E-mails de confirmation de commande frauduleux : vrai ou arnaque ? Comment le savoir

Un e-mail arrive dans votre boîte de réception : « Votre commande a été expédiée ! » — sauf que vous ne vous souvenez pas d'avoir commandé quoi que ce soit. Ou bien vous avez effectivement commandé quelque chose, et un message vous demande maintenant de « confirmer vos informations de paiement » avant que la livraison puisse avoir lieu. Les fausses confirmations de commande sont l'une des astuces de phishing les plus courantes, car elles détournent deux réactions fortes : l'inquiétude que quelqu'un ait débité votre carte, et l'excitation d'un colis en route.

La bonne nouvelle : ces e-mails se trahissent presque toujours si vous savez où regarder. Voici comment distinguer un vrai reçu d'une arnaque — sans rien cliquer de dangereux.

Pourquoi les fausses confirmations de commande fonctionnent

Les escrocs envoient ces e-mails pour plusieurs raisons différentes :

• Phishing : le bouton « Voir la commande » ou « Annuler la commande » mène à une fausse page de connexion qui vole vos identifiants Amazon, PayPal ou bancaires.
• Arnaques au rappel téléphonique : l'e-mail mentionne un débit important et un numéro de téléphone pour le « contester ». La personne qui répond vous convainc de lui donner un accès à distance à votre ordinateur ou d'accepter un « remboursement » qui vide votre compte.
• Logiciels malveillants : la pièce jointe « facture » ou « étiquette d'expédition » installe un logiciel malveillant lorsqu'elle est ouverte.
• Arnaques aux frais : un faux message de transporteur indique que votre colis est retenu jusqu'au paiement de petits frais de « douane » ou de « relivraison » — le véritable objectif est votre numéro de carte.

Dans tous les cas, l'e-mail lui-même est le piège. La commande n'existe pas, ou le message ne provient pas de la boutique où vous avez réellement acheté.

Six vérifications qui démasquent un faux reçu

1. Inspectez la véritable adresse de l'expéditeur

Touchez ou cliquez sur le nom de l'expéditeur pour révéler l'adresse e-mail complète. Les vraies boutiques envoient depuis leur propre domaine — amazon.com, apple.com, ups.com. Les escrocs utilisent des imitations (amazon-orders-support.net), des boîtes mail gratuites (@gmail.com, @outlook.com) ou des domaines aléatoires sans aucun rapport avec la marque. Le nom affiché ne veut rien dire ; seule la partie après le @ compte.

2. Cherchez votre nom et les vrais détails de la commande

Une confirmation authentique vous salue par votre nom et liste exactement ce que vous avez acheté, le prix et l'adresse de livraison que vous avez saisie. Les faux disent « Cher client », affichent des articles vagues (« Commande n°8837-XZ, 1 article ») ou mentionnent un produit que vous n'avez jamais touché. Des détails manquants ou génériques sont un signal d'alarme fort.

3. Survolez chaque lien avant de cliquer

Sur un ordinateur, passez la souris sur le bouton ou le lien et lisez la destination dans le coin de votre écran ; sur un téléphone, appuyez longuement sur le lien pour le prévisualiser. Si « Suivre votre colis » pointe vers une URL raccourcie ou un domaine inconnu au lieu du site de la boutique, c'est du phishing. En cas de doute, ne cliquez pas du tout — la section suivante présente une méthode plus sûre.

4. Vérifiez vous-même le numéro de suivi

Un vrai e-mail d'expédition inclut un numéro de suivi que vous pouvez vérifier. Saisissez-le manuellement sur le propre site du transporteur — ups.com, fedex.com, usps.com, dhl.com — jamais via le lien de l'e-mail. Si le numéro n'existe pas, n'est pas au format utilisé par ce transporteur, ou si l'e-mail ne mentionne aucun transporteur, considérez-le comme faux.

5. Comparez avec vos propres relevés

Recoupez le débit avec votre relevé de carte ou de banque et l'historique des commandes de votre compte sur le site de la boutique. Un e-mail alarmant « vous avez été débité de 499 $ » sans aucune transaction correspondante nulle part est un bluff conçu pour vous faire appeler leur numéro ou cliquer sur leur lien.

6. Méfiez-vous de la pression et des bizarreries de paiement

Les vrais e-mails de commande n'exigent pas d'action urgente. Méfiez-vous des comptes à rebours, des menaces d'annulation de votre compte, des demandes de « ressaisir » vos informations de carte, ou des frais payables uniquement par carte cadeau, virement bancaire ou crypto. Aucun transporteur légitime ne perçoit de frais en cartes cadeaux — jamais.

Le moyen le plus sûr de vérifier : allez directement à la source

Ne vérifiez jamais une commande via l'e-mail lui-même. À la place :

1. Ouvrez un nouvel onglet de navigateur et tapez vous-même l'adresse de la boutique, ou utilisez son application officielle.
2. Connectez-vous et ouvrez Vos commandes (ou l'équivalent). Si la commande n'y figure pas, l'e-mail est faux — supprimez-le.
3. Si vous devez contacter le service client, utilisez le numéro de téléphone ou le chat du site officiel, jamais celui indiqué dans l'e-mail.

Si l'e-mail prétend provenir d'une boutique dont vous n'avez jamais entendu parler, recherchez la boutique sur HasTrust avant d'interagir — vous verrez si le site est établi et comment les autres acheteurs l'évaluent. Les e-mails d'usurpation imitent le plus souvent de grands noms comme Amazon, PayPal et les grands transporteurs, précisément parce que tant de personnes attendent réellement un colis de leur part. Et si vous avez un doute sur le message lui-même, collez-le dans le vérificateur d'arnaques HasTrust pour une évaluation rapide indiquant s'il ressemble à un schéma d'arnaque connu.

Que faire si vous avez déjà cliqué ou payé

Agissez vite — la rapidité limite les dégâts :

• Vous avez saisi un mot de passe ? Changez-le immédiatement sur le vrai site, ainsi que partout où vous l'avez réutilisé, et activez l'authentification à deux facteurs.
• Vous avez saisi des informations de carte ? Appelez votre banque ou l'émetteur de votre carte, signalez la carte comme compromise et demandez-leur de la bloquer et de contester tout débit.
• Vous avez ouvert une pièce jointe ? Déconnectez-vous d'Internet et lancez une analyse antivirus complète avant de vous connecter à quoi que ce soit.
• Vous avez donné un accès à distance à quelqu'un ? Éteignez l'ordinateur, changez vos mots de passe depuis un autre appareil et contactez votre banque.

Signalez ensuite l'e-mail : transférez-le à [email protected], utilisez le bouton « Signaler le phishing » de votre application de messagerie et — aux États-Unis — déposez un signalement sur reportfraud.ftc.gov. Les usurpations d'Amazon peuvent être envoyées à [email protected].

L'essentiel

Une vraie confirmation de commande correspond à un achat que vous avez effectué, provient du propre domaine de la boutique, mentionne votre nom et vos articles, et ne vous met jamais sous pression. Quand l'un de ces éléments manque, ignorez les liens, consultez directement votre compte et vérifiez l'expéditeur avant de faire quoi que ce soit d'autre. Trente secondes de vérification valent mieux que des semaines à réparer une fraude.