Se protéger 5 min Tout le monde — à lire en famille

« Votre colis est bloqué » : anatomie d'une arnaque

Un SMS, 160 caractères, et votre compte en banque change de propriétaire. Bonne nouvelle : les arnaqueurs répètent toujours les mêmes ficelles.

Étape 1 : Le scénario est toujours le même

Une recette en trois temps, toujours la même

L'hameçonnage (phishing) suit une recette en trois temps, aussi fiable qu'une recette de gâteau.

Un prétexte crédibleUn colis, un remboursement d'impôts, une amende, votre banque, votre opérateur.
Une urgence« Sous 24 h », « dernier rappel », « votre compte va être suspendu ». L'urgence sert à vous empêcher de réfléchir.
Un lienVers une fausse page, copie conforme du vrai site, qui récolte vos identifiants ou votre carte.

Sur 10 attaques informatiques réussies, combien commencent par un simple message ?

Pas un virus de génie : un SMS, un mail, et quelqu'un qui clique.

🤔 À votre avis : Attaques qui commencent par un hameçonnage, sur 10 ?

3 sur 10 010

Réponse : 9 sur 10. Neuf sur dix. Le maillon faible n'est pas l'ordinateur, c'est le pouce qui clique.

ordre de grandeur · Source : CISA (agence américaine de cybersécurité) et ANSSI, 2023-2024

Sur 10 attaques informatiques réussies, combien commencent par un simple message ?
Attaques qui commencent par un hameçonnage, sur 10	9 sur 10

Le tout coûte quelques centimes à envoyer à des milliers de personnes. Il suffit que 1 % morde.

La vie d'un SMS « colis bloqué », en cinq étapes

Tout est automatisé : vous n'êtes pas visé, vous êtes dans une liste.

Envoi en masseDes dizaines de milliers de numéros achetés ou volés reçoivent le même SMS.
Le faux siteLe lien mène à une copie du site de La Poste, faite en une heure.
« 1,99 € de frais »On tape sa carte pour une somme dérisoire : c'est le numéro qui les intéresse.
Débit en minutesLa carte sert aussitôt à des achats en ligne, souvent à l'étranger.
ReventeNuméro, nom, adresse : le lot se revend à d'autres arnaqueurs.

Source : Cybermalveillance.gouv.fr, fiches « faux SMS de livraison »

La vie d'un SMS « colis bloqué », en cinq étapes
1. Envoi en masse	Des dizaines de milliers de numéros achetés ou volés reçoivent le même SMS.
2. Le faux site	Le lien mène à une copie du site de La Poste, faite en une heure.
3. « 1,99 € de frais »	On tape sa carte pour une somme dérisoire : c'est le numéro qui les intéresse.
4. Débit en minutes	La carte sert aussitôt à des achats en ligne, souvent à l'étranger.
5. Revente	Numéro, nom, adresse : le lot se revend à d'autres arnaqueurs.

Vous n'êtes pas visé : vous êtes dans une liste.

Étape 2 : Les cinq indices qui trahissent

Ce qu'il faut regarder avant de toucher quoi que ce soit

Touchez chaque indice pour savoir quoi regarder.

L'adresse d'envoi

service-client@la-poste-colis-suivi.info n'est pas La Poste. Regardez ce qui précède le dernier point avant le « / ».

Le lien maquillé

Le texte affiche un site connu, le lien réel pointe ailleurs. Sur ordinateur, survolez sans cliquer ; sur téléphone, appuyez longuement pour voir l'adresse.

Une demande d'informations

Code de carte, mot de passe, code reçu par SMS. Aucune banque, aucune administration ne les demande.

Le ton

Menace, cadeau, urgence. Trois émotions qui font cliquer plus vite que le cerveau ne pense.

Les détails qui clochent

Fautes, logo approximatif, « Cher client » au lieu de votre nom.

Attention : l'orthographe ne suffit plusLes messages générés par IA sont désormais très bien écrits. Regardez l'adresse, le lien et la demande.

Entraînez-vous : auriez-vous cliqué ?

1 élève sur 12 a cliqué.

En 2025, le ministère de l'Éducation nationale a glissé un faux message piégé dans l'ENT de plus de 2,5 millions de collégiens et lycéens (l'opération « Cactus »). Environ 210 000 ont cliqué. Et toi ?

10 messages vont arriver sur ton téléphone. Pour chacun : tu fais confiance, ou tu te méfies ? Rien n'est envoyé, rien n'est enregistré.

Étape 3 : Le bon réflexe, en 10 secondes

Ne jamais cliquer depuis le message

Ne cliquez jamais depuis le message.Ouvrez vous-même l'application ou tapez l'adresse du site officiel : si l'information est vraie, elle y sera aussi.

Un doute sur un appel ?Raccrochez et rappelez le numéro officiel, jamais celui qu'on vous donne.
Un SMS douteux ?Transférez-le au 33700.
Une arnaque ?Signalez-la sur cybermalveillance.gouv.fr.

Urgence + lien + demande d'informations = hameçonnage jusqu'à preuve du contraire.

Étape 4 : Vous avez cliqué ?

Pas de honte : trois gestes, tout de suite

Ce n'est pas honteux.Ces arnaques sont conçues par des professionnels. Ce qui compte, c'est d'agir vite.

Changez immédiatement le mot de passe concernéEt partout où vous utilisiez le même.
Prévenez votre banqueSi vous avez saisi un numéro de carte ou un code.
Faites oppositionSur la carte concernée, sans attendre de voir un débit.

Près de 4 demandes d'aide sur 10 concernent l'hameçonnage

Première menace pour les particuliers, loin devant les virus.

4 sur 10 demandes d'assistance de particuliers liées à l'hameçonnage

ordre de grandeur · Source : Rapport d'activité Cybermalveillance.gouv.fr 2023

Près de 4 demandes d'aide sur 10 concernent l'hameçonnage
4 sur 10	demandes d'assistance de particuliers liées à l'hameçonnage

🎯 Le défi — 3 questions

Plus court qu'un test de certification, mieux expliqué, et sans inscription. Rien n'est enregistré.

Entraînez-vous : auriez-vous cliqué ?

🎯 Le défi — 3 questions

À lire ensuite