Faux SMS Chronopost « colis en attente » : nouvelle variante
SMS prétendant un colis en attente avec frais de redélivraison de 2,99 €. Variante visant à voler la CB via faux 3D Secure.
Qu'est-ce qui se passe
2,99 €. Trois euros. Un café au comptoir. C'est le montant que les attaquants demandent aux victimes du nouveau SMS Chronopost qui circule depuis le 20 mai 2026 — et c'est précisément ce qui rend la campagne si efficace. Personne ne déclenche son cerveau analytique pour 2,99 €. C'est la base de la psychologie comportementale appliquée à l'arnaque.
Le SMS est sobre : « Chronopost : votre colis est en attente. Frais de redélivraison 2,99 €. Régularisez ici : [lien] ». Numéro court à 5 chiffres ou pseudo-ID expéditeur affichant simplement CHRONO.
La mécanique du leurre
Le piège ne porte pas sur les 2,99 €. Le formulaire récupère :
- Numéro de CB complet
- Date d'expiration et CVV
- Code 3D Secure envoyé par la banque réelle lors d'une tentative d'achat de l'attaquant en arrière-plan
Une fois le code 3DS donné, l'attaquant déclenche un débit immédiat sur un site marchand qui accepte 3DS — souvent autour de 300-800 €, montant calibré pour rester sous certains seuils d'alerte bancaire. C'est exactement la mécanique fake-3ds déjà observée sur la vague Engie et la variante Cdiscount de cette semaine.
Domaines actifs sur cette campagne : chrono-livraison.shop, chronopost-fr.top, chrono-pay.com. Tous enregistrés moins d'une semaine avant la diffusion.
Comment reconnaître — et pourquoi le « petit montant » est le signal
Si un SMS te demande quelques euros pour un colis, et que tu te dis « bon allez, 3 € c'est rien », c'est exactement le moment où tu dois t'arrêter. Aucun transporteur français ne réclame un règlement par SMS direct, à aucun montant.
- Domaine officiel : chronopost.fr (et uniquement)
- Vrai colis Chronopost = numéro de suivi à 13 chiffres traçable sur le site officiel
- Si tu attends vraiment un colis, ouvre l'app Chronopost ou tape l'URL — tu vois ton suivi sans rien payer
Que faire si concerné
- Si tu n'as rien saisi : signale le SMS au 33700 (transfert direct gratuit), ça nourrit la base de blocage opérateurs
- Si CB saisie sans 3DS : opposition à la banque, surveille les transactions 30 jours
- Si code 3DS donné : appelle la banque dans la minute — le débit peut tomber dans l'heure
- Active les notifications push bancaires pour toute transaction si tu ne l'as pas déjà fait. C'est ce qui fait gagner les 30 secondes critiques pour bloquer un débit
Sources
Sources
Pour comprendre toute la mécanique de ce type d'arnaque et comment se protéger en amont :
Guide arnaques SMS colis →Même marque ou même canal
Alerte rédigée par l'équipe éditoriale killscam après recoupement de sources publiques (2 références citées ci-dessus). Première observation par notre veille le 20 mai 2026. Dernière vérification le 21 mai 2026.
Nos critères de publication, nos sources et nos garanties éditoriales sont détaillés sur la page méthodologie. Une info à corriger ou une nuance à ajouter ? écris-nous.