Les 2,99 $ qui vous révèlent qu'un SMS de livraison est une arnaque

Il y a une seule phrase enterrée dans presque chaque faux message de livraison, et une fois que vous l'avez vue, vous ne pouvez plus l'oublier : un petit tarif pour libérer votre colis. Deux dollars. Peut-être trois. Des « frais de renvoi » ou un « ajustement d'expédition impayée » si insignifiants que vous les paieriez sans réfléchir. C'est voulu. L'arnaque n'est pas construite pour vous prendre 2,99 $. Elle est construite pour prendre le numéro de carte que vous tapez pour le payer.

C'est la saison des arnaques à la livraison, et elle suit un calendrier. L'Anti-Phishing Working Group a suivi l'augmentation du volume de phishing au quatrième trimestre pendant des années, les marques de logistique et d'expédition comptant parmi les catégories les plus usurpées — exactement quand tout le monde s'attend à recevoir un colis de quelqu'un. L'U.S. Postal Service a émis de nombreux avertissements concernant les SMS de « smishing » usurpant l'identité du suivi USPS, et la Royal Mail britannique a fait de même, mettant en garde les clients contre les faux messages « des frais sont dus » prétendant qu'un colis est bloqué. Des pays différents, le même scénario.

L'email et le SMS suivent le même jeu de règles avec des habits différents. La version SMS : un lien court, un numéro de suivi qui semble plausible, « USPS : votre colis est en attente d'une charge de 1,99 $ ». La version email : un logo de transporteur volé sur le vrai site, une fausse notification d'échec de livraison, un bouton qui dit Reprogrammer la livraison ou Payer les droits de douane. Les deux vous orientent vers une page qui vous demande votre nom, adresse et numéro de carte pour couvrir les frais. Certains vont plus loin et vous demandent un code de « vérification » qui est en réalité le code à usage unique de votre banque.

Voici le détail qui casse les deux d'un coup. Les vrais transporteurs ne vous facturent pas de frais pour renvoyer un colis, et ils ne perçoivent pas ces frais via un lien dans un SMS ou un email. USPS renvoie gratuitement — vous le programmez sur usps.com, aucune carte requise. UPS et FedEx renvoient les livraisons échouées sans frais. La seule exception dans le monde réel est les droits de douane authentiques sur un envoi international, et même dans ce cas le transporteur vous facture par votre compte ou une facture officielle, pas un SMS le jour même avec un compte à rebours. Donc la règle est presque insultement simple : un message de livraison vous demandant de payer des frais par lien est une arnaque. C'est tout. Vous n'avez besoin d'inspecter rien d'autre.

Mais si vous voulez confirmer, les indices techniques sont là. Passez la souris sur l'expéditeur sur un vrai ordinateur et l'email « USPS » vient d'un domaine marketing compromis, pas de usps.com. Le texte du lien dit une chose et pointe vers ailleurs. Et l'authentification échoue discrètement — un domaine expéditeur usurpé ne passera pas DMARC, c'est pourquoi une boîte de réception IA peut signaler ces messages avant que vous ne lisiez le mot « frais ». C'est l'essentiel de ce que nous faisons chez xmail quand un message ayant la forme d'un transporteur arrive : vérifier si le domaine a réellement le droit d'envoyer sous cette marque, puis chercher le motif lien-de-paiement-plus-petit-tarif.

Les données de la Federal Trade Commission confirment pourquoi ce petit nombre fonctionne. En 2023, les consommateurs ont signalé une perte médiane de 800 $ sur les arnaques par SMS en général, mais le type livraison prospère précisément parce que la demande semble trop insignifiante pour être un braquage. Les gens qui ricaneraient face à un email « virement de 5 000 $ » taperont un numéro de carte pour libérer un sweat-shirt.

Si un SMS ou un email dit que votre colis est bloqué et que de l'argent le libérera, fermez-le. Allez sur le vrai site du transporteur et collez votre numéro de suivi vous-même. Le colis, s'il existe, va bien. C'est votre carte qui est réellement en transit.