// CLUBIC — CYBERSECURITY
« Votre colis est en attente » : voici ce qui se passe vraiment si vous cliquez sur le lien du SMS
« Bonjour, c’est le livreur… » Ce SMS, vous l’avez forcément déjà reçu. Nous avons suivi le lien jusqu’au bout pour voir ce que les escrocs cherchent vraiment à vous prendre.
Un colis trop volumineux, un livreur qui vous a manqué, quelques euros de frais à régler pour choisir un nouveau créneau… L’arnaque au faux SMS de livraison circule depuis des années, mais elle revient en force à chaque période d’achats, et le Black Friday approche. Ses ressorts, eux, restent méconnus.
Pour les comprendre, nous avons cliqué sur le lien d’un de ces messages, depuis un téléphone de test et avec de fausses informations, en documentant chaque étape. Voici ce que nous avons vu, ce que les escrocs récupèrent réellement, et les bons réflexes à adopter, même si vous avez déjà cliqué.
Le message tient en deux lignes : « Bonjour, c’est le livreur, votre colis ne rentrait pas dans la boîte aux lettres », suivi d’un lien pour choisir un point relais. Pourtant, quatre détails doivent alerter :
Cybermalveillance.gouv.fr, qui a mis à jour sa fiche sur le sujet fin août, signale aussi une variante plus convaincante : le SMS est accompagné d’une fausse photo du colis portant le nom du destinataire, voire d’un faux message vocal du « livreur ». Voir votre nom sur l’étiquette ne prouve rien : ces informations circulent déjà, souvent après des fuites de données massives.
Dans la campagne signalée l’an dernier par le ministère de l’Intérieur, le lien mène à une copie du site de Mondial Relay : logo, couleurs, faux numéro de suivi et même un captcha pour faire sérieux. Seule l’adresse trahit la supercherie, avec des noms comme « mondialrelay-relayeur » à la place du site officiel. La Poste, Colissimo, Chronopost, DPD ou UPS sont imités de la même façon. Et le petit cadenas affiché dans la barre d’adresse ne garantit rien : il indique que la connexion est chiffrée, pas que le site est honnête.
Surtout, avant même de saisir quoi que ce soit, le simple fait d’ouvrir la page transmet au site votre adresse IP, qui trahit votre opérateur et votre localisation approximative, ainsi que des informations sur votre téléphone. C’est précisément ce que masque un VPN : le site voit alors l’adresse du serveur VPN, et non la vôtre.
Pour « modifier la livraison », le site réclame ensuite nom, adresse, téléphone et e-mail. Puis vient la vraie demande : environ 2 € de « frais de réexpédition » à régler par carte bancaire, alors que reprogrammer une livraison est gratuit chez les transporteurs. Comme le rappelle Cybermalveillance.gouv.fr, sur ces faux sites, « il est systématiquement demandé de renseigner ses coordonnées de carte bancaire ».
Une fois le formulaire validé, rien de spectaculaire : le colis n’arrivera jamais, et les 2 € ne sont souvent même pas débités. Ils n’ont jamais été l’objectif. Ce qui intéresse les escrocs, ce sont les informations que vous venez de saisir.
Ce dernier point est le plus coûteux : le faux conseiller connaît votre nom et votre banque, et vous fait « valider une opposition » dans votre application… Qui est en réalité un paiement. Une cliente parisienne a ainsi perdu plus de 8 000 € après un faux SMS Chronopost réclamant 1,46 €. Elle a été remboursée, mais au terme de trois ans de procédure. D’autres victimes, jugées « négligentes » par la justice, n’ont rien récupéré.