La page de paiement ressemble trait pour trait à l’interface de votre banque parce que les escrocs ne l’ont pas inventée : ils l’ont copiée, pixel par pixel, à partir de captures d’écran ou du code source accessible des vraies plateformes bancaires. C’est cette fidélité maniaque au détail, logo officiel, couleurs exactes, typographie identique, qui pousse tant de Belges à taper leur code sans se poser de questions. Le phénomène ne date pas d’hier, mais il connaît une recrudescence inquiétante en 2026, avec des campagnes usurpant bpost qui atteignent un niveau de sophistication rarement vu jusqu’ici.
À retenir
- Les fraudeurs reproduisent fidèlement l’interface de votre banque en copiant le code source des vraies applications
- Un scénario en quatre écrans vous pousse à révéler progressivement toutes vos données bancaires, jusqu’au code PIN
- Plus de 40 000 cas d’hameçonnage signalés chaque jour en Belgique : le phénomène s’est industrialisé
Un scénario en quatre écrans, pensé comme un vrai parcours client
Le schéma commence presque toujours de la même façon : un SMS ou un e-mail annonce un colis bloqué, en douane ou faute de paiement d’un petit supplément. Un faux mail bpost essaie de vous faire croire qu’un colis est bloqué à la douane. Rien d’alarmant en apparence, une poignée d’euros à régler pour débloquer une livraison qu’on attend peut-être vraiment. C’est justement cette banalité du montant qui désarme la méfiance.
Le piège se referme ensuite en plusieurs étapes soigneusement chorégraphiées. Un courrier électronique dangereux usurpe l’identité de bpost et vous pousse à encoder nom, prénom, adresse, numéro de carte de banque, date d’expiration, cryptogramme, etc. Chaque champ demandé semble logique dans le contexte d’un paiement en ligne classique. Mais les fraudeurs ne s’arrêtent pas là : au quatrième écran, les escrocs osent carrément exiger le code pin de la carte bancaire, une donnée qu’aucun commerçant sérieux ne réclame jamais pour un paiement par carte à distance. Et pour parachever l’illusion, en dernière instance, le site vous parachute subtilement sur le véritable site de bpost, une fois son forfait accompli, une fois vos données récupérées. La victime referme son navigateur convaincue d’avoir réglé un frais de douane anodin, sans jamais soupçonner qu’elle vient d’offrir l’intégralité de ses données bancaires à un réseau criminel.
Ce niveau de détail n’a rien d’artisanal. Les chercheurs en cybersécurité observent depuis plusieurs années des kits de phishing vendus clé en main sur des forums criminels, avec templates préfabriqués imitant bpost, PostNL, DHL ou des banques belges. L’escroc n’a plus qu’à changer le nom de domaine et lancer sa campagne SMS.
Pourquoi le cerveau tombe dans le panneau
La confusion entre une page de paiement bpost et l’écran de sa propre banque n’est pas un signe de naïveté, c’est un biais cognitif exploité méthodiquement. Ces e-mails utilisent le nom de l’organisation en question, son logo et sa charte graphique, et les banques, les services de livraison et les organismes publics sont les principales cibles de ces usurpations d’identité. Le smishing, cette variante du phishing envoyée par SMS, joue sur les mêmes ressorts psychologiques : l’urgence, la familiarité visuelle et la petite somme qui semble ne rien risquer.
Les chiffres donnent le vertige. Plus de 3,6 millions de cas d’hameçonnage ont été signalés par des Belges au cours des 3 premiers mois de l’année 2026, soit plus de 40.000 par jour, selon des chiffres du Centre pour la Cybersécurité Belgique. Un rythme qui donnerait presque le tournis à n’importe quel service de police, et qui illustre à quel point le phénomène s’est industrialisé plutôt que de rester le fait de quelques bricoleurs isolés.
Le vecteur technique aggrave encore le problème. Toute campagne de phishing a besoin d’un vecteur de transmission et des adresses @skynet.be sont régulièrement détournées pour envoyer des vagues de mails frelatés, ce qui donne aux messages frauduleux une apparence de légitimité renforcée puisqu’ils transitent parfois par des infrastructures d’opérateurs belges bien connus. Certaines campagnes plus anciennes allaient même jusqu’à faire télécharger une fausse application mobile qui, une fois installée, aspirait mots de passe et contacts du téléphone pour relancer l’arnaque en cascade.
Les réflexes qui font la différence
bpost le répète sur son propre site : l’entreprise ne fonctionne tout simplement pas comme le prétendent ces messages. Pour les envois au sein de l’UE, bpost ne vous demandera jamais de payer pendant que votre colis est en cours de livraison, ou de fournir des informations personnelles par e-mail ou SMS. si un SMS vous réclame deux euros pour « libérer » votre colis, la conclusion s’impose d’elle-même. La société ajoute d’ailleurs que bpost ne menacera jamais de vous envoyer un huissier si vous ne payez pas votre colis, une ficelle pourtant fréquemment utilisée pour affoler les destinataires.
Le geste le plus simple reste de survoler le lien sans cliquer, pour vérifier l’adresse réelle qui se cache derrière. Un e-mail ou un SMS frauduleux contient généralement un lien ou un bouton qui mène à un site web non fiable, que l’on peut vérifier en survolant le lien avec sa souris : l’adresse web apparaît alors en bas à gauche du navigateur, et si elle ne vous dit rien, mieux vaut ne pas cliquer. Si le mal est déjà fait et que des coordonnées bancaires ont été communiquées, la priorité absolue reste de contacter sans attendre l’établissement financier concerné. En Belgique, le réflexe collectif reste d’appeler Card Stop, au numéro 078 170 170, et de déposer plainte tout en conservant le message comme preuve de l’arnaque. Transférer le SMS suspect à l’adresse suspect@safeonweb.be permet en outre au Centre pour la Cybersécurité Belgique de faire bloquer le site frauduleux avant qu’il ne piège d’autres victimes.
Un détail mérite d’être connu de tous les utilisateurs de smartphone : certains navigateurs mobiles filtrent nativement les sites de phishing signalés, d’autres beaucoup moins bien. Un simple réglage dans les paramètres de sécurité du téléphone, souvent ignoré, peut bloquer l’accès à une page frauduleuse avant même qu’elle ne s’affiche à l’écran, bien avant que le doigt n’ait le temps de taper le moindre code PIN.
Sources : news.belgium.be | police.be