :
Le domaine. Un vrai SMS de La Poste renvoie vers laposte.fr. Les faux utilisent laposte-suivi-colis.info, laposte-colis.net, suivi-laposte.com. Ce qui compte est ce qui précède immédiatement le premier `/` — tout le reste peut être maquillé.
La demande de paiement. Les transporteurs français ne réclament pas de frais par SMS avec un lien de paiement. Des frais de douane réels se règlent au moment de la livraison ou via l'espace officiel du transporteur.
Le colis que vous n'attendez pas. La question la plus efficace est aussi la plus simple : ai-je réellement commandé quelque chose ? L'arnaque fonctionne par volume — elle touche forcément des gens qui attendent un colis, mais pas vous, pas forcément aujourd'hui.
Le réflexe à garder
On suit un colis depuis l'application du transporteur, jamais depuis le lien du SMS.
Ouvrez l'application La Poste, Chronopost ou celle du site marchand, et cherchez votre numéro de suivi. Si le colis existe, il y est. S'il n'y est pas, le SMS était faux.
Ce réflexe ne demande aucune analyse du message, aucune évaluation du domaine, aucune compétence technique. Il rend simplement le lien inutile — et sans lien cliqué, l'arnaque n'existe pas.
Sauriez-vous repérer le prochain ? Notre test anti-phishing gratuit commence justement par un faux SMS de colis. Une minute, sans compte.