Vous avez reçu un message par SMS ou par courriel (e-mail) qui semble provenir d’un service de livraison ? Ce message indique que le transporteur a tenté de vous livrer un colis ou est en attente d’instructions pour sa livraison et vous demande le paiement de frais d’expédition ou d’affranchissement ? Attention, il s’agit d’une tentative d’escroquerie à la livraison de colis !
Les périodes de forte activité du commerce en ligne, comme les fêtes de fin d’année, les soldes ou bien encore le Black Friday sont très prisées des cybercriminels. Profitant du fait que de nombreuses personnes attendent ou envoient des colis, ils se font passer pour des sociétés de livraison parmi les plus connues pour piéger leurs victimes. Leur objectif principal ? Dérober des informations personnelles et de carte bancaire pour en faire un usage frauduleux.
Toutefois, Cybermalveillance.gouv.fr observe des escroqueries à la livraison de colis tout au long de l’année et celles-ci peuvent avoir également d’autres objectifs : diffusion de virus, piratage de compte, arnaque au faux support technique, abonnement déguisé.
À l’été 2022, une nouvelle campagne de SMS frauduleux à la livraison de colis particulièrement agressive est observée. Elle amène la victime à télécharger sur son téléphone un virus permettant d’en prendre le contrôle pour dérober ses mots de passe et envoyer des SMS frauduleux en masse, ou, selon les cas, à prendre le contrôle de son compte Apple (en savoir plus).
ou d’une attaque informatique ?
Exemples de messages d’escroquerie à la livraison de colis reçus par courriel ou par SMS :
« bonjour c’est le livreur votre colis ne rentrait pas dans la boîte aux lettres, veuillez choisir un autre créneau ou point relais sur https:……«
Cybermalveillance.gouv.fr analyse cette menace et vous prodigue ses conseils pour y faire face.
1. De quoi s’agit-il ?
Ce type de message frauduleux entre dans la catégorie de cybermalveillance appelée l’hameçonnage (phishing en anglais) qui vise à usurper l’identité d’une marque ou d’une organisation connue pour inciter la victime à fournir des informations personnelles ou confidentielles.
Dans le cas des escroqueries à la livraison de colis, les victimes reçoivent un message (e-mail ou SMS) qui semble provenir de sociétés de transport existantes telles que La Poste, Colissimo, DPD, Chronopost, UPS, Mondial Relay ou fictives (IPS / International Parcel Service).
Le courrier électronique a par exemple pour sujet « Votre commande a été envoyée », « Colis en Attente d’instruction » ou encore « Votre Colis Nº6Q02864XX33 est en attente de livraison »… Quant aux messages reçus par SMS, ils affichent généralement un nom d’expéditeur pouvant faire penser qu’ils proviennent réellement d’un service de livraison. Lorsqu’un numéro de téléphone d’expéditeur s’affiche, il s’agit d’un numéro de téléphone mobile français ou étranger ou, parfois, un numéro court à 5 chiffres commençant par 38 qui ressemble à ceux utilisés par les vrais services de livraison.
Ce message, qui usurpe l’identité d’une entreprise de livraison réelle ou fictive, annonce qu’un colis doit être livré mais qu’il reste à payer une somme d’argent pour le faire arriver à destination, avec bien souvent une mention indiquant qu’il ne faut pas tarder à effectuer le paiement. Le faible montant réclamé, à hauteur de quelques euros, évoque par exemple une absence d’affranchissement, des frais de port ou d’expédition restant dus, le paiement de taxes comme la TVA, de frais de douane ou de dédouanement, un colis trop volumineux pour rentrer dans une boîte aux lettres, etc.
Pour effectuer ce paiement, la victime est invitée à cliquer sur un lien contenu dans le message qui la redirige vers un site Internet frauduleux. Celui-ci usurpe l’identité de l’entreprise de livraison, en arborant ou en détournant son logo et son nom, et donne des informations sur le suivi du colis. Autant d’éléments qui visent à mettre en confiance la victime pour mieux la tromper.
Sur ce site Internet créé par les escrocs, des informations personnelles peuvent être demandées : identité, adresse postale ou électronique, numéro de téléphone… Il est par la suite systématiquement demandé à la victime de renseigner ses coordonnées de carte bancaire afin de régler les prétendus frais de livraison.
En remplissant ce formulaire, la victime transmet ses informations personnelles et bancaires aux escrocs qui pourront en faire un usage frauduleux. Ils chercheront par exemple à utiliser eux-mêmes ces coordonnées bancaires pour effectuer des achats ou bien revendre les informations collectées auprès d’autres cybercriminels qui en feront usage à leur tour.
Ce mode opératoire particulièrement rodé est tourné de telle manière qu’il peut berner aussi bien une personne qui attend la réception d’un colis qu’une autre personne qui en a expédié un.
Exemples de sites Internet frauduleux d’arnaque à la livraison de colis :
Autres types d’escroquerie en lien avec l’arnaque à la livraison de colis
Cybermalveillance.gouv.fr a identifié plusieurs autres variantes d’escroqueries qui commencent par un message frauduleux annonçant la livraison d’un colis :
1. Cybermalveillance.gouv.fr observe régulièrement des messages (e-mails) annonçant une livraison qui contiennent un fichier en pièce jointe dont l’ouverture installe un virus permettant, par exemple, aux escrocs de prendre le contrôle de l’appareil de la victime. De même, il a été identifié des messages (e-mails ou SMS) contenant un lien menant à l’installation d’un virus ou à l’affichage d’une fausse alerte incitant à saisir des identifiants de connexion sur une page d’hameçonnage (phishing).
Soyez vigilant, n’ouvrez pas les pièces jointes ni les liens d’un message qui vous paraît douteux car inattendu ou provenant d’un expéditeur inhabituel.
2. Une autre cybermalveillance consécutive aux messages frauduleux à la livraison de colis est l’escroquerie à la fausse réparation informatique, également appelée arnaque au faux support technique. Une fois que vous avez cliqué sur le lien contenu dans le message, un écran d’alerte anxiogène bloque votre appareil en indiquant un problème technique grave ou un virus et vous somme de contacter d’urgence par téléphone un prétendu support technique officiel (Microsoft, Apple, Google…) qui cherchera à vous convaincre de payer un pseudo-dépannage à distance. N’appelez pas ce numéro ! Tous nos conseils pour faire face à cette menace.
3. Une autre variante démarre de la même manière que l’arnaque à la livraison de colis, mais mène cette fois vers un site Internet frauduleux qui annonce que vous avez gagné un lot (un téléphone mobile ou une console de jeux vidéo par exemple). Pour recevoir ce « cadeau », vous êtes invité à renseigner vos informations personnelles et vos coordonnées bancaires afin de régler une petite somme d’argent, de quelques euros selon les cas rapportés, correspondant au paiement des frais de livraison. Soyez attentif et lisez les mentions présentes sur ces pages ! En effet, en remplissant ce formulaire, vous donnerez votre consentement pour la souscription à un abonnement à des services dont le réel contenu est très peu ou pas détaillé. Le coût de cet abonnement peut s’élever à plusieurs dizaines d’euros par mois. La résiliation de ce type d’abonnements peut s’avérer très compliquée du fait que les sociétés auprès desquelles ils sont souscrits sont domiciliées à l’étranger.
Été 2022 : nouvelle campagne de SMS frauduleux à la livraison de colis
Cybermalveillance.gouv.fr a observé depuis l’été 2022 des vagues massives d’envoi de SMS annonçant la livraison d’un colis particulièrement agressives et faisant de nombreuses victimes. Le SMS reçu contient un lien qui, une fois cliqué, affiche un message d’alerte.
- Sur un téléphone Android, le message d’alerte incite à installer une supposée mise à jour du navigateur Chrome qui est en fait une application malveillante (virus). Une fois installé, ce virus est en mesure d’effectuer diverses actions malveillantes : envoi de SMS en masse parfois surtaxés, vol de mots de passe…
Cybermalveillance.gouv.fr recommande aux victimes de cette menace d’appliquer les conseils de son article dédié aux virus informatiques. - Sur un téléphone Apple (iPhone), le message prétend que, pour des raisons de sécurité, il est nécessaire de ressaisir son identifiant et son mot de passe de compte Apple sur une page Internet qui s’avère frauduleuse. L’objectif de cet hameçonnage (phishing) est de pirater le compte Apple de la victime.
Cybermalveillance.gouv.fr recommande aux victimes de cette menace d’appliquer les conseils de son article dédié au piratage de compte.
Exemples de SMS et de messages d’alerte de la campagne 2022 :
« Votre colis a été organisée pour la livraison, veuillez vérifier… » / « Votre colis a été envoyé. Veuillez le vérifier et le recevoir… »
« Votre colis a été livré. Veuillez le vérifier et le recevoir à temps… » / « Votre commande a été expédiée, veuillez cliquer pour vérifier. »
« Votre paquet est en chemin et arrivera bientôt. »
« Afin d’avoir une meilleure expérience, veuillez mettre à jour votre navigateur Chrome à la dernière version »
« Pour la sécurité de votre compte de Apple Store, votre compte est contraint et nécessite un nouvelle authentification »
2. Comment ont-ils eu votre adresse de messagerie ou votre numéro de téléphone ?
Pour obtenir votre adresse de messagerie ou votre numéro de téléphone, les escrocs peuvent recourir à différentes méthodes comme l’hameçonnage, qui est une technique frauduleuse destinée à leurrer l’internaute pour l’inciter à communiquer des informations personnelles (identité, mots de passe…) en lui envoyant un message usurpant l’identité d’un tiers de confiance. Nombre de ces informations circulent entre cybercriminels sous forme de fichiers qu’ils s’échangent ou se revendent.
Par ailleurs, votre adresse de messagerie et votre numéro de téléphone circulent déjà probablement sur Internet. En effet, vous les avez déjà renseignés sur différents sites Internet ou les utilisez régulièrement pour vous identifier et communiquer. Ces sites ont parfois revendu ou échangé leurs fichiers d’adresses de messagerie avec différents partenaires, dont certains peu scrupuleux, dans des objectifs marketing. Ces fichiers d’adresses sont parfois également dérobés ou récupérés par des cybercriminels pour être utilisés dans des campagnes frauduleuses, pour des attaques par hameçonnage, à l’instar de l’arnaque à la livraison de colis.
3. Que faire si vous recevez un message d’arnaque à la livraison de colis ?
En préalable, sachez que les entreprises de livraison ne vous demanderont jamais par SMS ou par mail un quelconque paiement pour recevoir un colis. Par exemple, La Poste informe sur son site Internet qu’elle « ne vous demandera jamais de payer pour retirer un colis par SMS ou par mail ». De même, Chronopost précise qu’il « ne vous demande pas de carte d’identité ni de frais de livraison pour des livraisons en France ».
- Au moindre doute, contactez directement l’entreprise de livraison concernée pour confirmer le message que vous avez reçu. Si l’entreprise vous indique qu’elle n’est pas à l’origine de l’envoi de ce message, considérez qu’il s’agit d’une tentative d’arnaque.
- N’ouvrez pas les courriels ou leurs pièces jointes et, également dans le cas de SMS, ne cliquez jamais sur les liens au moindre doute. Tous nos conseils et nos recommandations sur l’hameçonnage (phishing en anglais).
- Si vous avez cliqué sur une pièce-jointe ou sur un lien contenu dans le message qui a pu installer un programme malveillant, mettez à jour votre antivirus et effectuez une analyse complète de votre appareil afin de vérifier qu’il n’est pas infecté par un virus informatique et de pouvoir le neutraliser. Par ailleurs, si un logiciel s’est installé sur votre appareil, désinstallez-le. Redémarrez votre équipement après cette opération.
- Avant de cliquer sur un lien douteux, positionnez le curseur de votre souris sur ce lien (sans cliquer). Sur votre téléphone mobile, faites un appui long sur le lien contenu dans le message (e-mail). Cela affichera l’adresse vers laquelle il pointe réellement afin d’en vérifier la vraisemblance.
- Si vous avez cliqué sur le lien, vérifiez l’adresse du site qui s’affiche dans votre navigateur. Si cela ne correspond pas exactement au site concerné, il s’agit certainement d’un site frauduleux. Il suffit parfois d’un seul caractère changeant pour vous tromper. Au moindre doute, ne fournissez aucune information et fermez immédiatement la page correspondante.
- Signalez tout message (mail) ou site douteux à Signal Spam. S’il s’agit d’un SMS, signalez-le sur la plateforme 33700 ou par SMS au 33 700 (service gratuit). Ces services feront bloquer l’émetteur du message.
- Signalez l’adresse du site d’hameçonnage à Phishing Initiative qui bloquera l’adresse de ce site.
- Signalez également les messages et sites douteux aux sociétés de livraison dont l’identité est usurpée. Ces entreprises disposent généralement d’adresses de contact par messagerie dédiées pour recevoir des informations sur les fraudes les concernant et agir afin de faire supprimer les sites frauduleux. Par exemple :
– La Poste / Colissimo: phishing@laposte.fr
– Chronopost / DPD : abuse@chronopost.fr
– UPS : fraud@ups.com
– Mondial Relay : abuse@mondialrelay.fr - Signalez la tentative d’escroquerie sur la plateforme dédiée du ministère de l’Intérieur : Internet-signalement.gouv.fr.
4. Et si vous êtes victime de l’arnaque à la livraison de colis ?
- Au moindre doute, contactez la véritable entreprise de livraison. Vous trouverez ses coordonnées sur son site officiel.
- Faites opposition immédiatement : si vous avez communiqué des éléments sur vos moyens de paiement ou si vous avez constaté des débits frauduleux sur votre compte, faites opposition immédiatement auprès de votre organisme bancaire ou financier.
- Conservez les informations sur le message que vous avez reçu (adresse mail ou numéro de téléphone, nom de l’appelant, etc.) et sur le site Internet malveillant visité (adresse du site, captures d’écran, etc.).
- Si vous avez communiqué un mot de passe, appliquez les conseils de notre article dédié au piratage de compte.
- Si vous avez cliqué sur un lien ou ouvert un fichier qui a pu installer un programme malveillant et/ou si vous constatez un fonctionnement anormal de votre appareil, appliquez les conseils de notre article dédié aux virus informatiques.
- Si vous constatez des débits frauduleux liés à votre carte bancaire, signalez les faits à la plateforme Perceval du ministère de l’Intérieur. Ce service permet aux victimes de fraude à la carte bancaire de signaler en ligne l’escroquerie dont elles ont été victimes, et ce, même si elles ont été remboursées par leur banque. Votre signalement aidera les autorités à identifier les auteurs de ces fraudes. À noter que le signalement sur la plateforme Perceval ne se substitue pas au dépôt de plainte.
- Déposez plainte au commissariat de police ou à la brigade de gendarmerie ou par écrit au procureur de la République du tribunal judiciaire dont vous dépendez en fournissant toutes les preuves en votre possession.
Si vous êtes un particulier, vous pouvez être accompagné gratuitement dans cette démarche par une association de France Victimes au 116 006 (appel et service gratuits), numéro d’aide aux victimes du ministère de la Justice. Service ouvert 7 jours sur 7 de 9h à 19h. - Contactez votre banque pour vous faire rembourser. Certaines banques demandent la preuve du dépôt de plainte ou le récépissé Perceval pour instruire votre demande.
- Signalez le message reçu et le site d’hameçonnage aux différents services décrits au chapitre précédent.
- Pour être conseillé dans vos démarches, contactez la plateforme Info Escroqueries du ministère de l’Intérieur au 0 805 805 817 (appel et service gratuits). Le service est ouvert de 9h à 18h30 du lundi au vendredi.
En fonction du cas d’espèce, les infractions suivantes peuvent être retenues :
• Escroquerie (article 313-1 du code pénal) : l’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manœuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. Délit passible d’une peine d’emprisonnement de cinq ans et de 375 000 euros d’amende.
• Collecte de données à caractère personnel par un moyen frauduleux, déloyal ou illicite (article 226-18 du code pénal) : une telle collecte constitue un délit passible d’une peine d’emprisonnement de cinq ans et de 300 000 euros d’amende.
• Contrefaçon et usage frauduleux de moyen de paiement (articles L163-3 et L163-4 du code monétaire et financier) : délit passible d’une peine d’emprisonnement de sept ans et de 750 000 euros d’amende.
Publication initiale : 03 février 2021
À lire aussi :
Au-delà de l’arnaque à la livraison de colis, les cybercriminels multiplient les tentatives d’escroquerie en lien avec le commerce en ligne, particulièrement lors des périodes promotionnelles. Fausses annonces ou promotions, fausses commandes, faux sites Internet marchands, hameçonnage (phishing) par SMS, téléphone ou courriel (email), faux service après-vente… Retrouvez nos 7 conseils pour éviter de vous faire escroquer.
