Rechercher un numéro

Faux SMS bpost : reconnaître l'arnaque au colis

Par l'équipe StoryCheck · 7 min de lecture · Publié le 29 septembre 2026

Un SMS qui se présente comme bpost et te demande de payer quelques euros via un lien pour libérer un colis est presque toujours une arnaque. Pour un envoi qui vient de l'Union européenne, bpost ne demande jamais de payer pendant la livraison ; pour un colis venu d'un pays hors UE, de vrais frais d'importation existent, mais ils se paient dans l'app My bpost ou via Track & Trace, exceptionnellement dans un bureau de poste, et jamais par virement. Le bon réflexe en Belgique : ne clique pas, ouvre toi-même l'app ou le site, puis envoie une capture d'écran du message à suspect@safeonweb.be.

À quoi ressemble un faux SMS bpost ?

Le message est court, et il paraît crédible parce qu'il tombe au bon moment : presque tout le monde attend un colis. Il annonce un envoi bloqué, des frais de dédouanement d'un ou deux euros, une adresse incomplète ou une dernière tentative de livraison, avec un lien qui imite l'univers de bpost. Le petit montant est un leurre : le but n'est pas de te prendre deux euros, mais de récupérer les données de ta carte, tes codes de banque en ligne ou une confirmation itsme sur la page suivante.

• Des frais de douane ou de réexpédition à régler « dans les 24 heures », sinon le colis repart.
• Une adresse « incomplète » à confirmer dans un formulaire qui réclame aussi ta date de naissance et ta carte bancaire.
• Une « application de suivi » à installer : c'est par de faux SMS de colis que le logiciel malveillant Flubot s'est répandu en 2021, comme l'avait signalé Safeonweb.
• Le même scénario au nom d'autres transporteurs : Safeonweb a notamment signalé de faux messages au nom de PostNL, et encore en mars 2026 au nom de Mondial Relay.

Pourquoi le vrai et le faux se ressemblent autant en 2026 ?

Parce que de vrais frais existent, et qu'ils sont devenus plus fréquents. Selon le SPF Finances, la TVA est toujours due sur les colis commerciaux venus de l'extérieur de l'UE, et depuis le 1er juillet 2026 un droit de douane forfaitaire temporaire de 3 euros par article s'applique aussi aux achats en ligne jusqu'à 150 euros. Une commande sur un site hors UE peut donc déclencher une vraie demande de paiement, et les escrocs copient exactement ce moment.

Chez bpost, la procédure réelle est précise. Dès que les frais d'importation sont calculés, tu reçois une invitation à payer par e-mail, par SMS, par notification dans l'app My bpost ou par courrier. Tu paies ensuite dans l'app My bpost ou via Track & Trace, par Bancontact, Mastercard, Visa ou une application bancaire, et exceptionnellement dans un bureau de poste. bpost précise qu'il ne te demandera jamais de payer par virement ni d'indiquer un numéro de compte, et qu'il ne te menacera jamais d'un huissier. Faute de paiement dans les 14 jours, le colis repart chez l'expéditeur.

Vrai avis bpost ou faux SMS : comment faire la différence ?

Comment vérifier un colis sans cliquer sur le lien ?

1. 1

   Ne touche pas au lien

   Même pour voir. La page qui suit est faite pour récolter ta carte, tes codes ou une confirmation itsme, et certaines poussent à installer une application.

2. 2

   Retrouve ton numéro de suivi

   Il figure dans l'e-mail de confirmation du magasin où tu as commandé, pas dans le SMS que tu viens de recevoir.

3. 3

   Ouvre toi-même My bpost ou Track & Trace

   Lance l'app My bpost ou tape track.bpost.cloud dans ton navigateur. Si des frais d'importation sont dus, le détail s'y affiche et c'est là, et nulle part ailleurs, que tu paies.

4. 4

   Signale, puis supprime

   Envoie une capture d'écran à suspect@safeonweb.be, transfère le message à abuse@bpost.be comme bpost le demande, puis supprime le SMS.

Le nom « bpost » affiché comme expéditeur ne prouve rien : l'arrêté royal belge de 2024 contre l'usurpation de numéros vise les appels vocaux, pas les SMS, dont l'expéditeur peut toujours être falsifié. Quand le message vient d'un numéro ordinaire, une recherche inversée du numéro indique s'il s'agit d'un GSM belge, d'un numéro étranger ou d'une ligne VoIP, et s'il est déjà associé à des signaux de fraude. Pour les autres messages douteux, notre guide sur les SMS d'un numéro inconnu passe en revue les cas les plus courants.

Tu as cliqué, payé ou validé : que faire maintenant ?

1. Tu as seulement ouvert la page : ferme-la sans rien remplir. Si une application s'est installée, mets ton GSM en mode avion, ne te connecte à aucun compte et suis la procédure de Safeonweb, qui peut aller jusqu'à la remise aux paramètres d'usine.
2. Tu as donné les données de ta carte : appelle Card Stop au 078 170 170, 24 heures sur 24, pour la faire bloquer. Card Stop bloque aussi Bancontact Pay, l'ex-Payconiq, ainsi qu'Apple Pay et Google Pay.
3. Tu as donné un code de ton digipass ou validé une opération dans itsme : appelle le même 078 170 170 et choisis l'option « Fraude ». Fraudstop, lancé par les banques le 22 juin 2026, alerte alors ta banque ou te met en relation avec son service fraude.
4. Tu as perdu de l'argent : porte plainte à la police locale ou en ligne via Police on Web (my.police.be), avec les captures d'écran et le numéro de l'expéditeur.
5. Dans tous les cas, envoie une capture du SMS à suspect@safeonweb.be pour que le lien puisse être bloqué.

Signaler sert vraiment : les chiffres belges

Chaque capture envoyée à suspect@safeonweb.be est traitée automatiquement : le système analyse les liens, et les domaines frauduleux peuvent être intégrés au Belgian Anti-Phishing Shield, qui redirige ensuite les internautes vers une page d'avertissement au lieu du faux site. Selon le Centre pour la Cybersécurité Belgique, cette redirection a eu lieu environ 200 millions de fois en 2025. Pour les autres signaux à connaître, notre guide ce numéro est-il une arnaque ? rassemble les pièges belges les plus courants.