« Colis en attente » : le faux SMS de bpost et des autres livreurs

« Colis en attente » : le faux SMS de bpost et des autres livreurs

« bpost : votre colis n'a pas pu être livré, frais d'affranchissement insuffisants. Réglez 1,68 € ici. » Suivi d'un lien. Ce SMS, envoyé au nom de bpost, PostNL, DHL, GLS ou DPD selon la vague, est l'un des grands classiques du smishing. Il fonctionne parce que presque tout le monde achète en ligne et que presque tout le monde attend un colis à un moment ou à un autre : le message tombe sur un terrain favorable.

Le montant est volontairement dérisoire. Le but n'a jamais été d'encaisser ces deux euros : il s'agit de vous faire saisir les données complètes de votre carte bancaire sur un faux site qui imite le livreur, et parfois aussi le code de confirmation que vous recevez ensuite, pour effectuer des paiements bien plus importants.

Pourquoi ça marche même si vous n'attendez aucun colis

Les escrocs ne savent pas si vous attendez une commande. Ils n'en ont pas besoin :

• Le volume. Ils envoient le même SMS à des milliers de numéros. Avec les achats en ligne, une bonne partie des destinataires a effectivement un colis en route, ou en a reçu un récemment, et le message semble coller.
• Un montant anodin. Un ou deux euros n'éveillent aucun soupçon. Personne ne « vérifie » un paiement de 1,68 € comme il vérifierait un paiement de 300 €.
• L'urgence et zéro effort. « Payez maintenant et recevez votre colis demain » pousse à régler ça tout de suite, depuis son GSM, sans prendre le temps de regarder l'expéditeur ni le domaine.
• Le déguisement qui tourne. Quand une marque est grillée (les gens commencent à se prévenir que « ce SMS de bpost est faux »), la campagne passe à un autre transporteur. Le schéma reste celui de tous les faux SMS, comme le faux avis d'amende : organisme connu + démarche en attente + urgence + lien de paiement.

Comment reconnaître le faux SMS

Aucun de ces signaux n'est décisif à lui seul, mais ensemble, ils donnent un diagnostic assez fiable :

• Il demande de payer des frais via un lien. C'est le cœur de l'arnaque. De vrais frais de douane peuvent exister, mais ils apparaissent aussi dans le suivi officiel de l'envoi : vérifiez-les là, avec votre numéro de suivi, et ne payez jamais via le lien d'un SMS inattendu.
• Le lien ne mène pas au domaine officiel. Des domaines avec des tirets ou des mots en plus (« bpost-livraison », « dhl-colis », « postnl-suivi ») ou des extensions bizarres. Sur un petit écran, dans la précipitation, ça passe ; regardé calmement, ça saute aux yeux. bpost publie d'ailleurs, sur sa page consacrée au phishing, ses domaines d'envoi légitimes et des domaines frauduleux repérés.
• Aucun vrai numéro de suivi. Le faux SMS parle de « votre colis » de façon générique, parce qu'il ne sait pas lequel. Un avis légitime mentionne le numéro de suivi, et celui-ci correspond à celui que le magasin vous a donné.
• Un expéditeur variable. Parfois un numéro de GSM ordinaire, parfois un nom qui imite l'entreprise. L'expéditeur d'un SMS peut être falsifié : il ne prouve rien.
• Un ton pressant et des fautes. Traductions maladroites, majuscules bizarres, urgence exagérée (« dernier avis avant renvoi du colis », « payez endéans les 24 heures »). bpost l'indique clairement : l'entreprise n'essaie jamais de vous mettre sous pression ni de vous menacer.

Comment vérifier un vrai envoi

La méthode est toujours la même, et elle vaut pour tous les livreurs :

1. Ne cliquez pas sur le lien du SMS. Fermez-le.
2. Ouvrez vous-même le canal officiel : l'appli du magasin où vous avez acheté, l'e-mail de confirmation de commande, l'appli officielle My bpost ou le site officiel du transporteur, en tapant vous-même l'adresse.
3. Saisissez-y votre numéro de suivi. S'il y a un vrai problème (douane, adresse incomplète, tentative de livraison), il apparaîtra dans le suivi officiel. Si rien n'apparaît, le SMS était faux.

Cette séquence (fermer le message, passer soi-même par le canal officiel) est la même que celle que nous recommandons pour vérifier un appel ou un SMS de votre banque et pour vérifier un message du SPF Finances ou de la sécurité sociale. C'est l'habitude qui coupe le plus d'arnaques à la racine.

Que faire si vous avez déjà saisi votre carte

• Appelez immédiatement votre banque ou Cardstop (078 170 170), expliquez ce qui s'est passé et faites bloquer la carte, puis demandez-en une nouvelle. C'est la mesure qui règle le problème d'un coup. Et retenez le conseil de bpost : ne communiquez jamais votre code PIN ni votre numéro de carte à la suite d'un message, même s'il semble venir de bpost.
• Si vous avez aussi saisi un code de confirmation reçu par SMS, ou validé une opération avec itsme ou votre lecteur de carte, dites-le à votre banque : une opération a peut-être déjà été autorisée.
• Surveillez vos extraits de compte les semaines suivantes et activez les notifications dans l'appli de votre banque. Les débits frauduleux n'arrivent pas toujours tout de suite.
• Portez plainte à la police avec des captures du SMS et du lien. Vous pouvez aussi signaler l'arnaque au SPF Économie via ConsumerConnect.
• Transférez une capture du SMS à Safeonweb (Centre pour la Cybersécurité Belgique), à l'adresse [email protected], et signalez le numéro expéditeur dans l'annuaire des numéros spam.

Questions rapides

Et si j'attends vraiment un colis et que le SMS tombe juste ? La coïncidence ne prouve rien : avec autant de commandes en circulation, tomber juste par hasard est facile. Vérifiez toujours par le canal officiel avec votre numéro de suivi. Ça prend une minute et ça lève complètement le doute.

Les livreurs envoient-ils de vrais SMS ? Oui, certains envoient des avis de livraison ou de passage. Un vrai avis mentionne votre numéro de suivi, vous renvoie vers l'appli ou le site officiel du transporteur et ne vous bouscule pas avec des menaces de renvoi immédiat. Et même face à un avis qui semble authentique, ne payez rien via le lien reçu : ouvrez vous-même le suivi officiel.

C'est pareil sur WhatsApp ou par e-mail ? Oui, le même appât circule sur WhatsApp, par e-mail et même via des QR codes sur de fausses étiquettes. Le canal change, la défense non : ne payez jamais depuis un lien reçu, vérifiez toujours vous-même par le canal officiel.

Si vous avez reçu un de ces messages, signalez-le dans l'annuaire des numéros de NoCall : ces campagnes réutilisent les mêmes numéros pendant des jours, et votre signalement sera l'avertissement que la prochaine personne verra avant de saisir sa carte.