Une arnaque au colis d’un genre nouveau circule par SMS en France depuis la mi-mars 2026. Le message joint la photo d’un carton portant le nom, le prénom et parfois l’adresse du destinataire. Cette image est fabriquée par intelligence artificielle. Le faux transporteur, le plus souvent Mondial Relay, annonce une livraison manquée. Son lien renvoie vers un site qui réclame des frais, puis collecte les coordonnées bancaires.
Les noms et adresses imprimés sur ces faux cartons viennent des fuites de fichiers survenues ces derniers mois. Votre organisme a perdu un fichier de clients, d’usagers ou d’adhérents ? Ces personnes deviennent alors des cibles directes. Vos obligations ne s’arrêtent pas à la notification.
Comment fonctionne l’arnaque au colis personnalisée par IA
Le SMS reprend le scénario connu de la livraison manquée. La nouveauté tient à l’image jointe : un livreur tient un colis dont l’étiquette affiche l’identité réelle de la victime. Une IA génère cette photo à partir de données personnelles récupérées lors de fuites précédentes. Le lien mène ensuite vers une copie du site du transporteur.
Le piège fonctionne, car le public avait appris à repérer un message impersonnel. Un SMS qui cite votre nom et montre un carton à votre adresse franchit donc ce premier filtre. Mondial Relay rappelle pourtant qu’il n’envoie jamais de photo personnalisée de colis portant le nom de ses clients.
Une telle photo signale à elle seule une fraude.
En pratique, pour vérifier une livraison, tapez vous-même l’adresse du site officiel du transporteur. Saisissez ensuite le numéro de suivi indiqué dans la confirmation de commande du vendeur. Le lien du SMS ne sert à rien d’autre qu’à vous faire payer.
Les fuites de données qui alimentent le faux SMS de livraison
Les escrocs puisent dans les fichiers volés aux organismes français. Ainsi, l’intrusion dans le fichier national des comptes bancaires (Ficoba), annoncée par Bercy en février 2026, a exposé les données de 1,2 million de comptes : RIB, identité du titulaire, adresse.
En janvier 2026, l’Office français de l’immigration et de l’intégration (OFII) a confirmé une compromission chez un prestataire chargé des cours de langue. De plus, la plateforme HubEE, utilisée pour des démarches sur service-public.gouv.fr, s’est vu dérober 70 000 dossiers. Enfin, France Travail a signalé une cyberattaque touchant jusqu’à 340 000 demandeurs d’emploi (la check-list accès tirée du dossier France Travail reprend les contrôles à mener), et les fédérations françaises de rugby et de karaté ont déclaré un vol de données de licenciés.
Chaque fichier apporte une pièce du puzzle : un nom ici, une adresse là, un numéro de téléphone ailleurs. En croisant ces sources, les fraudeurs reconstituent des profils assez complets pour personnaliser un SMS. Une fuite continue donc de produire ses effets des mois après sa découverte. Les personnes dont les données circulent le constatent dans leur boîte de SMS.
Après une fuite, préparer les personnes à l’arnaque au colis
L’article 33 du RGPD impose de notifier à la Commission nationale de l’informatique et des libertés (CNIL) toute violation susceptible d’engendrer un risque pour les droits et libertés des personnes, dans les 72 heures après en avoir pris connaissance. Le tutoriel pour notifier une violation de données personnelles décrit la démarche pas à pas.
Lorsque le risque est élevé, l’article 34 impose aussi d’informer directement les personnes concernées. Nous considérons qu’une fuite d’identités, d’adresses et de numéros de téléphone entre dans ce cas, puisque ces données servent aujourd’hui à des escroqueries ciblées. Le message décrit la violation, ses conséquences probables et les mesures prises.
Un courrier qui se contente d’écrire « vos données ont pu être exposées » ne protège personne. Ajoutez des consignes concrètes : une photo de colis à votre nom ne prouve aucune livraison, aucun frais ne se règle par un lien reçu par SMS, et un SMS suspect se transfère au 33700 ou se signale sur signal-spam.fr. Notre article sur la communication d’une violation aux personnes notifiées propose une méthode pour rédiger ce message.
En amont, l’article 32 exige des mesures de sécurité adaptées au risque sur les bases clients. Par exemple : l’authentification multifacteur pour les accès à distance, le chiffrement, des droits limités au besoin de chaque poste. Consignez aussi chaque violation dans votre registre, même sans notification. DPO Suite, l’application de conformité de DPO FRANCE, tient ce registre des violations et garde la trace des décisions prises.
Sources
Le mécanisme de l’arnaque est décrit par Siècle Digital dans Faux colis : l’arnaque SMS dopée à l’IA devient redoutable, et par Clubic dans Arnaque au faux colis par SMS : et maintenant, les hackers collent même votre nom sur la photo du carton.
Le piratage du Ficoba est rapporté par Le Monde Informatique dans Bercy alerte sur le piratage du fichier national des comptes bancaires.
Les incidents de l’OFII et de HubEE figurent dans l’article de Banque des territoires Fuite de données personnelles : la série noire continue pour l’Etat, et celui de France Travail dans France Travail victime d’une cyberattaque, 340.000 demandeurs d’emploi potentiellement concernés.
Le vol de données des fédérations sportives est relaté par Next dans Les fédérations françaises de rugby et de karaté signalent un vol de données.
Les règles de notification sont celles de la page de la CNIL Notifier une violation de données personnelles.
Questions fréquentes
Comment reconnaître une arnaque au colis par SMS ?
Un SMS qui annonce une livraison manquée et vous demande de payer des frais par un lien présente tous les signes de l’arnaque au colis. Depuis mars 2026, la photo d’un carton portant votre nom ne prouve rien : elle est générée par IA à partir de données issues de fuites.
Mondial Relay envoie-t-il des photos de colis avec le nom du client ?
Non, Mondial Relay rappelle qu’il n’envoie jamais de photo personnalisée de colis portant le nom de ses clients. Une telle image jointe à un SMS signale donc une tentative de fraude.
Où signaler un faux SMS de livraison ?
Transférez le SMS au 33700, le numéro de signalement des SMS frauduleux, ou signalez-le sur signal-spam.fr. Supprimez ensuite le message sans ouvrir le lien.
Comment les escrocs connaissent-ils mon nom et mon adresse ?
Les escrocs utilisent des données volées lors de fuites, comme celles du fichier Ficoba, de France Travail ou de fédérations sportives. Ils croisent plusieurs fichiers pour reconstituer nom, adresse et numéro de téléphone.
Une entreprise dont le fichier clients a fuité doit-elle prévenir ses clients ?
Oui, lorsque la violation présente un risque élevé pour les personnes, l’article 34 du RGPD impose de les informer directement. La notification à la CNIL est due dans les 72 heures dès que la violation présente un risque pour leurs droits et libertés.
