Arnaque au brushing : pourquoi vous avez reçu un colis que vous n'aviez pas commandé

Vous ouvrez la porte et trouvez un colis portant votre nom et votre adresse — mais vous n'avez jamais rien commandé. À l'intérieur, quelque chose de bon marché et aléatoire : des sachets de graines, un anneau de téléphone, des bijoux fantaisie, un gadget de beauté. Pas de facture, pas de mot cadeau, et un expéditeur que vous ne reconnaissez pas. Il s'agit presque toujours d'une arnaque au brushing. L'article lui-même est généralement inoffensif, mais il vous apprend quelque chose qui mérite d'agir : votre nom et votre adresse circulent dans un jeu de données dans lequel vous n'avez jamais accepté de figurer.

Ce qu'est réellement une arnaque au brushing

Le brushing est une technique de faux avis utilisée par des vendeurs malhonnêtes sur les grandes places de marché. Le vendeur expédie un article bon marché à une adresse réelle — la vôtre — afin que la place de marché enregistre une livraison authentique et effectuée. Cela permet au vendeur (ou à un compte qu'il contrôle) de publier un avis achat vérifié sous un nom comme le vôtre, gonflant la note du produit et son classement des ventes.

Dans ce stratagème, vous n'êtes pas le client ; vous êtes la preuve de livraison. Le vendeur paie lui-même l'article et les frais de port, c'est pourquoi les produits sont presque toujours les choses les moins chères qu'il peut expédier.

Comment ils ont obtenu votre adresse

La plupart des cibles du brushing ont été exposées lors d'une fuite de données ordinaire ou via un registre public aspiré — une base de données de boutique piratée, un vendeur de place de marché ayant revendu des listes de clients, ou des données d'annuaires publics. Dans la plupart des cas, cela ne signifie pas que quelqu'un a accès à vos comptes ou à vos cartes de paiement.

Considérez-le néanmoins comme une invitation à vérifier. Si votre adresse a fuité depuis la base de données d'une boutique précise, votre e-mail et votre numéro de téléphone ont peut-être fuité avec elle, et ceux-ci sont ensuite utilisés pour du phishing.

Est-ce dangereux, et pouvez-vous garder l'article ?

Aux États-Unis, une marchandise non commandée qui vous est envoyée vous appartient légalement — la FTC est explicite : vous n'avez pas à la payer ni à la renvoyer. Des règles similaires s'appliquent au Royaume-Uni et dans l'UE. Alors gardez-la, donnez-la ou jetez-la.

Deux exceptions méritent de la prudence :

• Graines ou matériel végétal : ne les plantez pas. Signalez les graines non sollicitées à votre département de l'agriculture national ou d'État (aux États-Unis, le Department of Agriculture de votre État ou l'USDA), et éliminez-les selon leurs instructions.
• Aliments, cosmétiques ou compléments : jetez-les. Vous n'avez aucune idée de ce qu'ils contiennent ni de la façon dont ils ont été stockés.

Le piège du code QR

Les colis de brushing plus récents ne contiennent souvent aucune information sur le produit — juste une carte disant quelque chose comme « Scannez pour voir qui a envoyé votre cadeau » ou « Scannez pour réclamer votre récompense ». Ne le scannez pas. Ce code QR est la véritable charge utile : il peut mener à une page de phishing qui demande des identifiants de connexion ou des numéros de carte, ou pousser l'installation d'une application malveillante.

Si vous en avez déjà scanné un, fermez la page sans rien saisir, et collez le lien ou tout message de suivi dans le vérificateur d'arnaques HasTrust pour voir vers quoi il pointe. Si vous avez tapé un mot de passe quelque part, changez ce mot de passe maintenant.

Que faire, étape par étape

1. Ne payez rien et ne scannez rien. Aucun expéditeur légitime ne vous facture un colis que vous n'avez pas commandé.
2. Vérifiez vos comptes de places de marché. Ouvrez votre historique de commandes sur Amazon et sur toute autre place de marché que vous utilisez. Si le colis n'apparaît pas dans vos commandes, personne n'a utilisé votre compte — c'est le bon scénario. S'il apparaît bel et bien comme une commande que vous n'avez pas passée, traitez cela comme un piratage de compte : changez votre mot de passe immédiatement et contactez la plateforme.
3. Vérifiez vos relevés bancaires et de carte des dernières semaines. Le brushing en lui-même ne vous facture rien, mais confirmez que rien d'autre ne se passe.
4. Signalez le colis. Sur Amazon, recherchez « Report unwanted package » dans l'Aide — il existe un formulaire dédié ; gardez l'étiquette d'expédition à portée de main (numéro de suivi, coordonnées de l'expéditeur). Les autres places de marché acceptent les signalements via leur chat de service client standard. Les signalements comptent : les plateformes suspendent les vendeurs pris à faire du brushing.
5. Signalez l'arnaque plus largement si vous le souhaitez. Aux États-Unis : ReportFraud.ftc.gov, et USPS s'il est arrivé par courrier. Au Royaume-Uni : Action Fraud. Au Canada : le Centre antifraude du Canada.
6. Renforcez vos comptes. Activez l'authentification à deux facteurs pour votre e-mail et vos identifiants de places de marché, et changez tout mot de passe que vous avez réutilisé entre plusieurs boutiques. Votre compte e-mail est celui qui compte le plus — il peut réinitialiser tout le reste.

Quand s'inquiéter davantage

Un colis mystère est une contrariété. Intensifiez votre réponse si vous remarquez également l'un de ces signes :

• Des confirmations de commande ou des e-mails de livraison pour des choses que vous n'avez pas achetées — il pourrait s'agir d'un appât de phishing ou d'un compte compromis. Vérifiez soigneusement l'adresse de l'expéditeur avant de cliquer sur quoi que ce soit.
• Des e-mails de réinitialisation de mot de passe que vous n'avez pas demandés.
• Des colis qui arrivent à répétition, ou des articles de grande valeur suivis d'un « coursier » demandant à récupérer un colis livré par erreur — c'est une arnaque différente (fraude à l'interception), et vous devez refuser et la signaler.

Vérifiez avant d'acheter auprès de boutiques inconnues

Le brushing existe parce que les faux avis fonctionnent — ils font paraître dignes de confiance de mauvais vendeurs. Considérez donc avec une saine méfiance les notes élogieuses des boutiques inconnues et des annonces de places de marché, surtout pour les produits ultra bon marché provenant de places de marché de type AliExpress ou de boutiques en ligne indépendantes inconnues.

Avant de commander auprès d'une boutique que vous n'avez jamais utilisée, recherchez-la sur HasTrust pour voir son score de confiance, les expériences réelles des clients et ses informations d'enregistrement. Une minute de vérification coûte moins cher qu'un litige — et cela garde votre adresse hors de la prochaine liste de clients divulguée.