Arnaque au faux colis ou à la fausse livraison par SMS ou courriel, frais à payer, créneau ou point relais, faux livreur et code reçu, que faire si vous avez cliqué ou payé et remboursement par la banque

Le faux colis, un message de livraison qui vise vos données de carte bancaire

En bref. Un SMS ou un courriel annonce un colis en difficulté de livraison et vous renvoie vers un faux site, dont le but principal est de récupérer vos informations personnelles et vos coordonnées de carte bancaire.

L'arnaque faux colis prend la forme d'une fausse livraison, le plus souvent un faux SMS de livraison qui réclame des frais à payer, par exemple pour un affranchissement ou un nouveau créneau. Si une somme a déjà été débitée, la question du remboursement par la banque se pose, et les paragraphes suivants indiquent ce que dit le Code monétaire et financier à ce sujet.

Selon la page de Cybermalveillance.gouv.fr intitulée « L'hameçonnage à la livraison de colis », publiée le 31 août 2022 et mise à jour le 26 août 2026, ces messages semblent provenir d'un service de livraison ou d'un livreur, indiquent que le transporteur a tenté de livrer un colis ou attend des instructions, et réclament le paiement de frais d'expédition ou d'affranchissement. La page parle d'une tentative d'escroquerie, et d'un des thèmes les plus massivement utilisés en matière d'hameçonnage. L'objectif principal est de dérober des informations personnelles et de carte bancaire pour en faire un usage frauduleux. L'accroche de la livraison peut aussi servir à diffuser des virus, à pirater un compte, à lancer une arnaque au faux support technique, à souscrire un abonnement déguisé ou à valider des achats sur facture téléphonique.

Les sociétés de transport dont le nom apparaît dans ces messages sont elles-mêmes victimes d'une usurpation d'identité. Selon Cybermalveillance, les messages reprennent le nom de transporteurs existants ou de sociétés fictives, et plusieurs entreprises de livraison indiquent sur leur site qu'elles ne demandent pas de paiement par SMS ou par courriel pour retirer un colis. Cet article ne met en cause aucune entreprise. Il présente comment reconnaître le piège, les variantes, les gestes à accomplir si vous avez cliqué, payé ou donné vos coordonnées, et les recours auprès de votre banque.

Pour un panorama plus large, voyez notre article sur l'hameçonnage par SMS, e-mail ou appel. Le même mécanisme existe avec le faux paiement d'amende et le faux remboursement de l'administration fiscale, et l'accroche du colis peut déboucher sur un support technique frauduleux.

Comment reconnaître un faux message de livraison

En bref. Le message annonce un problème de livraison, contient un lien et mène à un site qui imite un transporteur et réclame de petits frais payables par carte. Selon Cybermalveillance, les entreprises de livraison ne demandent pas de paiement par SMS ou par courriel pour remettre un colis, ce qui justifie de vérifier le suivi depuis l'adresse du transporteur que vous saisissez vous-même.

La page de Cybermalveillance décrit les messages de la façon suivante.

• Les SMS affichent généralement un numéro de téléphone mobile commençant par 06 ou 07 et sont, en général, supposément envoyés par un livreur. Dans certains cas, le SMS contient la photo d'un colis modifiée avec le prénom et le nom du destinataire, voire un fichier audio censé être un message vocal du livreur.
• Les courriels ont par exemple pour sujet « Votre commande a été envoyée » ou « Colis en attente d'instruction ».
• Le prétexte peut être un colis trop volumineux pour la boîte aux lettres, l'absence du destinataire, une demande de créneau de livraison, le choix d'un point relais ou d'un « locker », ou encore un affranchissement manquant, des frais de port ou d'expédition restant dus, la TVA, des frais de douane ou de dédouanement.
• Le lien redirige vers un site qui usurpe l'identité de l'entreprise de livraison.

Cybermalveillance cite comme exemple de SMS frauduleux « bonjour c'est le livreur votre colis ne rentrait pas dans la boîte aux lettres, veuillez choisir un autre créneau ou point relais » suivi d'un lien, ainsi que de simples accroches comme « Bonjour vous êtes chez vous ? » ou « Bonjour, vous êtes à la maison ? », qui visent à engager la conversation. Ces exemples ne forment pas une liste complète.

Selon la page, il y a rarement de véritable paiement, car il s'agit surtout de récupérer les numéros de carte. Le critère le plus sûr est donc la demande elle-même. Vérifiez le véritable suivi du colis que vous attendez, ou contactez directement l'entreprise de livraison. Si le suivi n'indique aucun problème, ou si l'entreprise dit ne pas être à l'origine du message, Cybermalveillance invite à considérer qu'il s'agit d'une tentative d'hameçonnage. Si vous attendez réellement un colis venu d'un pays hors de l'Union européenne, des droits de douane et de la TVA peuvent exister pour un vrai achat, et notre article sur l'achat auprès d'un vendeur situé hors de l'Union européenne les présente. Vérifiez alors le suivi sur le site du transporteur dont vous saisissez vous-même l'adresse, et non depuis un lien reçu par message.

Dans sa page sur le smishing, publiée le 13 juin 2023 et mise à jour le 21 février 2025, Cybermalveillance explique pourquoi le piège fonctionne. Les SMS sont brefs, difficiles à authentifier et paraissent crédibles, l'adresse d'un site est souvent tronquée sur un téléphone, et les utilisateurs réagissent vite aux notifications. L'absence de faute ou d'indice visible ne prouve donc pas qu'un message soit légitime.

Ce que les escrocs font des données saisies

En bref. Les données peuvent servir à des achats, être revendues, ou alimenter un appel de faux conseiller bancaire dans les heures ou les jours qui suivent.

Selon Cybermalveillance, en remplissant le formulaire, la victime transmet ses informations personnelles et bancaires aux escrocs, qui chercheront par exemple à effectuer eux-mêmes des achats ou à revendre les informations à d'autres cybercriminels. La page ajoute que, dans de très nombreux cas, les données récupérées sont utilisées dans les heures ou les jours qui suivent par des escrocs menant des fraudes au faux conseiller bancaire.

La page précise que jamais un conseiller de votre banque ne vous appellera pour vous faire effectuer des actions sur votre application bancaire ou lui transmettre des codes pour de supposées fraudes en cours, et qu'aucune personne honnête n'enverra un coursier à votre domicile pour récupérer votre carte afin de l'« analyser ». Si un appel de ce type suit votre clic, ne validez rien et lisez notre article sur le virement frauduleux par manipulation.

Les variantes décrites par Cybermalveillance

En bref. Le thème du colis sert aussi à faire souscrire un abonnement, à faire communiquer un code qui valide un achat sur la facture de téléphone, à installer une application piégée ou à ouvrir une pièce jointe infectée.

• Le faux jeu concours avec frais de livraison. Le lien mène à un site qui annonce que vous avez gagné un lot (un téléphone mobile, un vélo électrique, un kit de sécurité automobile, par exemple). Pour le recevoir, il faut renseigner des informations personnelles et ses coordonnées de carte pour régler quelques euros de frais de livraison. Selon la page, il faut lire les mentions présentes, car en remplissant le formulaire vous donnez votre consentement à la souscription d'un abonnement à des services dont le contenu est peu ou pas détaillé, pouvant coûter plusieurs dizaines d'euros par mois. Cybermalveillance invite à faire opposition au prélèvement si vous en constatez un. Notre article sur l'offre gratuite qui se révèle payante traite ce mécanisme.
• Le faux livreur qui appelle et demande un code. Sans message préalable, de faux livreurs appellent en demandant un code que vous recevez simultanément par SMS, pour la supposée bonne livraison du colis. Selon Cybermalveillance, ce code permet en réalité de réaliser un achat facturé sur l'abonnement téléphonique de la victime, par exemple des achats sur un magasin d'applications. La page invite à désactiver les achats sur facture téléphonique si vous n'avez pas besoin de ce moyen de paiement.
• La mise à jour ou l'application piégée. Des vagues de SMS contiennent un lien qui affiche un message d'alerte. Sur un téléphone Android, le message incite à installer une prétendue mise à jour du navigateur qui est en réalité une application malveillante, capable notamment d'envoyer des SMS en masse, parfois surtaxés, et de voler des mots de passe. Sur un iPhone, le message prétend qu'il faut ressaisir son identifiant et son mot de passe de compte Apple sur une page frauduleuse, dans le but de pirater le compte.
• La pièce jointe piégée. Des courriels annonçant une livraison contiennent un fichier dont l'ouverture installe un virus, permettant par exemple aux escrocs de prendre le contrôle de l'appareil. N'ouvrez pas les pièces jointes ni les liens d'un message inattendu ou provenant d'un expéditeur inconnu ou inhabituel.

Que faire si vous recevez un message de ce type

En bref. Ne cliquez pas, vérifiez le suivi sur le site officiel du transporteur dont vous saisissez vous-même l'adresse, puis signalez le message.

• Au moindre doute, vérifiez le véritable suivi du colis ou contactez directement l'entreprise de livraison concernée pour confirmer le message.
• N'ouvrez pas les courriels ni leurs pièces jointes et ne cliquez jamais sur les liens au moindre doute.
• Avant de cliquer, positionnez le curseur sur le lien sans cliquer, ou faites un appui long sur le lien sur un téléphone, pour afficher l'adresse réelle vers laquelle il pointe.
• Si vous avez cliqué, vérifiez l'adresse affichée dans le navigateur. Si le nom de domaine ne correspond pas exactement au site concerné, il s'agit certainement d'un site frauduleux, et il faut fermer immédiatement la page sans fournir aucune information.
• Signalez le courriel ou le site à Signal Spam, et le SMS sur la plateforme 33700 ou par SMS au 33 700, service gratuit. Selon Cybermalveillance, ces services feront bloquer l'émetteur du message.
• Signalez l'adresse du site à Phishing Initiative, qui bloquera l'adresse de ce site.
• Signalez aussi le message et le site aux sociétés de livraison dont l'identité est usurpée. Ces entreprises disposent généralement d'adresses de contact dédiées aux fraudes les concernant, que la page de Cybermalveillance donne pour plusieurs d'entre elles.
• Classez le message en courrier indésirable et bloquez l'expéditeur dans votre messagerie.

Ces signalements alertent les services concernés. Ils ne valent ni plainte ni demande de remboursement.

Si vous avez cliqué, payé ou donné vos coordonnées, les premiers gestes

En bref. Faites opposition tout de suite si des données de paiement ont été communiquées, conservez les preuves, changez les mots de passe, signalez sur Perceval, déposez plainte et demandez le remboursement à votre banque.

1. Faites opposition immédiatement auprès de votre banque ou de votre organisme financier, si vous avez communiqué des éléments sur vos moyens de paiement ou constaté des débits frauduleux, comme le recommande Cybermalveillance. Le Code monétaire et financier prévoit que l'utilisateur qui a connaissance d'une utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées en informe sans tarder, aux fins de blocage, son prestataire ou l'entité désignée par celui-ci (article L133-17). Après cette information, le payeur ne supporte aucune conséquence financière résultant de l'utilisation de l'instrument ou de l'utilisation détournée des données qui lui sont liées, sauf agissement frauduleux de sa part (article L133-20). Cette protection vaut pour la suite, et les opérations antérieures relèvent de l'analyse décrite plus bas. Notez l'heure et le moyen de contact utilisés. Si votre banque ne met pas à votre disposition de moyens appropriés pour l'informer aux fins de blocage, vous ne supportez aucune conséquence financière, sauf agissement frauduleux de votre part (article L133-19, III).
2. Conservez les informations sur le message reçu (adresse électronique ou numéro de téléphone) et sur le site visité (adresse, captures d'écran). Notre article sur la preuve d'un litige de consommation en détaille la valeur.
3. Si vous avez communiqué un mot de passe, changez-le, sur le service concerné et sur tous ceux où vous utilisiez le même, selon la fiche réflexe de Cybermalveillance mise à jour le 7 mai 2026.
4. Si vous avez cliqué sur un lien ou ouvert un fichier qui a pu installer un programme malveillant, ou si votre appareil fonctionne anormalement, appliquez les conseils de Cybermalveillance sur les virus informatiques.
5. Examinez vos relevés pour repérer toute opération que vous ne reconnaissez pas, y compris un prélèvement récurrent.
6. Signalez les débits frauduleux liés à votre carte sur la plateforme Perceval du ministère de l'Intérieur. Cybermalveillance précise que ce signalement aide les autorités à identifier les auteurs et ne se substitue pas au dépôt de plainte.
7. Déposez plainte au commissariat, à la brigade de gendarmerie, ou par écrit auprès du procureur de la République du tribunal judiciaire dont vous dépendez, en fournissant toutes les preuves. Si vous êtes un particulier, une association de France Victimes peut vous accompagner gratuitement au 116 006, appel et service gratuits, 7 jours sur 7 de 9h à 19h.
8. Contactez votre banque pour demander le remboursement. Selon Cybermalveillance, certaines banques demandent la preuve du dépôt de plainte ou le récépissé Perceval pour instruire la demande. La banque peut demander des éléments pour instruire le dossier, ce qui n'est pas en soi un refus. Le texte de l'article L133-18 ne subordonne pas le remboursement à une plainte, donc contestez l'opération par écrit sans attendre ce récépissé et transmettez-le dès que vous l'avez.
9. Pour être conseillé, contactez Info Escroqueries au 0 805 805 817, appel et service gratuits, du lundi au vendredi de 9h à 18h30.

Si vous avez seulement cliqué sur le lien sans saisir aucune donnée, la page de Cybermalveillance ne décrit pas de démarche distincte au-delà de fermer la page, de vérifier l'adresse et, en cas de doute sur un programme installé, de suivre les conseils sur les virus. Restez vigilant face à tout appel, courriel ou SMS qui utiliserait ensuite vos informations.

Être remboursé par sa banque, ce que prévoit le Code monétaire et financier

En bref. Une opération que vous n'avez pas autorisée doit en principe être remboursée rapidement. Une opération que vous avez validée vous-même suit une analyse différente, et aucun remboursement n'est garanti.

Une opération de paiement est autorisée si le payeur a donné son consentement à son exécution (article L133-6). Le consentement est donné sous la forme convenue entre le payeur et sa banque, et en l'absence d'un tel consentement, l'opération est réputée non autorisée (article L133-7). La responsabilité du payeur n'est pas engagée si l'opération non autorisée a été effectuée en détournant, à son insu, l'instrument de paiement ou les données qui lui sont liées (article L133-19, II). Dans l'arnaque au faux colis, plusieurs situations se présentent, et les textes ne permettent pas de ranger un dossier dans l'une ou l'autre sans examiner les faits.

Pour une opération non autorisée signalée dans les conditions de l'article L133-24, la banque rembourse le montant de l'opération immédiatement après en avoir pris connaissance ou en avoir été informée, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf si elle a de bonnes raisons de soupçonner une fraude de l'utilisateur et si elle communique ces raisons par écrit à la Banque de France. Elle rétablit, le cas échéant, le compte débité dans l'état où il se serait trouvé sans l'opération (article L133-18). En cas de manquement, les sommes dues produisent intérêt au taux légal majoré de cinq points, de dix points au-delà de sept jours de retard et de quinze points au-delà de trente jours de retard (même article). Un jour ouvrable est un jour au cours duquel le prestataire de paiement du payeur ou celui du bénéficiaire exerce une activité permettant d'exécuter des opérations de paiement (article L133-4, d).

Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l'opération non autorisée a été effectuée sans que sa banque exige une authentification forte (article L133-19, V). L'authentification forte repose sur deux éléments ou plus parmi la connaissance, la possession et l'inhérence (article L133-4, f), et la banque l'applique notamment lorsque le payeur initie une opération de paiement électronique (article L133-44, I). Lorsqu'une authentification forte a été exigée, ce moyen ne joue pas, et le débat porte en pratique sur le consentement et la négligence grave, ce que le texte ne détaille pas.

Le signalement de l'opération doit être fait sans tarder, et au plus tard dans les treize mois suivant la date de débit, sous peine de forclusion, à moins que la banque ne vous ait pas fourni ou mis à disposition les informations relatives à l'opération (article L133-24). Pour une personne physique agissant pour des besoins non professionnels, les parties ne peuvent pas convenir d'un délai distinct (même article). Les treize mois sont un maximum, et agir vite protège vos droits.

Deux cas sortent de ce schéma. Un achat facturé sur votre abonnement téléphonique après la communication d'un code n'est pas un débit de votre compte bancaire, et la page de Cybermalveillance ne décrit pas de démarche particulière à son sujet au-delà de la désactivation des achats sur facture, de sorte que ces règles bancaires ne s'y appliquent pas nécessairement. Un abonnement souscrit par un faux jeu concours donne lieu à un prélèvement dont Cybermalveillance invite à faire opposition. Pour le détail du régime bancaire, voyez nos articles sur le paiement frauduleux par carte bancaire et sur le virement frauduleux par manipulation.

La négligence grave, que la banque peut invoquer mais doit prouver

En bref. La banque peut vous opposer un manquement par négligence grave à vos obligations de sécurité, mais c'est à elle d'en apporter la preuve. Le texte ne définit pas la négligence grave et ne la déduit pas automatiquement d'un clic ou d'une saisie, de sorte qu'elle s'apprécie selon les circonstances de chaque dossier.

Le payeur supporte toutes les pertes occasionnées par des opérations non autorisées si elles résultent d'un agissement frauduleux de sa part, ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L133-16 et L133-17 (article L133-19, IV). L'article L133-16 impose de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées, et l'article L133-17 d'informer sans tarder son prestataire.

Lorsque vous niez avoir autorisé une opération exécutée, il incombe à la banque de prouver que l'opération a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre. L'utilisation de l'instrument de paiement telle qu'enregistrée par la banque ne suffit pas nécessairement à prouver que l'opération a été autorisée ou que vous avez manqué par négligence grave à vos obligations, et la banque fournit des éléments afin de prouver la fraude ou la négligence grave (article L133-23). Ces textes ne définissent pas la négligence grave. Vous pouvez demander par écrit à votre banque les éléments sur lesquels elle fonde un refus.

Où signaler et demander conseil

En bref. Plusieurs plateformes gratuites existent, chacune pour un canal différent. Un signalement n'est ni une plainte ni une demande de remboursement.

Selon Cybermalveillance, la plateforme Perceval relève du ministère de l'Intérieur et s'applique en cas de débits frauduleux liés à votre carte bancaire. Les adresses et conditions d'accès de ces services peuvent évoluer, retrouvez-les depuis la page de Cybermalveillance.

Porter plainte

En bref. Vous pouvez déposer plainte au commissariat, à la brigade de gendarmerie, ou par écrit auprès du procureur de la République. La plainte est utile pour vos démarches, sans garantir de résultat.

Cybermalveillance recommande de déposer plainte en fournissant toutes les preuves en votre possession. La fiche réflexe sur l'hameçonnage, mise à jour le 7 mai 2026, énumère plusieurs infractions qui peuvent être retenues selon les faits, dont l'escroquerie, la collecte frauduleuse de données personnelles, l'usurpation d'identité et l'usage frauduleux de moyen de paiement. Les articles et les peines correspondants figurent sur cette page. La qualification retenue dans une affaire donnée appartient aux autorités de poursuite et au juge, au vu des faits. Les auteurs de ces messages sont le plus souvent difficiles à identifier, et ni le délai de traitement d'une plainte ni le recouvrement des sommes ne peuvent être garantis.

Si la banque refuse ou ne répond pas, les recours possibles

En bref. Écrivez d'abord à votre banque, puis saisissez gratuitement le médiateur si le litige persiste. Le fraudeur, qui n'est pas un professionnel identifié, ne relève pas de la médiation.

1. La réclamation écrite. Les prestataires de services de paiement répondent aux réclamations dans les meilleurs délais et au plus tard dans les quinze jours ouvrables suivant la réception. Dans des situations exceptionnelles, une réponse d'attente motivée est envoyée avec la date ultime de la réponse définitive, qui intervient au plus tard trente-cinq jours ouvrables après la réception, et la banque informe le consommateur d'au moins une instance de règlement extrajudiciaire (article L133-45). Notre article sur la mise en demeure par lettre recommandée présente la forme d'un courrier.
2. La médiation. Tout consommateur a droit de recourir gratuitement à un médiateur pour un litige qui l'oppose à un établissement de crédit, un établissement de paiement ou un établissement de monnaie électronique, relatif aux services fournis (article L316-1 du Code monétaire et financier, article L612-1 du Code de la consommation). Le médiateur ne peut examiner le litige si vous ne justifiez pas avoir tenté de le résoudre par une réclamation écrite auprès du professionnel, ou si vous le saisissez plus d'un an après cette réclamation. Il ne peut pas non plus examiner un litige déjà examiné ou en cours d'examen par un autre médiateur ou par un tribunal (article L612-2). Notre article sur la médiation de la consommation détaille la démarche.
3. Le tribunal, si la médiation n'aboutit pas. Le choix de la juridiction dépend du montant et de la nature du litige.

L'issue d'un litige avec une banque ne peut pas être garantie.

Jurisprudence

Cet article ne cite aucune décision de justice. L'appréciation du consentement et de la négligence grave dépend des circonstances de chaque dossier, notamment de ce qui a été saisi, validé et du moment où la banque a été prévenue. Notre article sur l'hameçonnage présente, dans sa section consacrée à la jurisprudence, une décision rendue à propos d'un courriel d'hameçonnage.

Les démarches concrètes

• ne cliquez pas sur le lien, ne rappelez pas, ne communiquez aucun code, et vérifiez le suivi du colis sur le site du transporteur dont vous saisissez vous-même l'adresse ;
• si vous avez communiqué des données de paiement, informez sans tarder votre banque aux fins de blocage (article L133-17), ce que l'on appelle couramment faire opposition, en notant l'heure et le moyen de contact ;
• ne validez aucune opération demandée par une personne se présentant comme votre conseiller bancaire ou comme un coursier ;
• conservez le message, les captures d'écran, l'adresse du faux site, les dates et les montants ;
• changez les mots de passe communiqués et ceux que vous réutilisiez, et désactivez les achats sur facture téléphonique si vous n'en avez pas besoin ;
• contestez par écrit chaque opération non reconnue, sans tarder et au plus tard dans les treize mois suivant le débit (article L133-24) ;
• demandez le remboursement en rappelant le délai de l'article L133-18, et si la banque invoque la négligence grave, vous pouvez lui demander par écrit les éléments sur lesquels elle se fonde, l'article L133-23 mettant à sa charge la preuve de la fraude ou de la négligence grave ;
• signalez le SMS au 33 700, le courriel à Signal Spam, le site à Phishing Initiative et les débits frauduleux sur Perceval ;
• déposez plainte, et contactez Info Escroqueries au 0 805 805 817 ou France Victimes au 116 006 pour être orienté ;
• en cas de refus ou de silence, adressez une réclamation écrite à la banque, puis saisissez le médiateur dans l'année suivant cette réclamation ;
• si l'achat a été facturé sur votre forfait téléphonique, la page de Cybermalveillance ne décrit pas de démarche auprès de l'opérateur, mais une réclamation écrite à celui-ci vous ouvre l'accès au médiateur de la consommation, à saisir dans l'année qui suit (articles L612-1 et L612-2) ;
• les délais pour porter plainte dépendent de l'infraction retenue, ne tardez pas, la plainte pouvant aussi aider votre banque à instruire votre demande.

Ce que cet article ne couvre pas

Cet article présente les règles générales et les démarches décrites par Cybermalveillance.gouv.fr, ainsi que les dispositions citées du Code monétaire et financier et du Code de la consommation, dont les dates de mise à jour figurent dans le texte et dans la liste des sources. Il ne traite ni de la livraison d'un vrai colis en retard, abîmé ou perdu, ni du litige avec un vendeur ou un transporteur réel, ni de la fraude visant les entreprises, ni de la fraude au faux conseiller bancaire au-delà du renvoi à notre article dédié. Il ne met en cause aucun transporteur, dont l'identité est usurpée. Chaque situation dépend des faits, notamment de ce que vous avez saisi, validé et du moment où vous avez agi, et aucun dossier individuel ne peut être apprécié ici. Les règles décrites visent un prestataire de paiement soumis au droit français. Les numéros, plateformes et adresses de signalement peuvent évoluer, reportez-vous aux pages officielles. Cet article est rédigé avec l'assistance d'une intelligence artificielle, à partir des textes cités. L'illustration qui l'accompagne est générée par intelligence artificielle.