Phishing au colis : les malfrats demandent des « frais de reprogrammation » qui n'existent pas

Le grand classique du phishing au colis a une nouvelle variante. Forcément, son scénario reprend les bases qui ont fait le succès de l’arnaque récurrente. Vous seriez contacté ou contactée par une société de livraison (La Poste, Colissimo, UPS) parce qu’un colis qui vous est destiné serait, soi-disant, bloqué à l’entrepôt. Les prétendues raisons varient, mais le message propose toujours la même solution. Il vous suffirait de payer une faible somme d’argent (1 ou 2 euros) pour débloquer la situation.

Habituellement, les malfaiteurs prétendent l’existence de « frais de douane » : l’expéditeur du colis n’aurait pas payé suffisamment de taxes et ce serait à vous de régler ce qu’il manque. Mais la nouvelle variante du phishing, reçu par email par un lecteur de Numerama le 21 août 2021, prétend cette fois réclamer des « frais de reprogrammation ». Plus précisément, il vous demande le paiement de simplement 1 euro. Pour rendre le message plus crédible, les malfrats inventent un numéro de suivi (qui dans certains cas correspond à un vrai numéro de colis en transit) et ils nomment le prétendu dépôt où le colis serait bloqué.

1 euro pour récupérer le colis, pas cher non ?

Ce n’est pas tout : le message vous incite à faire le paiement « sous 24h », sans quoi vous pourriez ne jamais récupérer le précieux paquet. Le sentiment d’urgence est une des ficelles les plus utilisées par les malfrats : il vise à précipiter la décision des victimes et à les rendre moins attentifs aux détails louches du phishing.

Si les malfaiteurs emploient tant le phishing au colis, c’est parce qu’il permet de viser un très grand nombre de victimes :

Les personnes qui achètent beaucoup en ligne sont souvent dans l’attente d’un colis ;
Celles qui n’achètent jamais en ligne pourraient tout de même recevoir un colis de la part d’amis ou même d’une entreprise.

Il faut garder à l’esprit que les malfaiteurs envoient leur phishing à des listes d’emails et de numéros de téléphone qu’ils ont pris plus ou moins au hasard. Ils n’ont le plus souvent que peu d’informations précises sur les victimes — éventuellement nom et adresses — , et ils ne savent si elles sont clientes de telle ou telle entreprise lorsqu’ils lancent leur message d’arnaque en masse. Il leur faut donc imiter une organisation avec qui le plus large nombre de personnes est confronté, comme les impôts, les grandes enseignes, la sécurité sociale ou encore les entreprises de livraison.

Faux messages de La Poste

Lorsque nous cliquons sur le lien proposé par le phishing, un formulaire s’ouvre. « Frais de livraisons non payés », nous prévient un message au centre de la page. Nous avons prétendument 50 minutes pour agir « de toute urgence ».

Le graphisme tient la route, mais pas le scénario. // Source : Capture d’écran Numerama

Dès ce premier message, le scénario des malfrats se délite. Le numéro de suivi n’est plus le même, on ne nous parle plus des frais de programmation, et l’adresse du site parait franchement louche. Nous cliquons tout de même sur le bouton « suivant » : le site nous demande de « mettre à jour nos informations de suivi », avec notre nom et notre numéro de téléphone. Une fois renseignés, nous pouvons enfin procéder au règlement des frais de livraisons de 1,00 euro.

C’est là que le phishing tourne au n’importe quoi. Il nous redirige vers une fausse page de vente de smartphone Galaxy S20 de Samsung, sans aucun rapport avec La Poste ou les colis. Ce site fait croire qu’il suffirait de dépenser 2 euros pour obtenir l’appareil qui en coûte plusieurs centaines. Sauf que si la victime rentre ses informations dans un formulaire, elle s’abonne pour une durée indéterminée à un service tiers, ici « spendometer.io », un « planificateur de dépenses personnelles en ligne ».

2 euros le Galaxy S20, trop beau pour être vrai ? Et bien oui. // Source : Capture d’écran Numerama

Ce genre virage étrange est courant : une autre arnaque au colis nous amenait par exemple sur un site de cours de yoga en ligne. Il peut être dû à l’amateurisme des malfrats, qui assemblent dans le mauvais sens des pièces de phishing toutes faites ; ou alors elle peut avoir comme raison des jeux de redirection ratés entre les différentes campagnes de phishing d’un même opérateur.

Dans tous les cas, l’incohérence de la suite de message rend le phishing bien moins dangereux, et c’est une bonne chose. Mais attention tout de même au phishing aux « frais de reprogrammation », nul doute qu’il sera utilisé à nouveau. Et la prochaine fois, il pourrait être armé d’un malware.