Faux e-mails de confirmation de commande : vrai ou arnaque ? Comment faire la différence

Un e-mail de confirmation de commande n'est authentique que s'il correspond à un achat que vous avez réellement effectué. Le moyen le plus rapide de le vérifier est d'ouvrir vous-même le site web ou l'application de la boutique et de consulter votre historique de commandes, sans cliquer sur quoi que ce soit dans l'e-mail. Un e-mail arrive dans votre boîte de réception : « Votre commande a été expédiée ! », sauf que vous ne vous souvenez pas avoir commandé quoi que ce soit. Ou bien vous avez effectivement commandé quelque chose, et voilà qu'un message vous demande de « confirmer vos informations de paiement » avant la livraison. Les fausses confirmations de commande sont l'une des techniques d'hameçonnage les plus courantes, car elles exploitent deux réactions fortes : la crainte que quelqu'un ait débité votre carte, et l'enthousiasme à l'idée d'un colis en route.

La bonne nouvelle : ces e-mails se trahissent presque toujours si vous savez où regarder. Voici comment distinguer un vrai reçu d'une arnaque, sans cliquer sur quoi que ce soit de dangereux.

Pourquoi les fausses confirmations de commande fonctionnent

Les escrocs envoient ces e-mails pour plusieurs raisons :

• Hameçonnage : le bouton « Voir la commande » ou « Annuler la commande » mène à une fausse page de connexion qui vole vos identifiants Amazon, PayPal ou bancaires.
• Arnaques au rappel : l'e-mail mentionne un débit important et un numéro de téléphone pour le « contester ». La personne qui répond vous persuade de lui accorder un accès à distance à votre ordinateur ou d'accepter un « remboursement » qui vide votre compte.
• Logiciels malveillants : la pièce jointe « facture » ou « étiquette d'expédition » installe un logiciel malveillant à l'ouverture.
• Arnaques aux frais : un faux message de transporteur indique que votre colis est bloqué jusqu'au paiement de petits frais de « douane » ou de « nouvelle livraison » ; le véritable objectif est d'obtenir votre numéro de carte.

Dans tous les cas, l'e-mail lui-même est le piège. La commande n'existe pas, ou le message ne provient pas de la boutique où vous avez réellement acheté.

Six vérifications qui démasquent un faux reçu

1. Examinez la véritable adresse de l'expéditeur

Touchez ou cliquez sur le nom de l'expéditeur pour afficher l'adresse e-mail complète. Les vraies boutiques envoient leurs e-mails depuis leur propre domaine : amazon.com, apple.com, ups.com. Les escrocs utilisent des domaines ressemblants (amazon-orders-support.net), des messageries gratuites (@gmail.com, @outlook.com) ou des domaines quelconques sans aucun rapport avec la marque. Le nom affiché ne signifie rien ; seule compte la partie située après le @.

2. Vérifiez la présence de votre nom et de vrais détails de commande

Une confirmation authentique vous salue par votre nom et indique précisément ce que vous avez acheté, le prix et l'adresse de livraison que vous avez saisie. Les faux disent « Cher client », affichent des articles vagues (« Commande n° 8837-XZ, 1 article ») ou mentionnent un produit que vous n'avez jamais touché. Des détails absents ou génériques constituent un signal d'alerte important.

3. Survolez chaque lien avant de cliquer

Sur un ordinateur, passez la souris sur le bouton ou le lien et lisez la destination qui s'affiche dans le coin de votre écran ; sur un téléphone, appuyez longuement sur le lien pour en afficher l'aperçu. Si « Suivre votre colis » pointe vers une URL raccourcie ou un domaine inconnu au lieu du site de la boutique, il s'agit d'hameçonnage. En cas de doute, ne cliquez pas du tout : la section suivante présente une méthode plus sûre.

4. Vérifiez vous-même le numéro de suivi

Un véritable e-mail d'expédition comprend un numéro de suivi que vous pouvez vérifier. Saisissez-le manuellement sur le site du transporteur (ups.com, fedex.com, usps.com, dhl.com), jamais via le lien de l'e-mail. Si le numéro n'existe pas, ne respecte pas le format utilisé par ce transporteur, ou si l'e-mail ne nomme aucun transporteur, considérez-le comme faux.

5. Comparez-le à vos propres relevés

Recoupez le débit avec votre relevé de carte ou de banque et avec l'historique des commandes de votre compte sur le site de la boutique. Un e-mail alarmant du type « vous avez été débité de 499 $ » sans aucune transaction correspondante nulle part est un bluff destiné à vous pousser à appeler leur numéro ou à cliquer sur leur lien.

6. Méfiez-vous de la pression et des modes de paiement inhabituels

Les vrais e-mails de commande n'exigent pas d'action urgente. Méfiez-vous des comptes à rebours, des menaces de fermeture de votre compte, des demandes de « ressaisir » vos informations de carte ou des frais payables uniquement par carte cadeau, virement bancaire ou cryptomonnaie. Aucun transporteur légitime ne perçoit de frais en cartes cadeaux, jamais.

La méthode de vérification la plus sûre : passez par la source

Ne vérifiez jamais une commande via l'e-mail lui-même. À la place :

1. Ouvrez un nouvel onglet de navigateur et saisissez vous-même l'adresse de la boutique, ou utilisez son application officielle.
2. Connectez-vous et ouvrez Vos commandes (ou l'équivalent). Si la commande n'y figure pas, l'e-mail est faux : supprimez-le.
3. Si vous devez contacter le service client, utilisez le numéro de téléphone ou le chat du site officiel, jamais celui indiqué dans l'e-mail.

Si l'e-mail prétend provenir d'une boutique dont vous n'avez jamais entendu parler, recherchez-la sur HasTrust avant d'interagir : vous verrez si le site est bien établi et comment les autres acheteurs l'évaluent. Les e-mails d'usurpation imitent le plus souvent de grands noms comme Amazon, PayPal et les principaux transporteurs, précisément parce que tant de gens attendent réellement un colis de leur part. Et si vous avez un doute sur le message lui-même, collez-le dans le vérificateur d'arnaques HasTrust pour savoir rapidement s'il ressemble à un schéma d'arnaque connu.

Que faire si vous avez déjà cliqué ou payé

Agissez vite : la rapidité limite les dégâts.

• Vous avez saisi un mot de passe ? Changez-le immédiatement sur le vrai site, ainsi que partout où vous l'avez réutilisé, et activez l'authentification à deux facteurs.
• Vous avez saisi vos informations de carte ? Appelez votre banque ou l'émetteur de votre carte, signalez la carte comme compromise et demandez-lui de la bloquer et de contester les débits.
• Vous avez ouvert une pièce jointe ? Déconnectez-vous d'Internet et lancez une analyse antivirus complète avant de vous connecter à quoi que ce soit.
• Vous avez accordé un accès à distance à quelqu'un ? Éteignez l'ordinateur, changez vos mots de passe depuis un autre appareil et contactez votre banque.

Signalez ensuite l'e-mail : transférez-le à [email protected], utilisez le bouton « Signaler comme hameçonnage » de votre application de messagerie et, aux États-Unis, déposez un signalement sur reportfraud.ftc.gov. Les usurpations d'Amazon peuvent être signalées à [email protected].

En résumé

Une véritable confirmation de commande correspond à un achat que vous avez effectué, provient du propre domaine de la boutique, mentionne votre nom et vos articles, et ne vous met jamais sous pression. Lorsque l'un de ces éléments manque, ignorez les liens, vérifiez directement votre compte et contrôlez l'expéditeur avant toute autre action. Trente secondes de vérification valent mieux que des semaines passées à réparer les dégâts d'une fraude.