Méfiez-vous de ces fausses invitations à retirer un colis

En règle générale, les malfaiteurs exploitent de manière ciblée les caractéristiques d’Internet : ils effacent leurs traces, dissimulent leur identité et tentent ainsi d’échapper à une arrestation. Mais ils évitent à tout prix d’être physiquement présents sur le territoire de leurs victimes. Malgré cela, l'OFCS reçoit régulièrement des signalements d’attaques provenant du cyberespace et associées à des moyens de communication analogiques. Par exemple, via des autocollants comportant de faux codes QR apposés sur des horodateurs ou via l'envoi de prétendus SMS liés à des frais de stationnement.

Actuellement, de fausses invitations à retirer un colis sont déposées dans les boîtes aux lettres. Les victimes trouvent d’abord dans leur boîte aux lettres un document qui ressemble visuellement beaucoup à la véritable invitation jaune de la Poste suisse. Celui-ci imite habilement les couleurs ainsi que le logo de la Poste et contient des informations plausibles concernant une remise de colis qui aurait échoué. Afin de planifier une nouvelle livraison, les destinataires sont invités à scanner un code QR imprimé.

Les victimes sont ainsi redirigées vers l’espace numérique et amenées sur un site web frauduleux, pratiquement impossible à distinguer du véritable site de la Poste. On leur fait croire qu’un colis est bloqué et qu’une nouvelle livraison doit être organisée. Pour relancer la livraison, des informations supplémentaires seraient nécessaires.

De nombreuses informations, telles que la date de naissance, sont demandées.

OFCS

C’est là que le piège financier se referme

Par la suite, les victimes sont invitées à choisir un nouveau créneau de livraison. Cette étape ne sert qu’à détourner l’attention des victimes de la véritable arnaque et à leur donner l’impression qu’il s’agit bel et bien d’une nouvelle livraison. La véritable arnaque commence ensuite. Il faut saisir des informations personnelles détaillées telles que le nom, la date de naissance, l’adresse postale, l’adresse e-mail ainsi qu’un numéro de téléphone suisse obligatoire.

Le choix d’un rendez-vous pour une nouvelle « tentative de livraison » sert à détourner l’attention de la victime de la véritable arnaque.

OFCS

C’est alors que le piège financier se referme. Des frais de traitement, souvent d’un montant de 2,10 CHF, sont exigés pour cette prétendue nouvelle livraison. Il est intéressant de noter que lors du processus de paiement proprement dit, ce montant est parfois légèrement différent et s’élève à 3,99 CHF. L’objectif réel est en fin de compte le vol des données de carte de crédit, car le paiement ne peut être effectué qu’avec une carte de crédit. Certes, des moyens de paiement alternatifs tels que Twint sont affichés sur la page falsifiée, mais ceux-ci ne fonctionnent pas et sont toujours signalés comme « indisponibles ».

Contexte de l’attaque et objectif des pirates

Un avis de passage de la Poste semble familier, et c’est précisément ce qui le rend si dangereux dans ce cas précis. Comme les gens sont habitués à recevoir ce genre de notifications dans leur quotidien, ils se rabattent inconsciemment sur des routines bien rodées. Le scepticisme que beaucoup ont désormais développé à l’égard des e-mails ou des SMS ne s’applique pas lorsqu’il s’agit de consulter leur boîte aux lettres. Presque personne ne soupçonne qu’un cyber-escroc se cache derrière ce bordereau postal familier. À cela s’ajoute le fait qu’un colis prétendument non livrable éveille la curiosité et un sentiment d’urgence. Personne ne souhaite manquer un envoi. Même les frais modiques de quelques francs ont été délibérément choisis.

Les fraudeurs poursuivent deux objectifs à la fois avec ces attaques : d’une part, les criminels collectent de nombreuses données personnelles qui peuvent être utilisées à des fins d’usurpation d’identité ultérieure. D’autre part, ils s’emparent ainsi des données de cartes de crédit, qui seront ensuite utilisées pour effectuer des paiements frauduleux. Jusqu’à présent, les « invitations à retirer un colis » frauduleuses décrites ici n’ont été signalées  qu’en Suisse romande.

Les attaques physiques comportent toujours pour les auteurs le risque d’être pris en flagrant délit par les autorités judiciaires suisses. C’est pourquoi ces agissements ne sont généralement pas commis par les auteurs eux-mêmes, mais par des personnes recrutées et inconscientes, qui ignorent souvent le contexte criminel de leurs actes.