Vous attendiez un colis et vous avez reçu un SMS qui tombe à pic : « votre colis est en attente », « frais de livraison à régler », « confirmez votre adresse », avec un lien qui ressemble à celui d’un transporteur connu. Vous avez cliqué, vous avez saisi votre nom, votre adresse, parfois vos coordonnées bancaires pour payer un ou deux euros de « frais », puis plus rien, ou une page qui se referme. Quelques heures ou quelques jours plus tard, des débits apparaissent, des codes d’authentification arrivent, un interlocuteur se présentant comme votre banque vous appelle, ou votre adresse électronique est inondée de tentatives de connexion.

Ce scénario correspond à une technique documentée par les pouvoirs publics sous le nom de smishing, contraction de SMS et de phishing. La page officielle consacrée aux SMS frauduleux de livraison de colis décrit des messages qui invitent à cliquer sur un lien et à communiquer des données personnelles ou bancaires, et recommande de signaler le message sur la plateforme 33700 ou par SMS au 33700. La fiche réflexe de Cybermalveillance.gouv.fr consacrée à l’hameçonnage rappelle la même conduite : signaler le message à Signal Spam ou au 33700 pour les SMS, et alerter l’organisme usurpé. La page de la CNIL consacrée au spam, à l’hameçonnage et aux arnaques invite également à transférer le SMS abusif au numéro 33700 et précise qu’il s’agit d’un dispositif d’alerte par SMS créé avec les opérateurs.

Cet article explique comment qualifier ces faits en droit français, ce que l’expéditeur du message cherche à obtenir, quels réflexes adopter dans les premières heures, comment signaler utilement, quand et comment demander à votre banque le remboursement d’opérations contestées, comment porter plainte, et comment exercer vos droits sur vos données personnelles. Il s’appuie sur des textes en vigueur vérifiés à la date de rédaction et sur des décisions de justice récentes rendues dans des affaires d’hameçonnage et de validation d’opérations par authentification forte.

I. Comprendre l’attaque : un SMS de livraison qui vise vos données personnelles et votre compte

A. Un SMS de faux transporteur qui réunit plusieurs infractions pénales

Le message se présente presque toujours de la même manière : un expéditeur au nom évocateur, un numéro mobile ordinaire ou un émetteur alphabétique imitant un transporteur, un prétexte crédible lié à un colis bloqué, en attente, avec un supplément à payer, ou une adresse à confirmer, et un lien raccourci ou un nom de domaine proche de celui du véritable transporteur. Le lien conduit vers une page qui reprend les codes visuels du transporteur, demande le nom, l’adresse postale, l’adresse électronique, le numéro de téléphone, puis, au motif de frais de quelques euros, les seize chiffres de la carte bancaire, sa date d’expiration, son cryptogramme visuel, parfois le code reçu par SMS.

Chacune de ces étapes peut recevoir une qualification pénale distincte, ce qui compte pour le dépôt de plainte et pour la suite du dossier.

D’abord, la manœuvre d’ensemble correspond à la définition légale de l’escroquerie, qui vise « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale », et plus précisément le fait « de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque », punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. Se faire passer pour un transporteur, pour une plateforme de suivi ou pour une administration, créer un faux site de paiement de frais de livraison et amener la personne à saisir ses données bancaires entre dans ce schéma : usage d’un faux nom, manœuvres frauduleuses, remise de fonds ou de données permettant d’en obtenir.

Ensuite, l’usurpation du nom du transporteur et l’utilisation de vos propres données relèvent de l’usurpation d’identité. Le texte vise « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération », avec une peine d’un an d’emprisonnement et de 15 000 € d’amende, et précise que « Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne ». Un SMS qui affiche le nom d’un transporteur connu alors qu’il provient d’un fraudeur, puis un site qui réutilise son logo et sa charte, illustrent cette usurpation sur un réseau de communication au public en ligne.

La collecte elle-même est punie lorsqu’elle est déloyale. Le code pénal dispose que « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende ». Un formulaire qui se présente comme la page officielle de suivi d’un colis et qui sert en réalité à aspirer des identifiants, des adresses et des numéros de carte correspond à une collecte par un moyen frauduleux au sens de ce texte.

Enfin, lorsque les données volées servent à pénétrer dans votre messagerie, votre espace bancaire ou votre compte sur le site d’un commerçant, le texte sur les systèmes de traitement automatisé de données s’applique. Il dispose que « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données ». L’utilisation d’un mot de passe ou d’un code intercepté pour ouvrir votre compte entre dans cette définition, avant même tout débit.

Concrètement, votre plainte n’a pas à choisir entre ces qualifications. Décrivez les faits dans l’ordre : heure du SMS, numéro ou nom d’émetteur affiché, libellé exact, lien complet, captures d’écran, page demandant les données, sommes prélevées, appels reçus ensuite. Le service enquêteur et le parquet qualifient. Votre travail consiste à figer les preuves et à montrer le lien entre le SMS, la page frauduleuse et les mouvements constatés.

B. Ce que le fraudeur cherche : des données réutilisables, pas seulement deux euros de frais

Le paiement de frais de livraison de quelques euros n’est presque jamais l’objectif final. Il sert à vérifier que la carte fonctionne et à collecter des données qui seront réutilisées, revendues ou combinées avec d’autres fuites. Les formulaires demandent le nom, l’adresse, le téléphone, l’adresse électronique, la date de naissance, puis les données de carte. Chaque champ a une valeur : l’adresse électronique et le téléphone permettent de vous recontacter avec un discours déjà personnalisé, l’adresse postale rend crédible un faux courrier ou une fausse convocation, les données de carte permettent des paiements à distance, la date de naissance facilite la réinitialisation de mots de passe.

La deuxième phase commence souvent par un appel ou un nouveau SMS. L’interlocuteur connaît votre nom, votre adresse, les quatre derniers chiffres de votre carte, le nom de votre banque deviné ou obtenu par ailleurs, et se présente comme le service antifraude de votre banque, un transporteur, voire un service de police. Il annonce des opérations suspectes, demande d’annuler des virements, de valider des notifications, de communiquer les codes reçus par SMS, de désinstaller puis réinstaller une application, ou de remettre une carte à un coursier. Deux décisions récentes illustrent ce basculement entre un premier hameçonnage et des validations obtenues ensuite.

Dans un jugement du 8 juillet 2026, le tribunal judiciaire de Paris a statué sur le cas d’une cliente contactée par un individu dont le numéro correspondait à celui de la conciergerie liée à sa carte bancaire, qui avait validé des opérations au moyen de sa clé digitale puis remis ses cartes à un tiers venu les récupérer à des fins prétendument de destruction. La cliente avait contesté huit opérations pour un montant total de 22 225,61 euros et demandait à sa banque le remboursement du reliquat après un remboursement partiel de 11 000 euros. Le tribunal a examiné au regard des articles L. 133-6, L. 133-18, L. 133-19, L. 133-23 et suivants du code monétaire et financier si les opérations étaient autorisées et si une négligence grave était rapportée, avant de débouter la demanderesse de l’ensemble de ses demandes (jugement du tribunal judiciaire de Paris, 9e chambre 2e section, 8 juillet 2026, RG 24/02122). L’intérêt de cette décision pour un lecteur visé par un SMS colis tient à sa structure : la charge de la preuve de l’autorisation et de la négligence grave pèse sur la banque, mais une succession de validations par authentification forte, combinée à la remise de la carte, peut conduire le juge à considérer que la preuve est rapportée.

Dans un arrêt du 26 février 2025, la cour d’appel de Riom a confirmé un jugement qui avait débouté un client demandant à sa banque le remboursement de 17 687,81 euros après un enchaînement parti d’un SMS frauduleux prétendument envoyé par l’assurance maladie, suivi d’appels d’un faux service antifraude et de validations répétées par clé digitale (arrêt de la cour d’appel de Riom, 3e chambre civile et commerciale, 26 février 2025, RG 24/00846). Le client expliquait avoir cliqué sur un lien pour obtenir une nouvelle carte vitale et saisi ses coordonnées bancaires et personnelles, puis avoir reçu des appels masqués et du numéro de sa banque l’invitant à annuler des opérations pour être remboursé, sans jamais avoir voulu valider de paiement ni d’ajout de bénéficiaires. La cour a retenu que les virements et les paiements n’avaient pu être réalisés qu’avec son concours, par l’usage répété de sa clé digitale, et que la communication de ses données puis la validation à de nombreuses reprises d’opérations sur les seules instructions d’un interlocuteur non vérifié caractérisaient une négligence grave. Cet arrêt montre pourquoi un SMS colis anodin en apparence engage toute la suite : chaque validation donnée ensuite au téléphone sera relue par le juge comme un acte volontaire, sauf à démontrer précisément ce qui a été validé, dans quelles conditions, et ce que la banque aurait dû détecter.

Ces deux décisions ne signifient pas qu’une personne qui a cliqué perd toujours ses droits. Elles montrent que le débat se jouera sur trois points : les opérations étaient-elles autorisées, la banque rapporte-t-elle la preuve d’une négligence grave ou d’une fraude du client, et la banque a-t-elle respecté son obligation de remboursement et de vigilance. Les règles applicables à ce débat relèvent du code monétaire et financier et sont examinées dans la seconde partie.

Sur le plan des données personnelles, le SMS colis pose une difficulté distincte des débits. Même sans perte d’argent immédiate, vos nom, adresse, téléphone, adresse électronique et données de carte circulent désormais dans des mains frauduleuses. Elles peuvent servir à d’autres hameçonnages, à des inscriptions à votre nom, à des demandes de crédit, à des piratages de comptes par réinitialisation. C’est pourquoi la réponse ne se limite pas à l’opposition sur la carte : elle comprend le verrouillage des comptes exposés, la surveillance des relevés et des espaces en ligne, l’information des organismes dont l’identité a été usurpée, et l’exercice de vos droits auprès des responsables de traitement légitimes qui détiendraient indûment des données collectées dans ce contexte. La page de la CNIL consacrée aux spams, à l’hameçonnage et aux arnaques décrit l’hameçonnage comme le fait pour le fraudeur de se faire passer pour un organisme familier en utilisant son logo et son nom et de demander de mettre à jour ou de confirmer des données, notamment bancaires, et recommande de ne pas répondre, de ne pas ouvrir les pièces jointes ni les liens, et de signaler via les plateformes dédiées.

Un point mérite d’être souligné pour les lecteurs qui utilisent le même mot de passe sur plusieurs sites ou qui ont saisi un mot de passe sur la fausse page de suivi. Changez immédiatement ce mot de passe partout où il est réutilisé, activez la double authentification sur la messagerie principale, sur le compte bancaire et sur les comptes associés à des paiements enregistrés, vérifiez les règles de renvoi et les appareils connectés de votre messagerie, et conservez la trace des modifications constatées. Ces mesures simples limitent la transformation d’un vol de données en prise de contrôle durable de vos comptes, qui relève aussi du texte sur l’accès frauduleux à un système de traitement automatisé de données cité plus haut.

II. Agir vite et dans l’ordre : bloquer, signaler, contester et faire réparer

A. Les premières heures : couper l’accès, figer les preuves, alerter les bons guichets

La première heure conditionne la suite. Ne cliquez plus sur le lien, ne rappelez pas le numéro, ne communiquez aucun code reçu par SMS, ne validez aucune notification d’authentification pour annuler une opération, et ne remettez ni carte ni espèce à un coursier. Si une personne se présentant comme votre banque vous appelle dans la foulée du SMS, raccrochez et rappelez vous-même le numéro figurant au dos de votre carte ou sur votre espace bancaire, sans utiliser un numéro communiqué par l’appelant. Les décisions citées plus haut montrent que les validations données dans la précipitation, même présentées comme des annulations, sont ensuite analysées comme des autorisations.

Signalez le SMS sans délai. Transférez le message au 33700, sans commentaire, puis suivez les instructions reçues en retour pour compléter le signalement. La CNIL indique que vous pouvez transférer le SMS abusif au numéro 33700 et que ce dispositif d’alerte par SMS a été créé par les opérateurs télécoms, les éditeurs de services et les pouvoirs publics. La plateforme officielle 33700 permet de signaler les SMS et appels indésirables et d’être accompagné dans les démarches. La fiche réflexe hameçonnage de Cybermalveillance.gouv.fr invite à signaler le message à Signal Spam ou au 33700 pour les SMS et à alerter l’organisme dont l’identité a été usurpée. Conservez l’accusé de réception et les références du signalement : ils feront partie de votre dossier.

Si vous avez saisi des données de carte ou constaté un débit, faites opposition immédiatement auprès de votre banque par le numéro d’urgence, puis confirmez par écrit dans votre espace client. Relevez l’heure de l’opposition et le numéro de dossier. Vérifiez aussi vos autres comptes : messagerie, opérateur mobile, sites marchands où la carte est enregistrée, portefeuilles numériques. Si un mot de passe a été saisi sur la fausse page, modifiez-le sans attendre, déconnectez les sessions actives, et contrôlez les opérations récentes. Si vous avez installé une application ou une extension à la demande de l’interlocuteur, désinstallez-la, faites analyser l’appareil par un antivirus à jour, et, en cas de doute persistant sur une prise en main à distance, faites vérifier l’appareil par un professionnel avant toute nouvelle connexion bancaire.

Figez les preuves avec méthode, car le contentieux bancaire et pénal se joue sur des écrits précis. Conservez le SMS original avec l’émetteur, la date et l’heure, sans le supprimer, effectuez des captures d’écran du message, du lien complet, de la fausse page et des champs demandés, exportez l’historique d’appels et de SMS, conservez les notifications d’authentification, les relevés d’opérations, les échanges avec la banque et l’opérateur, et notez heure par heure la chronologie. Si le lien est encore actif, ne le diffusez pas et ne le testez pas depuis un appareil contenant vos données ; transmettez-le tel quel aux plateformes de signalement et, le cas échéant, aux enquêteurs.

Adressez ensuite les signalements complémentaires, chacun avec sa fonction. Le signalement au 33700 sert la lutte contre les spams et les campagnes en cours. Le signalement sur la plateforme Signal Spam concerne les courriers électroniques et permet de qualifier le message. Le signalement à l’organisme usurpé, transporteur, banque, opérateur, permet de faire fermer la fausse page et d’obtenir, si besoin, une attestation d’usurpation utile pour votre dossier. Le dépôt de plainte, lui, ouvre la voie pénale et conditionne certaines demandes de remboursement ou d’indemnisation. Pour un SMS colis ayant entraîné un vol de données ou un débit, déposez plainte au commissariat ou à la gendarmerie, ou par la plateforme de dépôt en ligne lorsqu’elle est disponible, en joignant vos captures, vos relevés et vos références de signalement. Visez les faits : hameçonnage par SMS, collecte frauduleuse de données, usurpation d’identité du transporteur, accès frauduleux à vos comptes, escroquerie et, le cas échéant, opérations de paiement contestées. Demandez et conservez le récépissé.

Enfin, exercez vos droits sur vos données. Vous pouvez demander à tout organisme légitime qui vous oppose un traitement fondé sur des données issues de cette fraude de vérifier la licéité de la collecte, et saisir la CNIL par une plainte en ligne si un responsable de traitement ne répond pas ou maintient un traitement que vous contestez. La CNIL distingue sur sa page dédiée les spams, les tentatives d’escroquerie et l’hameçonnage, et oriente vers les plateformes de signalement puis vers la plainte auprès de ses services. Conservez vos courriers, les réponses, et les délais de réponse, car ils documentent votre diligence, point que les banques et les juges examinent de près.

Les lecteurs d’Île-de-France suivent la même procédure nationale, avec un point d’attention pratique : les dépôts de plainte et les oppositions se font sans déplacement inutile, par téléphone et en ligne, et les rendez-vous bancaires pour contester des opérations peuvent être pris dans n’importe quelle agence du réseau en conservant la trace écrite dans l’espace client. L’important reste l’ordre : bloquer, signaler au 33700, faire opposition, figer les preuves, puis contester par écrit auprès de la banque et déposer plainte, sans inverser les étapes.

B. Obtenir le remboursement et la réparation : contestation bancaire, responsabilité et préjudices

La contestation bancaire obéit à des règles précises du code monétaire et financier, distinctes de la plainte pénale et du signalement. Contestez par écrit auprès de votre prestataire de services de paiement, dans votre espace client ou par lettre recommandée, en listant chaque opération, sa date, son montant, son bénéficiaire apparent, et en indiquant que vous n’en êtes pas l’auteur ou que vous n’avez pas consenti au montant et au bénéficiaire. Joignez le récépissé de plainte, les captures du SMS et de la fausse page, les références 33700 et Signal Spam, et l’historique de l’opposition. Demandez expressément le remboursement et la remise en état du compte.

Le principe est que la banque rembourse vite. Le texte dispose que le prestataire « rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé », « et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant ». Cette règle s’applique dans les conditions prévues à l’article L. 133-24, c’est-à-dire après un signalement effectué sans tarder. Concrètement, après votre contestation écrite, la banque doit rembourser au plus tard à la fin du premier jour ouvré suivant, sauf si elle a de bonnes raisons écrites de soupçonner une fraude de votre part et qu’elle les communique à la Banque de France. En cas de retard, le texte prévoit des intérêts majorés, ce qui incite à dater précisément chaque envoi.

Le signalement doit intervenir dans le délai légal. Le texte dispose que « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion ». Ce délai de treize mois court à compter de la date de débit et s’applique sous peine de forclusion, sauf si la banque ne vous a pas fourni les informations relatives à l’opération. Signalez donc sans tarder et, en tout état de cause, avant l’expiration de ce délai de treize mois suivant chaque débit, en conservant la preuve de la date de votre contestation.

La banque peut refuser en invoquant votre négligence grave ou une fraude de votre part, et c’est là que se joue l’essentiel des litiges de smishing colis. Le texte prévoit que « le payeur supporte, avant l’information prévue à l’article L. 133-17 , les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 € », mais ajoute que « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 ». La banque doit rapporter cette preuve, et le juge vérifie concrètement ce qui a été validé, combien de fois, avec quel niveau d’information, et si les opérations présentaient des anomalies apparentes tenant à leur montant, à leur bénéficiaire, à leur horaire ou à leur enchaînement.

Deux garde-fous protègent le client. D’abord, sans authentification forte exigée par la banque, le client ne supporte en principe aucune conséquence financière, puisque le texte dispose que « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44 ». Ensuite, lorsque le bénéficiaire ou son prestataire n’accepte pas une authentification forte, le texte prévoit qu’« il rembourse le préjudice financier causé au prestataire de services de paiement du payeur ». Dans un dossier de SMS colis, vérifiez donc si chaque débit contesté a donné lieu à une authentification forte régulière, ce que la banque doit documenter par des journaux techniques, et non par une simple affirmation.

Les décisions citées en première partie montrent comment les juges appliquent ces textes. Dans l’affaire parisienne de juillet 2026, le tribunal a recherché si les huit opérations litigieuses avaient été autorisées au sens des articles L. 133-3 et L. 133-6 du code monétaire et financier et si la banque rapportait la preuve d’une négligence grave, avant de débouter la cliente au vu des validations par clé digitale et de la remise des cartes (jugement du tribunal judiciaire de Paris, 9e chambre 2e section, 8 juillet 2026, RG 24/02122). Dans l’affaire jugée à Riom en février 2025, la cour a retenu que la communication des données personnelles et bancaires sur un lien frauduleux, suivie de validations répétées à la demande d’un faux service antifraude, caractérisait une négligence grave exclusive du remboursement (arrêt de la cour d’appel de Riom, 3e chambre civile et commerciale, 26 février 2025, RG 24/00846). À l’inverse, un dossier où le client n’a ni validé ni communiqué de code, où l’authentification forte fait défaut, où les débits présentent des anomalies manifestes non détectées, ou où la banque ne produit pas les journaux d’authentification, place la banque en difficulté pour refuser le remboursement. Chaque situation se juge sur pièces, chronologie et journaux, jamais sur une impression générale.

Si la banque maintient son refus, organisez la contestation. Demandez par écrit les journaux d’authentification de chaque opération, la nature exacte de l’authentification forte mise en œuvre, les alertes générées et les motifs précis du refus. Saisissez le médiateur bancaire après un refus écrit ou deux mois sans réponse utile, en joignant l’ensemble du dossier, puis, à défaut d’accord, le tribunal judiciaire. Parallèlement, la plainte pénale suit son cours et peut aboutir à l’identification des bénéficiaires, à des restitutions ou à des dommages et intérêts devant le juge pénal en cas de poursuites. Pour les lecteurs confrontés à un enchaînement entre un SMS de livraison et un faux appel de conseiller, l’analyse détaillée des appels usurpés et des validations obtenues sous pression est développée dans notre dossier sur les faux conseillers bancaires et faux policiers, qui complète utilement ce guide lorsque le SMS colis n’était que la première étape.

Enfin, chiffrez vos préjudices au-delà des débits. Frais d’opposition et de renouvellement de carte, frais bancaires liés aux découverts provoqués, temps de démarches, préjudice moral lié à l’usurpation et à la crainte d’une réutilisation des données, frais de sécurisation des comptes : chaque poste doit être justifié par une facture, un relevé ou une attestation. Conservez aussi les réponses de la banque, de l’opérateur et des organismes signalés, car elles établissent votre diligence et, le cas échéant, les manquements opposés. Une contestation bancaire rigoureuse, un signalement 33700 documenté, une plainte pénale précise et une demande à la CNIL lorsque des données sont maintenues indûment forment un ensemble cohérent qui maximise les chances de remboursement et de réparation, sans jamais garantir un résultat qui dépendra des pièces et des journaux versés aux débats.

Conclusion

Un SMS annonçant un colis en attente et réclamant quelques euros n’est presque jamais un incident de livraison : il s’agit d’une tentative organisée de collecte frauduleuse de vos données personnelles et bancaires, qui peut enchaîner vers des appels usurpés, des validations extorquées et des débits. Le réflexe utile tient en quelques gestes : ne pas cliquer une seconde fois, ne valider aucune notification pour annuler, transférer le message au 33700, faire opposition sans attendre si des données de carte ont été saisies, figer les preuves, contester chaque débit par écrit auprès de la banque au plus tard dans les treize mois suivant la date de débit sous peine de forclusion, et déposer plainte en visant l’escroquerie, l’usurpation d’identité, la collecte déloyale et l’accès frauduleux. Le remboursement intervient en principe « et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant » le signalement, sauf fraude ou négligence grave dont la preuve incombe à la banque, dans la « limite d’un plafond de 50 € » avant opposition dans les cas simples. Les décisions récentes montrent que les juges examinent chaque validation et chaque journal d’authentification : documentez tout, conservez tout, et faites vérifier chaque refus écrit avant de saisir le médiateur puis, si nécessaire, le juge.