Phishing : reconnaître les faux messages de livraison

Pourquoi un message de livraison est un si bon déguisement

Un message évoquant un colis fonctionne comme arnaque précisément parce qu'il est plausible. La plupart des personnes qui achètent en ligne attendent au moins une livraison à un moment ou un autre, si bien qu'un SMS annonçant un problème avec un colis s'inscrit facilement dans une attente déjà présente, contrairement par exemple à un message annonçant un prix auquel vous n'avez jamais participé. Cette arnaque porte même un nom précis dans la littérature spécialisée en prévention de la fraude : le smishing, un hameçonnage réalisé par SMS plutôt que par e-mail, traité comme une catégorie de fraude à part entière et suivie de près par les autorités de cybersécurité, aussi bien en France qu'en Belgique et en Suisse.

Comment fonctionne réellement le faux message de livraison

Le mécanisme est bien documenté et se répète presque à l'identique d'une campagne à l'autre. Un SMS arrive en se faisant passer pour un transporteur ou un service postal, reprenant souvent le nom d'une véritable entreprise de livraison connue, accompagné d'un prétendu numéro de suivi et d'un lien pour « mettre à jour vos préférences de livraison » ou résoudre un problème d'adresse. Cliquer sur le lien mène vers une page conçue pour ressembler au site du transporteur, où la victime est invitée à saisir des informations personnelles ou bancaires, ou parfois à payer de petits « frais de réexpédition » qui partent directement vers l'escroc. Un détail utile à connaître : un service postal ou un transporteur n'envoie en général pas de SMS de suivi non sollicités, sauf si vous vous êtes vous-même inscrit à des alertes de suivi, ce qui rend un SMS de livraison inattendu déjà légèrement suspect avant même d'en lire le contenu.

Les dispositifs de signalement, selon votre pays

La fréquence de ce type d'arnaque a conduit plusieurs pays à mettre en place des circuits de signalement dédiés, généralement gérés par les opérateurs mobiles ou par une autorité nationale de cybersécurité. En France, en Belgique et en Suisse, des dispositifs comparables existent auprès des autorités nationales de cybersécurité et des opérateurs de téléphonie, même si les modalités précises varient d'un pays à l'autre ; se renseigner directement auprès de son propre opérateur ou du centre national de cybersécurité de son pays reste le réflexe le plus fiable pour connaître la marche à suivre. Dans tous les cas, la recommandation est la même partout : ne jamais communiquer de coordonnées bancaires ni de mot de passe en réponse à un message évoquant une livraison, aussi officiel qu'il paraisse.

Les notifications de paiement utilisent la même ruse, visée différemment

Un proche cousin du faux SMS de livraison est la fausse notification de paiement ou de compte : un message affirmant qu'un paiement par carte a échoué, qu'un abonnement va être renouvelé à un tarif plus élevé, ou qu'un compte a été bloqué, avec là aussi un lien pour « résoudre » le problème. Le mécanisme est exactement le même que pour les arnaques à la livraison, urgence plus lien vers une fausse page convaincante, mais il vise cette fois directement des identifiants de connexion ou des numéros de carte, plutôt que de passer par de faux frais de réexpédition. La même prudence s'impose : un véritable problème de paiement signalé par une enseigne ou une banque n'a normalement pas besoin d'être résolu en cliquant sur un lien reçu dans un SMS ou un e-mail inattendu.

Des habitudes qui rendent cette arnaque beaucoup moins efficace

• Ne cliquez jamais sur un lien reçu dans un SMS ou un e-mail inattendu évoquant une livraison ou un paiement ; si vous pensez qu'il peut s'agir d'un message authentique, ouvrez plutôt l'application du transporteur ou de l'enseigne, ou tapez vous-même son adresse connue dans le navigateur.
• Vérifiez si vous vous êtes réellement inscrit aux alertes de suivi de ce transporteur en particulier ; un SMS de livraison non sollicité est déjà, à lui seul, un motif de méfiance.
• Ne saisissez jamais un numéro de carte ou un mot de passe sur une page atteinte en cliquant sur un lien reçu par SMS, aussi officielle qu'elle paraisse.
• Signalez les SMS et e-mails suspects via les circuits officiels de votre pays ; cela aide ces systèmes à repérer les campagnes de fraude qui se répètent d'un mois à l'autre.

Rien de tout cela n'a de rapport avec un véritable code promo ou un code de réduction proposé par une enseigne à sa propre caisse ; ceux-ci s'appliquent directement sur le site du vendeur au moment du paiement, jamais via un lien envoyé après coup en évoquant un problème de livraison ou de paiement. Nous répertorions des codes vérifiés pour un grand nombre de boutiques dans de nombreux pays sur daily-coupons.info, et nous ne demandons jamais de coordonnées bancaires ni de mot de passe de compte pour utiliser un code répertorié, comme l'explique notre page FAQ.

Cet article donne des informations générales de sécurité, pas un conseil juridique. Si vous pensez avoir été visé, ou avoir déjà transmis des informations à un message d'hameçonnage, contactez votre banque et le service de signalement compétent de votre pays sans tarder.