"Colis retenu" : le faux SMS de Correos et autres arnaques aux colis

« Correos : votre colis n'a pas pu être livré en raison d'un affranchissement manquant. Réglez le paiement (1,68 €) ici. » Et un lien. Ce SMS, envoyé au nom de Correos, DHL, UPS, FedEx ou Seur selon la vague, est l'une des campagnes de smishing les plus persistantes en Espagne. Elle fonctionne parce que presque tout le monde achète en ligne et que presque tout le monde a un colis en route à un moment donné : le message tombe en terrain fertile.

Le montant est volontairement ridicule. L'objectif n'a jamais été d'encaisser ces deux euros : c'est de vous faire saisir les coordonnées complètes de votre carte sur un faux site imitant l'entreprise de livraison, et parfois aussi le code de confirmation que vous recevez ensuite, pour effectuer des débits plus importants.

Pourquoi ça marche même si vous n'attendez aucun colis

Les escrocs ne savent pas si vous attendez une commande. Ils n'en ont pas besoin :

• Le volume. Ils envoient le même SMS à des milliers de numéros. Avec le commerce électronique actuel, un pourcentage élevé de destinataires a effectivement quelque chose en route ou en a eu un récemment, et le message colle.
• Un montant anodin. Un ou deux euros ne déclenchent aucune alarme. Personne ne « vérifie » un paiement de 1,68 € comme il vérifierait un paiement de 300.
• L'urgence et zéro friction. « Payez maintenant et recevez-le demain » pousse à régler ça sur le moment, depuis son mobile, sans prendre le temps de regarder l'expéditeur ni le domaine.
• Le déguisement tournant. Quand une marque est grillée (les gens préviennent que « ce SMS de Correos est faux »), la campagne passe à un autre transporteur. Le squelette est toujours le même que celui du faux SMS d'amende de la DGT : entité connue + dossier en attente + urgence + lien de paiement.

Comment reconnaître le faux SMS

Aucun de ces signaux n'est à lui seul définitif, mais ensemble ils constituent un diagnostic assez fiable :

• Il demande de payer des frais via un lien. Les entreprises de livraison ne gèrent pas les paiements de douane ou d'affranchissement via un lien dans un SMS inattendu. Les vrais frais de douane sont communiqués par des canaux traçables, avec la documentation de l'envoi.
• Le lien n'est pas le domaine officiel. Des domaines avec des tirets en trop (« correos-envios », « dhl-paquete », « seur-seguimiento ») ou des extensions bizarres. Sur l'écran du mobile, dans la précipitation, ça passe ; regardez calmement et ça saute aux yeux.
• Aucun numéro de suivi réel mentionné. Le faux SMS parle de « votre colis » en termes génériques parce qu'il ne sait pas lequel c'est. Un avis légitime inclut le numéro de suivi, et ce numéro correspond à celui que la boutique vous a donné.
• Expéditeur variable. Parfois un simple mobile, parfois un nom qui imite l'entreprise. L'expéditeur d'un SMS peut être falsifié : il ne prouve rien.
• Fautes de style. Traductions maladroites, majuscules bizarres, urgence exagérée (« dernier avis avant retour du colis »). Les vraies entreprises écrivent mieux que ça.

Comment vérifier un envoi réel

La méthode est toujours la même, et elle vaut pour toutes les entreprises :

1. Ne cliquez pas sur le lien du SMS. Fermez-le.
2. Ouvrez vous-même le canal officiel : l'application de la boutique où vous avez acheté, l'e-mail de confirmation de commande, ou le site officiel du transporteur en tapant vous-même l'adresse.
3. Saisissez-y votre numéro de suivi. S'il y a un vrai problème (douane, adresse incomplète, tentative de livraison), il apparaîtra dans le suivi officiel. Si rien n'apparaît, le SMS était faux.

Cette séquence (fermer le message, aller soi-même sur le canal officiel) est la même que celle que nous recommandons pour vérifier un appel ou un SMS de votre banque et pour vérifier une notification des impôts ou de la Sécurité sociale. C'est l'habitude qui coupe le plus d'arnaques à la racine.

Que faire si vous avez déjà saisi votre carte

• Appelez votre banque immédiatement, racontez ce qui s'est passé et demandez à bloquer la carte et à en émettre une nouvelle. C'est la mesure qui règle le problème d'un coup.
• Si vous avez aussi saisi un code de confirmation reçu par SMS, dites-le également à la banque : une opération a peut-être déjà été autorisée.
• Surveillez les débits des semaines suivantes et activez les notifications de mouvements dans l'application de votre banque. Les débits frauduleux n'arrivent pas toujours tout de suite.
• Portez plainte avec des captures du SMS et du lien. Le 017 de l'INCIBE est gratuit si vous avez besoin d'aide.
• Signalez le numéro expéditeur dans l'annuaire des numéros spam.

Questions rapides

Et si j'attends vraiment un colis et que le SMS correspond ? La coïncidence ne vérifie rien : avec autant de commandes en circulation, tomber juste par hasard est facile. Vérifiez toujours par le canal officiel avec votre numéro de suivi. Ça prend une minute et ça lève complètement le doute.

Les entreprises de livraison envoient-elles de vrais SMS ? Oui, certaines envoient des avis de livraison ou d'échec de livraison. La différence, c'est que le vrai avis ne vous demande pas de payer via un lien : il vous renvoie vers son application ou son site officiel, mentionne votre numéro de suivi et ne vous bouscule pas avec des menaces de retour immédiat.

Est-ce pareil sur WhatsApp ou par e-mail ? Oui, le même appât circule sur WhatsApp, par e-mail et même via des QR codes sur de fausses étiquettes. Le canal change ; la défense, non : ne payez jamais depuis un lien reçu, vérifiez toujours vous-même par le canal officiel.

Si vous avez reçu l'un de ces messages, signalez-le dans l'annuaire des numéros de NoCall : ces campagnes réutilisent les mêmes numéros pendant des jours, et votre signalement est l'avertissement que la prochaine personne verra avant de saisir sa carte.