Un SMS prétendument signé bpost annonce qu’un colis est bloqué et réclame quelques euros de frais de douane ou de redistribution. C’est du phishing (hameçonnage), et le lien contenu dans le message mène vers un faux site conçu pour récupérer vos données bancaires. bpost l’a répété à plusieurs reprises : le groupe n’envoie pas de demande de paiement par SMS contenant un lien.
- Le site officiel de bpost se termine par bpost.be.
- Un vrai avis de livraison mentionne un numéro de suivi vérifiable.
- Si vous avez saisi vos données de carte, appelez Card Stop au 078 170 170.
- Transférez le SMS au 8585 avant de le supprimer.
Le scénario type, et ses failles
Le message tient en deux lignes. Un colis « n’a pas pu être livré », une adresse incomplète, des frais de quelques euros à régler « sous 24 heures » ou « sous 48 heures » sous peine de retour à l’expéditeur. Le lien qui suit n’a aucun rapport avec le domaine officiel de bpost, même s’il tente de l’imiter avec un tiret, une extension inhabituelle ou un nom étiré.
Le piège joue sur trois leviers : l’urgence, la petite somme et l’attente réelle. Beaucoup de Belges commandent en ligne, y compris hors de l’Union européenne, et un colis en route est un fait banal. Le montant demandé est volontairement dérisoire, ce qui fait baisser la garde.
Le vrai but n’est pas ces quelques euros.
Une fois sur la fausse page, on vous demande le numéro de votre carte, sa date d’expiration et son code de sécurité. Vient souvent une seconde étape : un code de confirmation reçu par SMS ou une validation dans l’application de votre banque. C’est là que les fraudeurs valident un paiement bien plus élevé que celui annoncé, ou enregistrent votre carte dans un portefeuille mobile à leur nom.
Les signaux qui ne trompent pas
Première vérification : l’adresse du lien. Le site officiel de bpost se termine par bpost.be, et tout ce qui vient après un autre nom de domaine est suspect. Les raccourcisseurs d’URL, qui masquent la destination, sont également un mauvais signe.
Deuxième signal, l’absence de détails. Un vrai avis de livraison mentionne en général un numéro de suivi que vous pouvez retrouver chez l’expéditeur ou dans votre commande. Le SMS frauduleux reste vague, ne cite ni expéditeur ni contenu, et s’adresse à « cher client ».
Troisième point : la formulation. Fautes d’accent, tournures de traduction automatique, majuscules étranges ou emojis qui n’ont rien à faire dans un message officiel trahissent souvent une campagne massive, parfois envoyée depuis un numéro étranger ou un expéditeur au nom usurpé. Sur certains téléphones, le faux message s’insère même dans le fil de conversations légitimes de l’expéditeur, ce qui rend l’arnaque plus crédible.
Enfin, souvenez-vous de la règle de base : en cas de doute, ne cliquez sur rien. Rendez-vous directement sur le site ou l’application de bpost, et saisissez vous-même votre numéro de suivi.
Vous avez cliqué : agir dans l’heure
Cliquer sur le lien n’est pas toujours grave. Si vous avez fermé la page sans rien saisir, le risque reste faible, même s’il vaut mieux surveiller votre téléphone. En revanche, dès que vous avez entré vos données de carte ou validé un paiement, chaque minute compte.
Appelez immédiatement Card Stop au 078 170 170 pour bloquer votre carte bancaire. Ce numéro d’urgence fonctionne en permanence, et il fonctionne aussi depuis l’étranger. Contactez ensuite votre banque pour signaler les opérations suspectes et demander leur contestation.
Si vous avez saisi un identifiant ou un mot de passe de banque en ligne, changez-les sans attendre. Même démarche pour tout mot de passe que vous réutilisez ailleurs. Vérifiez aussi qu’aucun appareil inconnu n’a été ajouté à votre application bancaire.
Si vous avez téléchargé une application ou un fichier proposé par la page, passez une analyse antivirus sur votre smartphone. En cas de doute, une réinitialisation d’usine est la solution la plus sûre, après avoir sauvegardé vos photos et contacts.
Signaler pour faire bloquer les faux sites
Transférez le SMS au 8585, le numéro de signalement géré par le SPF Économie, avant de le supprimer. Vous pouvez aussi envoyer un e-mail à suspect@safeonweb.be, l’adresse du Centre pour la Cybersécurité Belgique, qui s’en sert pour faire fermer les sites frauduleux. Ces signalements alimentent des listes de blocage qui protègent d’autres utilisateurs.
Si de l’argent a été débité, déposez également plainte auprès de la police locale. Cette démarche sert de preuve dans le dossier que vous ouvrez avec votre banque, qui peut examiner votre demande de remboursement. Conservez les captures d’écran du SMS, de la page et des opérations bancaires.
Le remboursement n’est pas automatique. La banque examine les circonstances, notamment si vous avez communiqué vous-même des codes de validation, ce qui peut compliquer le dossier. Plus votre signalement est rapide, meilleures sont vos chances, d’où l’intérêt de contacter Card Stop et votre banque avant toute autre démarche.
Dernier détail utile : si vous attendez réellement un colis venu de l’extérieur de l’UE, les éventuels frais de douane ou de TVA vous sont communiqués par le transporteur ou la boutique en ligne, jamais par un lien reçu de nulle part. Comparez toujours avec votre confirmation de commande.