Colis avec message vocal généré par IA : la nouvelle arnaque qui imite un vrai livreur

Vous connaissez le faux SMS de livraison. Le message mal écrit, le lien bizarre, l’expéditeur en 06 : vous le repérez à deux mètres. Oubliez ça. La version qui circule en France depuis le printemps arrive avec votre nom, votre adresse, une photo de votre colis et un message vocal d’un livreur qui a l’air pressé.

Tous les repères habituels sautent d’un coup. Je vais vous montrer ce que contient exactement ce piège, pourquoi les 2 euros qu’on vous réclame ne sont pas le vrai vol, et le seul réflexe qui tient encore debout face à ce niveau de personnalisation.

Ce que vous recevez exactement

Le piège arrive en trois morceaux, et c’est leur combinaison qui fait la différence avec le smishing (l’hameçonnage par SMS) classique.

Premier morceau, un SMS personnalisé. Pas le message générique « votre colis est en attente ». Celui-ci porte vos nom et prénom, parfois votre adresse de livraison complète. Les escrocs les tirent d’une fuite de données commerciale, et il en sort assez pour alimenter des campagnes entières.

Deuxième morceau, une photo du colis. Une image générée par intelligence artificielle qui montre un carton tenu par un livreur, avec votre identité imprimée sur l’étiquette. C’est la pièce qui fait basculer les gens. Une photo de votre nom sur un colis, ça ne ressemble à rien de ce que produit une arnaque de masse.

Troisième morceau, le message vocal. Une voix d’homme fabriquée par clonage vocal, au débit d’un type en retard sur sa tournée. Le texte relevé par plusieurs victimes est toujours le même :

Bonjour c’est le livreur, alors je suis passé il y a 30 minutes pour vous déposer un colis, malheureusement il ne rentrait pas dans la boîte aux lettres, du coup, je vous ai envoyé un SMS pour reprogrammer la livraison, merci.

Lisez-le à voix haute. Il n’y a aucune menace, aucune urgence, aucune faute. Juste un gars qui fait son boulot et qui vous prévient. C’est exactement pour ça que ça marche.

Les transporteurs usurpés dans les campagnes relevées à ce jour : Colissimo, Chronopost, Mondial Relay, Colis Privé et DHL. La liste n’a rien de fermé, c’est juste celle des marques les plus utilisées.

Pourquoi vos repères habituels ne servent plus

Tout ce qu’on vous a appris à repérer sur les faux SMS repose sur le fait que l’escroc ne vous connaît pas. Le message impersonnel, la formule maladroite, l’absence de numéro de suivi : ce sont des symptômes d’une campagne envoyée à 400 000 numéros d’un coup.

Ici, la personnalisation est fabriquée à la chaîne par des outils automatiques. Générer 400 000 images de colis avec 400 000 noms différents coûte aujourd’hui quelques euros. Cloner une voix demande une poignée de secondes d’audio. La personnalisation n’est plus un signe d’authenticité, et c’est le vrai changement à intégrer.

Cette arnaque est cousine de celle des appels à la voix clonée par IA, mais elle est plus vicieuse sur un point : là, il y a quelqu’un au bout du fil qui improvise et qui peut se trahir. Ici, c’est un enregistrement parfait, joué à l’identique des milliers de fois. Aucune hésitation, aucun blanc, rien à quoi se raccrocher.

Les 2 euros ne sont pas le vol

C’est le point que la plupart des articles survolent, et c’est le plus important.

Le lien du SMS ouvre une copie du site du transporteur. On vous demande de reprogrammer la livraison et de régler des frais de relivraison inférieurs à 2 euros. Vous saisissez votre carte. La somme est ridicule, vous validez sans réfléchir, et vous refermez l’onglet en pensant que l’affaire est réglée.

Ces 2 euros ne sont pas l’objectif. Ils servent à deux choses : vérifier que la carte est valide, et vous faire baisser la garde sur un montant que personne ne surveille.

La suite arrive quelques heures ou quelques jours plus tard. Le téléphone sonne, et c’est votre conseiller bancaire. Le numéro affiché est parfois celui de votre agence, usurpé par spoofing (falsification du numéro appelant). Il connaît votre nom, il sait qu’un paiement suspect vient de passer sur votre carte, il vous explique qu’il faut sécuriser le compte. Il vous demande de valider une opération dans votre application bancaire. Vous validez, et c’est vous qui autorisez le virement qui vous vide le compte.

Ce niveau de crédibilité vient de vos propres données : c’est vous qui les avez saisies sur le faux site vingt minutes plus tôt. Et la validation 3D Secure de votre application bancaire ne vous protège de rien dans ce scénario, puisque c’est vous qui appuyez sur le bouton. Techniquement, l’opération est autorisée, ce qui rend le remboursement autrement plus difficile à obtenir ensuite.

Soyons clairs sur ce point, parce qu’il vaut pour toutes les arnaques bancaires : aucune banque ne demandera jamais de valider une opération pour annuler une fraude. Une validation sert à autoriser, jamais à bloquer. Un conseiller qui vous demande d’approuver quelque chose « pour sécuriser » votre compte est un escroc, sans exception.

Le seul réflexe qui tient

Il tient en une phrase : ne partez jamais du message pour vérifier le message.

Concrètement, quand un SMS de livraison arrive, quel que soit son degré de perfection :

1. Vous ne touchez pas au lien. Ni pour cliquer, ni pour « voir où ça mène ».
2. Vous ouvrez l’application du transporteur, ou vous tapez son adresse à la main dans le navigateur.
3. Vous cherchez votre commande depuis le compte du marchand chez qui vous avez acheté. C’est lui qui détient le vrai numéro de suivi.
4. Si aucune livraison n’est en cours de votre côté, l’affaire est close. Vous supprimez le message.

Et une règle de fond, rappelée par Cybermalveillance.gouv.fr : un transporteur ne demande jamais de paiement par SMS ou par email. Pas 2 euros, pas 1 euro, pas de frais de douane, rien. Si on vous réclame de l’argent pour recevoir un colis par un message non sollicité, vous avez la réponse avant même de regarder le reste.

Petit conseil pour les proches moins à l’aise : ne leur apprenez pas à repérer les signes, ça ne marche plus. Apprenez-leur ce seul geste, ouvrir l’application officielle. Il fonctionne quel que soit le niveau de sophistication du piège, et il fonctionnera encore dans deux ans.

Vous avez donné votre carte : quoi faire, dans l’ordre

Pas la peine de paniquer, mais il faut aller vite, et dans le bon ordre.

Une précision avant tout : si vous avez seulement ouvert le lien sans rien saisir, il n’y a rien à faire. Une page de phishing (hameçonnage) n’installe rien sur un téléphone à jour, elle attend que vous remplissiez le formulaire. Fermez l’onglet et passez votre chemin. Les étapes ci-dessous valent pour ceux qui ont bel et bien tapé leur numéro de carte.

1. Faites opposition sur votre carte immédiatement, depuis votre application bancaire ou le numéro d’opposition de votre banque.
2. Attendez-vous à l’appel du faux conseiller et ne décrochez pas, ou raccrochez et rappelez votre banque au numéro figurant au dos de votre carte. Jamais le numéro qui vous a appelé.
3. Gardez les preuves : captures du SMS, de la photo, du site, et le fichier audio si vous l’avez encore.
4. Signalez sur Perceval, le service officiel de signalement des fraudes à la carte bancaire, et portez plainte.
5. Si vous avez besoin d’aide, France Victimes répond gratuitement au 116 006, tous les jours de 9 h à 20 h.

Pour le message lui-même, transférez-le au 33700, la plateforme de signalement des SMS frauduleux gérée par les opérateurs. C’est gratuit et ça sert vraiment : c’est ce qui permet de faire tomber les numéros émetteurs. Le faux site se signale de son côté sur Phishing Initiative, et La Poste comme Chronopost ont leurs propres adresses de signalement.

Ce que je retiens

Cette campagne circule en France depuis avril 2026 et s’est intensifiée cet été. Elle ne va pas disparaître, elle va se perfectionner : la prochaine version aura probablement une voix féminine, un accent régional, ou le nom de votre rue dans le vocal.

Trois choses à faire en sortant de cet article. Supprimez tout SMS de livraison contenant un lien, sans le lire en entier. Vérifiez vos colis depuis l’application du transporteur ou le compte du marchand, jamais autrement. Et expliquez à vos proches que si leur banque leur demande de valider quelque chose au téléphone, c’est un escroc.

Si vous voulez aller plus loin sur la mécanique de ces messages, j’ai détaillé les signaux qui trahissent une arnaque par SMS et, plus largement, comment se protéger du phishing au quotidien. Les repères classiques restent utiles pour le tout-venant. Ils ne suffisent simplement plus pour celle-ci.

Cela pourrait aussi vous intéresser

Mon ordinateur affiche une alerte virus : est-ce vrai, suis-je infecté ? Que faire Arnaque au remboursement d’impôt : repérer les faux messages du fisc Arnaque CNIL : ces faux emails qui promettent d’effacer vos données après une fuite Arnaque par SMS : 7 signaux d’alerte pour la repérer