Le message tombe un mardi à 11 h 12 :
« Bonjour Marie, votre colis n°FR-4471209 n'a pas pu être remis au 14 rue des Lilas (bât. B). Choisissez un nouveau créneau : suivi-relais-colis.net/fr »
Votre prénom. Votre rue. Votre bâtiment. Un numéro de suivi qui ressemble à s'y méprendre à ceux que vous recevez vraiment. À ce stade, la question que se posent la plupart des gens n'est plus « est-ce une arnaque ? » mais « comment savent-ils ? ».
C'est exactement le déplacement que les escrocs ont cherché à produire. Pendant des années, le SMS d'arnaque à la livraison était un filet lancé au hasard : « Votre colis est en attente », envoyé à des millions de numéros, avec l'espoir statistique que quelques-uns attendaient effectivement quelque chose. En 2026, ce n'est plus un filet. C'est un tir ciblé, nourri par des données personnelles bien réelles. Et comprendre d'où elles viennent change complètement la façon de se défendre.
Le basculement : du message générique au message documenté
Il faut mesurer l'écart. Un SMS générique convertit peu — les estimations des acteurs de la lutte antifraude tournent autour de quelques dixièmes de pour cent de clics. Un SMS qui cite votre nom et votre adresse exacte fait bondir ce taux, parce qu'il court-circuite le seul réflexe de défense que la plupart d'entre nous avons appris : « si le message ne me connaît pas, c'est un faux ».
Ce raccourci mental n'a jamais été un critère fiable. Il l'est encore moins aujourd'hui. La Commission nationale de l'informatique et des libertés (CNIL) recense chaque année plusieurs milliers de notifications de violations de données personnelles en France, dont une part significative concerne des fichiers clients comportant nom, adresse postale, adresse e-mail et numéro de mobile. Ces quatre champs suffisent à fabriquer un SMS de livraison crédible.
Autrement dit : la personnalisation ne prouve rien. Elle prouve seulement que quelqu'un, quelque part, détient une ligne de base de données vous concernant. Ce qui, statistiquement, est désormais vrai pour la quasi-totalité des adultes français.
D'où viennent vraiment ces données ? Cinq canaux
1. Les brèches chez les commerçants et les transporteurs
C'est la source la plus abondante. Un site de e-commerce, une plateforme de billetterie, une enseigne de bricolage, un service de livraison de repas : chacun conserve des fichiers clients contenant précisément ce qu'il faut. Lorsqu'une intrusion survient, ces fichiers partent en bloc.
La spécificité des transporteurs et des marchands est cruelle : leurs données contiennent le contexte de livraison. Pas seulement votre adresse, mais aussi l'existence d'une commande, sa date, parfois le nom de l'enseigne. C'est ce qui permet au SMS de mentionner « votre colis Décathlon » plutôt qu'un vague « votre colis ».
2. Les agrégateurs et revendeurs de fichiers
Entre la brèche et le SMS, il existe une industrie intermédiaire. Des acteurs achètent, recoupent et enrichissent des bases : ils croisent un fichier contenant nom + e-mail avec un autre contenant e-mail + téléphone, et obtiennent un enregistrement complet. Ce travail de rapprochement explique pourquoi des données volées en 2023 peuvent produire un SMS parfaitement à jour en 2026 : votre adresse, elle, n'a probablement pas changé.
3. Ce que vous publiez vous-même
Une annonce de vente avec le quartier indiqué, un avis Google signé de votre prénom et de votre nom, un profil professionnel mentionnant votre ville, une photo de boîte aux lettres postée sans y penser. Pris isolément, chaque élément est anodin. Assemblés, ils constituent un profil.
4. Les étiquettes de colis jetées telles quelles
C'est le canal le plus sous-estimé et, ironiquement, le plus facile à couper. Une étiquette d'expédition comporte votre nom complet, votre adresse exacte, souvent votre numéro de téléphone et un code-barres contenant le numéro de suivi. Jetée intacte dans un local à poubelles ou un conteneur de recyclage, elle est lisible par n'importe qui.
Un petit destructeur de documents à coupe croisée posé à côté de la poubelle règle la question en trois secondes par colis. À défaut, un simple marqueur oblitérant opaque passé sur l'étiquette avant de la jeter suffit largement pour le tout-venant.
5. Le démarchage « légal » mal cadré
Tous les fichiers ne sont pas volés. Certains circulent par le biais de consentements obtenus dans des conditions douteuses : cases pré-cochées, jeux-concours, formulaires de « devis gratuit ». La donnée est ensuite cédée à des partenaires, puis à des partenaires de partenaires. À la cinquième revente, plus personne ne contrôle qui l'exploite.
Ce que le SMS demande réellement (et pourquoi c'est rarement 1,50 €)
Le scénario le plus répandu réclame une somme dérisoire : 1,49 €, 2,30 €, « frais de réacheminement ». Ce montant n'est pas l'objectif. Il sert à trois choses :
- Obtenir un numéro de carte bancaire complet, avec date d'expiration et cryptogramme.
- Valider que la carte est active, grâce à une micro-transaction qui passe sans éveiller de soupçon.
- Amorcer la suite, c'est-à-dire l'appel téléphonique d'un faux conseiller bancaire qui, quelques jours plus tard, vous demandera de « bloquer une opération suspecte ».
La Banque de France, dans ses travaux sur la fraude aux moyens de paiement, souligne depuis plusieurs exercices la progression des escroqueries dites « par manipulation » — celles où la victime réalise elle-même l'opération, persuadée d'agir pour se protéger. Le SMS de livraison n'est souvent que la première brique de cet édifice.
Une variante plus récente ne demande aucun paiement du tout : elle propose de « reprogrammer la livraison » via une application à installer. L'application est un logiciel malveillant qui lit les SMS entrants — donc les codes de validation bancaire. Aucune carte saisie, aucun paiement visible, et pourtant le compte se vide.
Les six signaux qui trahissent le faux, même bien renseigné
| Signal | Ce qu'il faut regarder |
|---|---|
| Le domaine du lien | Le vrai transporteur utilise son propre domaine. laposte.fr, pas laposte-suivi-fr.co ni lapostefr.info |
| La demande de paiement | Aucun transporteur français ne réclame de frais par SMS pour une seconde présentation |
| L'urgence chiffrée | « Sous 24 h », « dernier avis avant retour » : la pression temporelle est un marqueur |
| Le canal de réponse | Un vrai suivi se vérifie dans l'application ou sur le site, jamais via le lien reçu |
| L'orthographe de l'adresse | Les données revendues sont souvent légèrement dégradées : accents manquants, abréviations bizarres |
| L'expéditeur | Numéro mobile français en 06/07 pour une notification automatisée : anomalie |
Ce dernier point mérite une nuance importante : l'absence d'anomalie ne prouve rien non plus. Les techniques d'usurpation d'expéditeur permettent d'afficher un nom de marque crédible. Le seul test véritablement fiable reste celui-ci : ne jamais partir du message, toujours repartir de la source. Vous ouvrez vous-même l'application du transporteur, ou vous tapez vous-même l'adresse du site dans le navigateur.
Vérifier si vos données circulent déjà
Vous ne pourrez pas reprendre ce qui a fuité, mais vous pouvez savoir à quel point vous êtes exposé — et donc calibrer votre vigilance.
Les services de vérification de brèches. Des outils indépendants permettent de saisir une adresse e-mail et d'obtenir la liste des fuites connues la contenant. Certains acceptent aussi le numéro de téléphone. Si votre adresse apparaît dans cinq incidents, considérez que votre nom et votre adresse postale circulent également.
Les alertes de votre banque. Activez les notifications pour toute opération, y compris les montants inférieurs à 5 €. La plupart des établissements le proposent gratuitement dans les réglages de leur application. C'est le meilleur détecteur de micro-transaction test.
Le droit d'accès prévu par le RGPD. Vous pouvez écrire à toute entreprise pour lui demander quelles données elle détient sur vous, d'où elle les tient et à qui elle les a transmises. La réponse est due sous un mois. La CNIL met à disposition des modèles de courrier sur son site. Cet exercice, fastidieux, a un effet secondaire utile : il permet de faire supprimer votre fiche chez des acteurs dont vous aviez oublié l'existence.
Bloctel et l'opposition au démarchage. L'inscription sur la liste d'opposition au démarchage téléphonique ne stoppe pas les escrocs — ils ignorent la loi par définition — mais elle réduit le bruit de fond légal et rend les messages suspects plus visibles.
Réduire la surface d'exposition, concrètement
Il n'existe pas de bouton « effacer mes données d'internet ». Il existe en revanche une série de gestes qui, cumulés, diminuent réellement la quantité d'informations disponibles sur vous.
Cloisonner les identités. Utilisez une adresse e-mail dédiée aux achats en ligne, distincte de votre adresse principale. Plusieurs fournisseurs proposent des alias jetables : si un alias commence à recevoir du spam, vous savez exactement quel marchand a laissé fuiter votre fiche.
Envisager un second numéro. Une carte SIM prépayée dédiée aux inscriptions, livraisons et petites annonces isole votre numéro principal. Le jour où ce numéro secondaire est noyé sous les SMS frauduleux, vous le remplacez sans perdre vos contacts ni vos comptes.
Limiter les données données. À la commande, le champ « complément d'adresse » n'a pas besoin de contenir « 3e étage, porte gauche, code 4512B ». Le numéro de téléphone est parfois facultatif : quand il l'est, laissez-le vide.
Préférer les points relais quand c'est possible. Votre adresse personnelle ne circule alors pas dans la chaîne logistique.
Détruire les supports physiques. Étiquettes, bons de livraison, relevés, courriers d'assurance. Un destructeur de documents à coupe croisée n'est pas un gadget : c'est le seul équipement qui traite la partie hors ligne du problème.
Filtrer au niveau du téléphone. Les systèmes mobiles récents savent trier les expéditeurs inconnus dans un onglet séparé et signaler les messages suspects. Sur Android comme sur iOS, cette option existe dans les réglages de l'application Messages. Elle ne bloque pas tout, mais elle casse l'effet de surprise.
Si vous avez cliqué : la séquence des trente premières minutes
Cliquer n'est pas fatal. Saisir ses données l'est davantage. Voici l'ordre des priorités.
- N'utilisez plus le site ouvert. Fermez l'onglet. Ne « corrigez » pas une saisie, ne tentez pas de vous « désinscrire ».
- Si des données bancaires ont été saisies, appelez immédiatement le numéro d'opposition figurant au dos de votre carte ou dans votre application bancaire — jamais un numéro reçu par message. Faites mettre la carte en opposition.
- Si une application a été installée, coupez les données mobiles et le Wi-Fi, puis désinstallez-la. En cas de doute sur une infection persistante, la réinitialisation aux paramètres d'usine reste la solution la plus sûre.
- Changez les mots de passe des comptes dont les identifiants ont pu transiter, en commençant par la messagerie. Un gestionnaire de mots de passe évite de réutiliser la même combinaison partout et accélère considérablement cette étape.
- Signalez le message au 33700, le dispositif national de signalement des SMS indésirables, en transférant le texte puis le numéro de l'expéditeur. C'est gratuit et cela alimente le travail de blocage des opérateurs.
- Signalez l'incident sur Cybermalveillance.gouv.fr et, en cas de préjudice financier, déposez plainte. La pré-plainte en ligne existe pour les escroqueries sans auteur identifié.
- Surveillez vos relevés pendant plusieurs mois. Les données volées sont parfois exploitées avec des semaines de décalage.
À retenir : en matière de fraude par SMS, le droit français est du côté de la victime. L'article L.133-18 du Code monétaire et financier impose à la banque de rembourser une opération de paiement non autorisée, sauf négligence grave du client. Le débat porte précisément sur cette notion de négligence — d'où l'importance de conserver les preuves : captures d'écran du SMS, horodatage, échanges avec la banque.
Ce qui change avec l'IA — et ce qui ne change pas
Les rédactions spécialisées ont documenté en 2026 des campagnes utilisant des visuels générés par intelligence artificielle : la fausse photo du colis « déposé devant votre porte », adaptée au type d'habitat. La faute d'orthographe comme indice de fraude appartient au passé, et l'image ne fait plus foi.
Ce qui ne change pas, en revanche, c'est la structure de l'escroquerie. Elle a toujours besoin de trois choses : que vous cliquiez sur un lien qu'elle vous fournit, que vous saisissiez quelque chose de valeur, et que vous le fassiez vite. Supprimez l'une des trois et l'attaque échoue, quel que soit son degré de sophistication.
C'est pourquoi les règles solides ne portent pas sur l'apparence du message — qui deviendra parfaite — mais sur le chemin emprunté. Repartir de la source. Vérifier dans l'application. Rappeler un numéro que l'on est allé chercher soi-même. Ces réflexes fonctionnent aussi bien face à un SMS bourré de fautes que face à un message impeccable citant votre adresse au numéro près.
Un guide grand public sur la cybersécurité domestique, posé sur une étagère et feuilleté en famille, vaut souvent mieux qu'une alerte lue en diagonale : ce sont les habitudes partagées, pas les connaissances individuelles, qui protègent un foyer.
Pour aller plus loin
- Cybermalveillance.gouv.fr : fiches réflexes sur l'hameçonnage et signalement des incidents.
- CNIL : modèles de courriers pour exercer vos droits d'accès, de rectification et d'effacement.
- 33700 : signalement gratuit des SMS et appels indésirables, opéré avec les opérateurs français.
- Banque de France / Observatoire de la sécurité des moyens de paiement : rapports annuels sur la fraude, utiles pour comprendre les tendances.
- Signal Conso (DGCCRF) : pour signaler un marchand ou une pratique commerciale douteuse.
Le SMS qui connaît votre nom n'est pas le signe que vous avez été personnellement ciblé. Il est le signe que vos coordonnées figurent dans un fichier parmi des millions d'autres. La bonne nouvelle, si l'on peut dire, c'est que cette banalité vous concerne au même titre que vos voisins — et que les gestes de protection, eux, restent à la portée de chacun.
