« Frais de douane de 2,99 € à régler » : pourquoi le faux SMS de dédouanement marche si bien

« Votre colis GLS-FR a été retenu au centre de tri : des frais de dédouanement de 2,99 € restent impayés. Réglez avant 48 h pour éviter le retour à l'expéditeur : gls-regularisation-fr[.]top »

Martine, 61 ans, à Angers, attendait effectivement deux colis : une paire de chaussures commandée sur une marketplace et un cadeau d'anniversaire expédié par sa fille. Elle a payé les 2,99 € sans hésiter — le montant était tellement dérisoire qu'elle ne s'est même pas demandé s'il était justifié. Onze jours plus tard, son relevé affichait trois prélèvements de 59,90 € au profit d'un « service d'abonnement » domicilié à Chypre. Les 2,99 € n'avaient jamais été le sujet.

C'est tout le génie de cette arnaque, et c'est pour cela qu'elle survit depuis des années alors que tout le monde croit la connaître : elle n'essaie pas de vous voler de l'argent, elle essaie d'obtenir que vous tapiez vous-même vos seize chiffres sur un clavier. Le prix d'entrée est volontairement ridicule parce qu'un montant ridicule désactive la méfiance.

Pourquoi le colis est le prétexte le plus rentable de France

Statistiquement, vous attendez presque toujours quelque chose

C'est la base du système. Le faux SMS de livraison n'a pas besoin de connaître vos commandes : il joue sur les probabilités. Avec plus de 1,5 milliard de colis livrés chaque année en France selon les chiffres de l'Arcep sur le marché du colis, un adulte connecté a de bonnes chances d'avoir un envoi en cours à n'importe quel moment du mois — et quasi certainement entre octobre et janvier.

L'escroc envoie son message à des centaines de milliers de numéros. Il lui suffit que quelques pourcents des destinataires soient en attente d'un colis au moment précis où le SMS arrive. Pour ceux-là, le message ne ressemble pas à une arnaque : il ressemble à une explication.

Le transporteur est flou, et c'est volontaire

Vous avez probablement remarqué que ces SMS citent rarement le bon transporteur. C'est parce que, dans l'écosystème du e-commerce, personne ne sait vraiment qui livre quoi. Vous commandez sur une marketplace, le vendeur expédie via un intermédiaire, qui sous-traite le dernier kilomètre à un prestataire local dont vous n'avez jamais entendu le nom. Recevoir un SMS d'un transporteur inconnu est devenu banal.

Les noms exploités tournent en permanence : La Poste, Colissimo, Chronopost, Mondial Relay, DPD, GLS, UPS, DHL, Evri, et depuis 2025-2026 des noms totalement inventés qui sonnent « logistique » (« EuroParcel », « FR-Logistics », « ColisExpress24 »). Un nom inconnu ne vous alerte plus. C'est exactement l'effet recherché.

Les douanes sont une zone grise pour presque tout le monde

Depuis la fin de la franchise de TVA sur les petits colis importés et les débats européens sur les frais applicables aux plateformes extra-européennes, l'idée qu'« il faut payer quelque chose à la douane pour un colis venu de l'étranger » est entrée dans les têtes. Et pour une fois, ce n'est pas faux : des frais existent réellement.

La Direction générale des douanes et droits indirects (DGDDI) le rappelle sur son site : les droits et taxes sur les envois en provenance de pays tiers sont collectés par le transporteur ou par la Poste, dans le cadre de la livraison, jamais par un SMS avec lien envoyé par un expéditeur inconnu. Mais entre « c'est faux » et « c'est plausible », l'escroc n'a besoin que de plausible.

Le vrai objectif : la carte bancaire, pas les 2,99 €

Pourquoi un si petit montant

Un montant élevé déclenche une réflexion. Un montant à deux chiffres après la virgule déclenche un réflexe. Trois mécanismes se superposent :

• Le montant inférieur au seuil de douleur. Payer 2,99 € ne « coûte » rien psychologiquement : même si c'est une erreur, ce n'est pas grave. Le cerveau arbitre en faveur de la tranquillité.
• La cohérence narrative. Des frais de dédouanement de 300 € sur une paire de chaussures sonneraient faux. 2,99 €, c'est pile le montant d'une taxe administrative crédible.
• Le paiement comme preuve de vie de la carte. Une micro-transaction qui passe valide trois choses pour le fraudeur : la carte est active, le plafond est disponible, et le titulaire valide les paiements sans trop regarder.

Ce qui est réellement capté sur la fausse page

Le formulaire de paiement est le cœur du dispositif. Il demande systématiquement plus qu'un vrai règlement de 2,99 € n'en aurait besoin :

Donnée demandée	Usage réel par le fraudeur
Numéro à 16 chiffres, date, CVV	Paiements en ligne, revente du « kit carte »
Nom, adresse complète	Contournement des contrôles AVS, crédibilité des appels suivants
Numéro de téléphone	Appel au faux conseiller bancaire dans les minutes qui suivent
Banque et identifiants	Prise de contrôle de l'espace client
Code reçu par SMS (3-D Secure)	Validation d'une opération bien plus grosse que 2,99 €

C'est ce dernier point qui fait la différence entre une arnaque à 3 € et une arnaque à 3 000 €. La page affiche « Confirmation du paiement de 2,99 € — saisissez le code reçu par SMS ». Le code, lui, a été émis par votre vraie banque pour une opération dont vous ne voyez pas le montant : un abonnement récurrent, un ajout de la carte dans un portefeuille mobile, ou une recharge de compte de paiement.

Les trois sorties possibles après le clic

1. L'abonnement caché. La carte est inscrite à un « service premium » à 39 €, 49 € ou 59 € par mois, basé à l'étranger, avec des conditions générales en police minuscule. Le prélèvement n'apparaît qu'au bout de quelques semaines.
2. La revente du jeu de données. Vos informations partent sur un marché où elles sont achetées par lots. Le débit peut survenir des mois plus tard, ce qui rend le lien avec le SMS presque impossible à faire.
3. L'escalade par téléphone. Un « conseiller de votre banque » vous appelle sous 48 h, mentionne votre vrai prénom, votre vraie banque et un « prélèvement suspect de 2,99 € », et vous fait valider des virements « d'annulation ». C'est le scénario le plus coûteux.

Repérer le faux en douze secondes

Regardez le domaine, pas le nom affiché

Le seul élément impossible à falsifier proprement reste l'adresse du site. Les vrais transporteurs utilisent des domaines simples et courts : laposte.fr, chronopost.fr, mondialrelay.fr, dpd.fr, gls-group.com. Les faux empilent les mots-clés avant une extension exotique :

• laposte-colis-suivi-regularisation[.]icu
• chronopost-fr[.]support
• mondialrelay-paiement-securise[.]top
• colissimo[.]fr-tracking[.]cc — ici le vrai nom n'est qu'un sous-domaine, le vrai site est fr-tracking.cc

La règle pratique : lisez le nom de domaine de droite à gauche à partir de l'extension. Le mot juste avant le point final est le propriétaire réel. Tout ce qui est à gauche peut dire n'importe quoi.

Le numéro de suivi qui ne suit rien

Un vrai numéro de suivi est vérifiable sur le site officiel du transporteur, saisi à la main. Les SMS frauduleux affichent des références au format convaincant mais inventées. Deux minutes suffisent : ouvrez vous-même l'application ou le site du transporteur, collez le numéro, et constatez qu'il n'existe pas. C'est le test le plus fiable de tous, et il ne demande aucune compétence technique.

Les signaux secondaires

• Un délai de 48 h ou 24 h avant « retour à l'expéditeur ». Les transporteurs gardent les colis plusieurs jours et vous relancent par plusieurs canaux.
• L'absence de votre nom. Les vrais avis de passage le mentionnent presque toujours.
• Un expéditeur en +33 6 ou +33 7. Les transporteurs utilisent des numéros courts ou des expéditeurs alphanumériques, pas un mobile particulier.
• Une demande de carte bancaire par SMS, alors que les frais de douane réels sont réclamés par le facteur, en point relais, ou dans votre espace client.

En cas de doute, ne cliquez jamais depuis le message. Fermez-le, ouvrez l'application officielle du transporteur et vérifiez le statut de vos envois. Si rien n'est bloqué, il n'y a rien à payer.

Réduire la surface d'attaque avant même le premier SMS

Une carte virtuelle pour tout ce qui n'est pas vital

La plupart des banques françaises proposent désormais un numéro de carte éphémère ou plafonné pour les achats en ligne. Utiliser systématiquement ce numéro pour les commandes sur des sites inconnus change radicalement la donne : même si vos données sont captées sur une fausse page, elles ne valent rien quinze jours plus tard.

Pour celles et ceux qui multiplient les achats et perdent le fil, un carnet de suivi de commandes tenu à la main suffit souvent à savoir, en un coup d'œil, si l'on attend vraiment un colis. C'est basique, mais c'est précisément ce que l'escroc parie que vous n'avez pas.

Un point de retrait plutôt que la boîte aux lettres

Faire livrer en point relais ou en consigne limite le nombre de SMS légitimes que vous recevez — et donc le bruit dans lequel le faux message se cache. Si vous recevez beaucoup de colis à domicile et que vous n'êtes jamais là, une boîte à colis sécurisée réduit aussi les « avis de passage » intempestifs qui servent de modèle aux fraudeurs.

Ne pas lire ses SMS sensibles n'importe comment

Une partie du piège tient à la lecture : sur un écran de 5 pouces, en marchant, l'adresse du site est tronquée et l'œil ne voit que « laposte ». Prendre l'habitude de vérifier les messages financiers à l'arrêt, et au besoin avec une paire de lunettes de lecture à portée de main, évite une bonne partie des clics réflexes. Pour les seniors équipés d'un téléphone à grandes touches, agrandir la police dans les réglages d'accessibilité est le geste le plus utile — un lien en corps 20 se lit, un lien en corps 11 se devine.

Verrouiller le paiement, pas seulement le téléphone

Trois réglages à activer une fois pour toutes, dans l'application de votre banque :

• Notification instantanée de chaque opération, même d'un euro ;
• Plafond de paiement en ligne abaissé à ce dont vous avez réellement besoin ;
• Blocage des paiements hors zone euro si vous ne commandez pas à l'étranger.

Une arnaque qui échoue sur un plafond à 150 € ne vous coûte rien, même si vous avez cliqué.

Vous avez payé les 2,99 € : la marche à suivre

Dans l'heure

1. Faites opposition sur la carte depuis l'application bancaire ou le serveur interbancaire au 0 892 705 705. Faire opposition n'annule pas les débits déjà passés, mais stoppe tout le reste.
2. Ne répondez à aucun appel se présentant comme votre banque dans les jours qui suivent. Raccrochez et rappelez vous-même le numéro figurant au dos de votre carte.
3. Changez le mot de passe de votre espace bancaire et de votre boîte mail si vous les avez saisis.
4. Faites des captures d'écran du SMS, de l'adresse du site et du relevé : ce sera votre dossier.

Dans les jours suivants

• Signalez le SMS au 33700 en le transférant (gratuit, service commun des opérateurs français contre les messages frauduleux), puis envoyez le numéro de l'expéditeur quand on vous le demande.
• Signalez l'adresse du site sur la plateforme Phishing Initiative et le fait frauduleux sur cybermalveillance.gouv.fr, qui propose un parcours d'assistance adapté aux particuliers.
• Déposez plainte en ligne ou au commissariat. L'article L.133-18 du Code monétaire et financier prévoit le remboursement des opérations de paiement non autorisées ; la banque peut toutefois invoquer une négligence grave, et le dépôt de plainte pèse dans la discussion.
• Surveillez vos relevés pendant six mois. Les abonnements cachés et les débits différés sont la vraie facture de cette arnaque. Si votre banque refuse, saisissez le médiateur bancaire puis, le cas échéant, la Banque de France.

Et si vous n'avez fait que cliquer, sans rien saisir ?

Le risque est faible mais pas nul. Un clic seul sur un lien de smishing confirme surtout que votre numéro est actif : attendez-vous à une recrudescence de messages dans les semaines suivantes. Sur Android, si une application a été installée en dehors du Play Store à cette occasion, désinstallez-la immédiatement et vérifiez les permissions d'accès aux SMS dans les réglages. Le conseil habituel vaut aussi : sauvegarder régulièrement ses données sur une clé USB chiffrée vous permet de réinitialiser un téléphone suspect sans rien perdre.

Ce que cette arnaque dit du reste

Le faux SMS de douane est devenu un classique parce qu'il repose sur un principe qui dépasse les colis : demander peu pour obtenir beaucoup. On le retrouve dans les faux SMS d'amende à 35 €, les faux renouvellements de carte Vitale à 1 €, les faux frais de réexpédition à 1,79 €. Chaque fois, le montant minuscule sert d'anesthésiant.

La contre-mesure est donc comportementale, pas technique : considérer qu'un petit montant demandé par SMS est plus suspect qu'un gros. Un escroc qui vous réclame 2 000 € vous met en alerte. Celui qui vous réclame 2,99 € compte précisément sur le fait que vous ne vous mettrez pas en alerte. Inverser ce réflexe, c'est l'essentiel du travail — et pour les foyers où plusieurs personnes partagent une carte ou un compte, un petit guide de la sécurité numérique posé près de l'ordinateur familial fait souvent plus de bien que dix recommandations oubliées.

Le reste tient en une phrase : aucun colis n'est jamais perdu pour trois euros. Si un envoi est réellement bloqué, il attendra que vous ayez vérifié.