Taxe UE sur les petits colis : les escrocs ont pris de l'avance

Entrée en vigueur le 1er juillet 2026, la nouvelle taxe européenne sur les colis à faible valeur crée exactement le brouillard dont vivent les campagnes de phishing "colis retenu". Numerama documente une vague déjà installée.

Faits

Depuis le 1er juillet 2026, l'Union européenne applique une nouvelle taxation sur les colis de faible valeur importés hors UE - mesure prise pour rééquilibrer la concurrence avec les plateformes d'e-commerce asiatiques (Shein, Temu, AliExpress). Concrètement, une part croissante de commandes qui arrivaient "toutes taxes payées" auparavant fait désormais l'objet d'une régularisation à la livraison.

Numerama documente le résultat opérationnel côté cybercriminel : une flambée des SMS et e-mails de phishing exploitant cette confusion, sur le modèle « Votre colis est retenu en attente de paiement des frais de douane. Cliquez ici pour régler 2,99 € ». Le lien renvoie vers un faux formulaire qui collecte carte bancaire, coordonnées et parfois identifiants bancaires en vue d'une escroquerie plus poussée.

Analyse

C'est un cas manuel d'école de "policy-induced fraud surface" - quand une décision réglementaire, correcte sur le papier, ouvre une nouvelle catégorie de scam parfaitement légitimé socialement. Le scénario coche toutes les cases :

• Nouveauté : personne n'a une expérience claire de ce à quoi ressemble un vrai avis de régularisation.
• Micro-paiement : 2 à 5 euros, un montant qu'on paye "pour en finir" sans vérifier.
• Personnalisation faible suffisante : "votre colis en provenance de X" colle à la majorité des acheteurs récents.
• Urgence artificielle : "sera renvoyé sous 48h".

On avait déjà vu la même mécanique en 2021 avec le déploiement massif des livraisons à domicile pendant le Covid, puis avec le passage aux paiements sans contact. À chaque évolution d'usage, une vague de phishing thématisé.

Les autorités françaises (Cybermalveillance.gouv.fr) et européennes ont émis des alertes. Elles ne suffiront pas à endiguer la vague - l'expérience de 2021-2022 a montré que ces campagnes "colis" restent parmi les plus rentables du portefeuille criminel.

À faire maintenant

Pour les utilisateurs, règle unique :

• Aucun transporteur ni douane ne réclame le paiement d'une taxe par SMS avec un lien à cliquer. En cas de doute, aller directement sur le site du transporteur en tapant l'URL soi-même, avec le numéro de suivi du colis.
• Vérifier l'expéditeur SMS/e-mail : un vrai avis vient rarement d'un numéro mobile en +33 6 ou d'un domaine douteux.
• Les vraies régularisations douanières passent le plus souvent par le transporteur au moment de la livraison, pas en amont par SMS.

Pour les entreprises : mettre à jour la base d'exemples utilisée en formation anti-phishing avec ces variantes "taxe UE". La sensibilisation de la semaine qui suit une actu de ce type a un taux de rétention nettement meilleur que la formation générique annuelle.