Arnaque au faux colis dopée à l’IA : la vague de SMS avec photo

Un SMS vous annonce un colis bloqué, avec cette fois une photo du paquet à votre nom et quelques euros de « frais » à régler. Cette nouvelle vague d’arnaques utilise l’intelligence artificielle pour paraître crédible et viser une seule chose : votre carte bancaire. Voici comment la reconnaître et quoi faire, même si vous avez déjà cliqué.

Le smishing est l’hameçonnage par SMS : un message frauduleux qui usurpe l’identité d’un organisme de confiance pour vous soutirer vos données personnelles ou bancaires. Le thème du colis est l’un des plus utilisés, parce qu’il tombe juste : beaucoup de gens attendent réellement une livraison à un moment ou à un autre. Depuis le début de l’année 2026, cette technique connaît une nouvelle vague, dopée par des outils d’intelligence artificielle qui rendent les messages bien plus convaincants qu’avant. Selon le site public Cybermalveillance.gouv.fr, la livraison de colis figure parmi les thèmes les plus massivement exploités dans les tentatives d’hameçonnage.

Un scénario de colis bloqué, désormais plus soigné

Le principe reste le même depuis des années. Vous recevez un SMS, ou un message enrichi de type RCS, qui se présente comme un livreur, Chronopost, Colissimo, La Poste ou Amazon. Le prétexte varie : colis trop volumineux pour la boîte aux lettres, absence lors du passage, créneau à confirmer, ou petits « frais » à régler pour débloquer l’envoi. Un lien vous invite à agir vite, sous peine de voir le colis renvoyé à l’expéditeur.

Ce qui change en 2026, c’est le soin apporté au message. Là où les anciennes arnaques se repéraient à leurs fautes d’orthographe et à leur ton impersonnel, les nouvelles versions sont mieux écrites, personnalisées, et parfois accompagnées d’une image. Le message cité par Cybermalveillance illustre bien le registre employé : un ton familier, du type « Bonjour, vous êtes à la maison ? », qui cherche à installer un dialogue plutôt qu’à alerter.

Ce que l’intelligence artificielle change concrètement

L’IA n’invente pas une nouvelle arnaque : elle rend l’ancienne plus crédible et plus massive. Premier apport, la photo. Selon le magazine cybersécurité de Bouygues Telecom, les escrocs joignent désormais « une photo générée par IA d’un colis » sur lequel apparaissent votre prénom, votre nom et votre ville. Voir un paquet qui semble bien vous être destiné désarme la méfiance. La chaîne franceinfo a également documenté, en mars 2026, l’envoi par de faux livreurs de photos générées par intelligence artificielle dans le but de récupérer les données bancaires.

Deuxième apport, la personnalisation. Les fuites de données revendues « pour quelques euros » permettent d’insérer votre vrai nom et votre vraie adresse, ce qui renforce l’illusion. L’IA corrige aussi les fautes et fluidifie le style, supprimant l’un des signaux d’alerte les plus connus. Enfin, certains SMS s’accompagnent d’un message vocal synthétique qui imite la voix d’un livreur, et un éventuel rappel téléphonique peut lui aussi s’appuyer sur une voix clonée. Il faut le savoir sans le surestimer : une photo réaliste ou une voix bien imitée ne prouvent jamais qu’un message est authentique.

Les « frais » à quelques euros : un appât, pas le but

Le cœur du piège tient dans une somme volontairement dérisoire. Le message réclame le paiement de « frais de douane », de « dédouanement » ou de « réexpédition » pour un ou deux euros. Le montant est faible exprès : il paraît sans risque, on se dit qu’on ne perd pas grand-chose à payer pour recevoir son colis.

Sauf que ces deux euros ne sont pas la cible. En saisissant votre carte sur la fausse page de paiement, vous transmettez aux escrocs votre numéro, sa date d’expiration et son cryptogramme. Cybermalveillance.gouv.fr le précise clairement : dans ces formulaires, il n’y a le plus souvent aucun paiement réel, le seul objectif est de collecter vos coordonnées bancaires. Elles serviront ensuite à des achats frauduleux, ou à une seconde attaque, parfois quelques heures ou quelques jours plus tard, sous la forme d’un faux conseiller bancaire qui vous appelle pour « sécuriser » votre compte.

Les signaux qui trahissent l’arnaque, quel que soit le soin apporté

Même bien ficelé, ce type de message garde des points faibles. Le premier est la demande d’argent elle-même. Les entreprises de livraison n’envoient jamais de demande de paiement par SMS ou par courriel : c’est une règle simple et sans exception. Toute sollicitation financière reçue par message doit donc être considérée comme suspecte, quel que soit le motif invoqué.

Les autres signaux sont classiques mais restent valables. Un lien qui renvoie vers un site en dehors du circuit officiel du transporteur, une adresse de site légèrement modifiée ou inhabituelle, un numéro d’expéditeur incohérent (un simple mobile en 06 ou 07 pour un grand transporteur), une urgence artificielle, une imprécision sur le point de livraison. La présence d’une photo ou d’un ton amical ne doit pas rassurer : ce sont justement les nouveaux habits de l’arnaque.

Les bons réflexes : ne cliquez pas, vérifiez vous-même

La règle d’or tient en une phrase : ne cliquez sur aucun lien et ne payez rien. Ne rappelez pas non plus le numéro indiqué dans le message. Un vrai avis de passage ne vous coûtera jamais votre carte bancaire par SMS.

Pour savoir si un colis vous attend vraiment, vérifiez le suivi uniquement sur le site officiel du transporteur, en tapant vous-même son adresse dans votre navigateur, ou depuis l’application officielle et l’espace client du marchand chez qui vous avez commandé. Ne passez jamais par le lien du SMS. Si vous n’attendez aucun colis, le doute est levé : c’est une tentative d’hameçonnage, supprimez le message après l’avoir signalé.

Où et comment signaler

Le signalement est utile : il aide à bloquer les numéros et les sites frauduleux. Pour un SMS, transférez-le au 33700, la plateforme officielle et gratuite de signalement des messages indésirables. Important : il faut transférer le SMS lui-même, pas une capture d’écran, puis suivre les instructions renvoyées pour communiquer le numéro de l’expéditeur.

Pour un contenu illicite en ligne, vous pouvez le signaler sur la plateforme officielle du ministère de l’Intérieur, internet-signalement.gouv.fr (Pharos). Les courriels frauduleux peuvent être transmis à Signal Spam. Enfin, la plateforme publique Cybermalveillance.gouv.fr accompagne gratuitement les victimes et recense la marche à suivre. En cas de fraude bancaire avérée, le signalement se fait aussi via le service Perceval du ministère de l’Intérieur.

Vous avez déjà donné votre carte : la marche à suivre

Si vous avez saisi vos coordonnées bancaires, agissez sans attendre. Faites opposition auprès de votre banque, ou appelez le serveur interbancaire d’opposition au 0 892 705 705, joignable 24 heures sur 24 et 7 jours sur 7. Conservez le message reçu et toute preuve utile, puis surveillez vos comptes.

Vous pouvez ensuite contester les opérations que vous n’avez pas autorisées. D’après l’Institut national de la consommation, en cas de paiement frauduleux réalisé à distance sans perte ni vol de la carte, la banque doit en principe vous rembourser sans franchise le montant des opérations non autorisées, sauf à démontrer une négligence grave de votre part. L’article L133-24 du code monétaire et financier fixe un délai de 13 mois après le débit pour signaler une opération non autorisée sur une transaction réalisée dans l’Espace économique européen. Cette démarche est celle qui vaut aussi face aux arnaques voisines, comme le faux conseiller bancaire ou le faux RIB, que nous traitons par ailleurs : le principe reste le même, réagir vite et par écrit.

Vos questions, nos réponses

Comment savoir si un SMS de colis est une arnaque ?

Deux réflexes suffisent. D’abord, aucun transporteur ne réclame de paiement par SMS : une demande de « frais » est presque toujours frauduleuse. Ensuite, ne cliquez pas sur le lien et vérifiez le suivi directement sur le site officiel du transporteur ou dans l’espace client du marchand. Si vous n’attendez aucun colis, le doute est levé.

Une photo du colis avec mon nom, est-ce une preuve que c’est vrai ?

Non. Ces photos peuvent être générées par intelligence artificielle ou récupérées, et votre nom comme votre adresse peuvent provenir d’une fuite de données revendue. Une image réaliste ne garantit rien. Seule la vérification sur le site officiel du transporteur permet de confirmer qu’un colis vous attend.

J’ai payé les 2 euros de frais, que dois-je faire ?

Agissez tout de suite : faites opposition auprès de votre banque ou appelez le serveur interbancaire d’opposition au 0 892 705 705, disponible 24h/24. Signalez le SMS au 33700, conservez les preuves et contestez par écrit les opérations non autorisées. La loi prévoit un remboursement des paiements frauduleux sauf négligence grave, mais chaque situation reste examinée par la banque.