ActuGuide
Arnaque au SMS de colis : Colissimo, Mondial Relay, « vous êtes chez vous ? », que faire si vous avez cliqué
Outil gratuit · Arnaques en ligne
Ce SMS est-il une arnaque ? Vérifiez-le en 10 secondes
Collez le message reçu (et, si vous l'avez, le numéro de l'expéditeur) : l'outil explique, signal par signal, ce qui ressemble à une arnaque, puis vous indique quoi faire et où le signaler. Tout se passe dans votre navigateur.
Analyser un message
Comment l'outil analyse votre message
L'analyse repose sur des règles simples, lisibles, que vous pouvez contester : l'outil n'utilise ni intelligence artificielle opaque ni serveur. Il lit le texte que vous collez et cherche six familles d'indices, chacune expliquée dans le résultat.
- La pression. Un délai court (« sous 24 h », « dernier avis »), une menace (« compte bloqué », « majoration », « poursuites »). L'urgence sert à court-circuiter la vérification.
- Le prétexte. Colis en attente, opération bancaire suspecte, carte Vitale à mettre à jour, remboursement d'impôts, amende, CPF, Crit'Air, péage impayé. L'outil reconnaît ces scénarios et sait quel site est le seul légitime pour chacun.
- La demande. Un code reçu par SMS, un numéro de carte, un IBAN, une « validation » dans votre application bancaire, quelques euros de « frais » : ce sont les actions que l'escroc cherche à obtenir.
- Le lien. Raccourci (bit.ly…), nom collé à celui d'une marque (« colissimo-suivi-fr.top »), lettres échangées, et surtout un domaine qui n'est pas celui de l'organisme cité dans le message. L'analyse d'adresse est la même que dans notre outil « Ce site est-il fiable ? ».
- L'expéditeur. Un organisme qui écrit depuis un mobile en 06 ou 07, un numéro étranger, un numéro en 08 à rappeler, un numéro court.
- Le scénario familial. « Maman, j'ai cassé mon téléphone, voici mon nouveau numéro », suivi d'une demande de virement urgent.
Chaque signal pèse un certain nombre de points, plafonné à 100 au total. Le niveau affiché (aucun signal, vigilance légère, risque moyen, élevé, très élevé) en découle, et certaines combinaisons, comme un organisme cité avec un lien qui ne lui appartient pas et une demande sensible, relèvent le niveau. Rien n'est caché : le détail de chaque point est affiché.
Ce que l'outil ne sait pas faire
Il est important de connaître ses limites. L'outil ne se connecte à rien : il ne sait donc pas depuis quand un domaine existe, qui l'exploite, ni si une page est piégée. Il ne peut pas vérifier qu'un numéro n'est pas usurpé, et un nom d'expéditeur comme « LaPoste » ne prouve pas l'origine d'un message. Il est conçu pour le français : un SMS dans une autre langue sera moins bien analysé. Il ne lit pas les images ni les captures. Enfin, il compte des indices connus : une arnaque nouvelle, ou bien écrite, peut passer entre les mailles, et un message légitime peut en cumuler quelques-uns. Considérez le résultat comme un repère pour décider de ne pas cliquer, jamais comme un certificat d'honnêteté.
Quatre messages types, et pourquoi ils fonctionnent
Le faux colis. « Votre colis n'a pas pu être livré, réglez 1,99 € ». La petite somme est l'appât : la page vous demande votre carte, et ses données servent ensuite à des fraudes plus lourdes, dont l'appel d'un faux conseiller bancaire. Notre guide détaille les scénarios de faux colis et la marche à suivre.
La carte Vitale. Des banques, dont le CIC, relaient l'alerte : l'Assurance Maladie ne propose jamais de mise à jour ou de renouvellement de la carte Vitale par SMS, et seule la connexion à votre compte ameli permet d'échanger de façon sécurisée avec elle.
L'amende, les impôts, le CPF, Crit'Air. Les messages de ce type imitent les administrations. La parade est la même : n'utilisez que le site officiel que vous tapez vous-même (antai.gouv.fr ou amendes.gouv.fr pour une amende, impots.gouv.fr, moncompteformation.gouv.fr, certificat-air.gouv.fr). SignalConso recense d'ailleurs parmi les arnaques courantes les faux courriers administratifs, les services payants qui se font passer pour Crit'Air et l'arnaque au CPF.
« Maman, c'est moi ». Aucun lien, aucune faute criante : un inconnu se fait passer pour votre enfant, prétend avoir changé de numéro, puis demande un virement. Le seul antidote est de joindre votre proche par un canal que vous connaissez avant de payer quoi que ce soit.
Que faire, dans l'ordre
- Ne rien toucher. Pas de clic, pas de réponse, pas de rappel du numéro donné.
- Vérifier par vous-même. Ouvrez l'application officielle ou tapez l'adresse du site dans votre navigateur. Si une démarche vous attend vraiment, elle y figure.
- Signaler. Transférez le SMS au 33700 (gratuit), puis signalez le faux site à Phishing Initiative et bloquez l'expéditeur.
- Si vous avez saisi quelque chose. Changez le mot de passe concerné, faites opposition à la carte (numéro au dos de la carte, dans l'application, ou ligne interbancaire 0 892 705 705, surtaxée et ouverte 24 h sur 24 d'après Cybermalveillance), conservez les preuves et déposez plainte. Si un faux conseiller vous a fait valider des opérations, lisez notre guide sur le remboursement après une fraude au faux conseiller.
- Demander de l'aide. 17Cyber (diagnostic gratuit), la plainte en ligne THESEE pour certaines arnaques sur internet, Info Escroqueries au 0 805 805 817, France Victimes au 116 006.
Pour vérifier un lien précis ou un site que vous ne connaissez pas, notre outil « Ce site est-il fiable ? » décompose l'adresse et vous renvoie vers les vérifications officielles. Pour un service ou une plateforme, l'annuaire Hyrulea Trust ci-dessous rassemble des fiches sourcées.
Sources et adresses officielles
- Cybermalveillance.gouv.fr, fiche réflexe hameçonnage (33700, Signal Spam, Phishing Initiative, Info Escroqueries)
- 33700.fr, plateforme contre les spams SMS
- Cybermalveillance.gouv.fr, fiche réflexe fraude au faux conseiller bancaire
- 17Cyber, assistance en ligne aux victimes
- THESEE, plainte en ligne pour les arnaques sur internet
- CIC, alerte fraude « mise à jour carte Vitale »
- SignalConso, répression des fraudes
Questions fréquentes
Comment savoir si un SMS est une arnaque ?
Cherchez les signaux qui se cumulent : un organisme qui écrit depuis un mobile ordinaire, une urgence ou une menace (« sous 24 h », « compte bloqué »), un lien dont le domaine n'est pas celui de l'organisme cité, une petite somme à payer en ligne, ou la demande d'un code reçu par SMS. Un seul signal ne condamne pas un message, trois ou quatre suffisent à ne pas cliquer. Vérifiez ensuite par l'application officielle ou l'adresse tapée à la main.
Cet outil garde-t-il le message que je colle ?
Non. L'analyse est faite par du code qui s'exécute dans votre navigateur : le texte du SMS et le numéro ne sont envoyés ni à Hyrulea ni à un tiers, et rien n'est enregistré (ni cookie, ni stockage local). Les liens trouvés dans le message ne sont jamais ouverts ni testés. Fermer ou recharger la page efface tout.
J'ai cliqué sur le lien d'un SMS suspect : que faire ?
Si vous n'avez rien saisi, fermez la page, signalez le SMS et surveillez vos comptes. Si vous avez saisi un mot de passe, changez-le tout de suite, partout où vous l'utilisiez. Si vous avez donné des données de carte, faites opposition auprès de votre banque sans attendre et contestez les opérations non autorisées. Cybermalveillance.gouv.fr recommande de faire opposition immédiatement dans ce cas.
Comment signaler un SMS frauduleux ?
Transférez le message au 33700, gratuit, ou signalez-le sur 33700.fr : les signalements sont transmis aux opérateurs. Signalez ensuite le faux site à Phishing Initiative, puis bloquez l'expéditeur. Pour être guidé, le service 17Cyber de la police, de la gendarmerie et de Cybermalveillance propose un diagnostic gratuit, et Info Escroqueries répond au 0 805 805 817 (gratuit, de 9 h à 18 h 30, du lundi au vendredi).
Que veut dire « aucun signal détecté » ?
Que le message ne contient aucun des indices connus de l'outil, pas qu'il est légitime. Une arnaque soignée, écrite sans urgence et sans lien (par exemple un proche qui demande de l'aide, ou un faux conseiller qui vous fait ensuite rappeler), peut ne laisser aucune trace dans le texte. Dans le doute, ne donnez rien et contactez l'organisme par un canal que vous ouvrez vous-même.
