Deux euros nonante-neuf. C’est le prix, dérisoire, qu’une victime pensait payer pour débloquer un colis bpost fantôme. Elle avait raisonné juste : personne ne va organiser une arnaque sophistiquée pour trois euros. Mais ce n’est jamais l’argent du faux paiement que visent les escrocs. C’est votre code itsme, sésame numérique qui donne accès à peu près à tout : banque, administration, mutuelle, impôts. Le petit montant n’est qu’un appât, l’hameçon véritable se cache trois étapes plus loin.
À retenir
- Pourquoi les escrocs négligent délibérément des sommes insignifiantes pour cibler quelque chose de bien plus précieux
- Comment une plateforme criminelle chinoise automatise des milliers de faux portails avec des modèles prêts à l’emploi
- Quel est ce fameux code qu’on vous demande de valider au téléphone, et pourquoi il devient soudain une arme contre vous
Le mécanisme bien huilé du faux colis bloqué
Le scénario suit toujours la même partition. Un SMS ou un mail arrive, prétendument de bpost, annonçant qu’un colis est bloqué, souvent « à la douane » ou dans un « centre de distribution », et qu’une modique participation est réclamée avant livraison. Le texte brandit une menace : « Votre colis est bloque en douane. Une participation est demandee avant livraison », pour un montant modeste. Le piège fonctionne parce qu’il joue sur la banalité : tout le monde attend un colis, un jour ou l’autre, et personne ne va vérifier scrupuleusement l’expéditeur d’un mail qui semble anodin.
La technique n’est pas artisanale. Elle repose sur des adresses mail détournées, notamment chez Proximus, des adresses @skynet.be étant régulièrement détournées pour envoyer des vagues de mails frauduleux. Derrière ces campagnes se cache souvent une infrastructure industrielle du crime, connue sous le nom de Darcula. Cette plateforme chinoise de phishing-as-a-service permet de mener des campagnes de smishing à grande échelle contre des organisations postales et financières dans le monde entier, en offrant plus de 20.000 faux domaines et plus de 200 modèles. le faux portail bpost qui a piégé notre internaute à 2,99 euros n’est probablement qu’un des milliers de clones générés par un service loué à la carte, un peu comme on louerait un logiciel de comptabilité, sauf que celui-ci sert à vider des comptes en banque.
Pourquoi le petit paiement n’est qu’une mise en bouche
Une fois les coordonnées bancaires encodées sur le faux site, l’histoire ne s’arrête pas là. Au quatrième écran, les escrocs osent carrément exiger le code pin de la carte bancaire, avant de rediriger discrètement la victime vers le vrai site de bpost, histoire de dissiper les derniers doutes. Le vrai danger arrive ensuite, souvent quelques heures ou jours plus tard, sous la forme d’un appel téléphonique.
La combine est redoutablement efficace parce qu’elle exploite la panique. Un appel vous informe que votre compte a été piraté, et semble provenir de votre banque, avec un numéro belge et un discours crédible. C’est là qu’intervient itsme. Un soi-disant agent anti-fraude demande d’ouvrir l’application pour « protéger son argent » ou « autoriser une aide technique », et sous la pression, la victime valide sans le savoir l’accès à son compte. Le paradoxe est cruel : l’outil censé sécuriser les transactions bancaires belges devient, entre de mauvaises mains manipulatrices, la clé qui ouvre le coffre. bpost banque le rappelle pourtant sans détour, l’utilisateur est la seule personne à connaître son code itsme et ne doit jamais le confier à quelqu’un.
Une vague qui ne faiblit pas en Belgique
Les chiffres donnent le vertige. Plus de 3,6 millions de cas d’hameçonnage ont été signalés par des Belges au cours des trois premiers mois de 2026, soit plus de 40.000 par jour, selon le Centre pour la cybersécurité en Belgique. Une moyenne qui donne à réfléchir : à ce rythme, statistiquement, presque chaque famille belge a croisé la route d’une tentative de phishing depuis le début de l’année. Le CCB constate aussi une diversification des canaux, puisque les escrocs font appel à trois canaux de communication différents pour usurper une identité, entre le faux SMS du SPF Finances, le faux appel itsme et le faux mail Engie.
Détail amusant, ou plutôt révélateur : tous les navigateurs ne se valent pas face à ces pièges. Google Chrome est susceptible de bloquer le lien frauduleux, ce que ne fait pas son concurrent Microsoft Edge. Un petit rappel que la sécurité numérique dépend aussi, bêtement, du logiciel qu’on utilise pour ouvrir ses mails. Les administrations belges rappellent par ailleurs une règle simple mais souvent oubliée : pour les envois au sein de l’UE, bpost ne demandera jamais de payer pendant que le colis est en cours de livraison, ni de fournir des informations personnelles par mail ou SMS, et ne menacera jamais d’envoyer un huissier en cas de non-paiement.
Que faire si le mal est déjà fait
La règle d’or reste la rapidité. Si des données bancaires ont été communiquées, il faut appeler immédiatement Cardstop au 070 344 344 pour bloquer sa carte. Si un code itsme a été validé par erreur, il faut changer tous ses mots de passe et contacter sa banque pour sécuriser ses accès digitaux. Pour un virement déjà parti, contacter sa banque dans les minutes qui suivent reste la meilleure option, car les virements SEPA peuvent parfois être rappelés si la réaction est rapide. Une plainte à la police locale ou via le formulaire en ligne complète la démarche, ne serait-ce que pour nourrir les statistiques et aider les enquêteurs à remonter les réseaux.
Un détail mérite d’être connu : itsme intègre un principe de vérification volontairement contraignant, celui de toujours afficher le service concerné et le montant exact de l’action à valider avant de l’accepter. Le problème n’est jamais l’outil, mais la panique qu’on instille chez la victime pour qu’elle appuie sans lire. La prochaine fois qu’un mail réclame 2,99 euros pour un colis, mieux vaut se demander non pas « est-ce que ça vaut la peine de m’arnaquer pour si peu », mais « qui, exactement, récupère mes données une fois que j’ai cliqué ».
Sources : lavenir.net | police.be