Quelqu’un ciblé par une arnaque au « brushing » découvre généralement la supercherie quand un petit colis arrive avec son nom et son adresse sur l’étiquette, alors qu’il n’a aucun enregistrement de commande dans ses comptes d’achats en ligne.
Contrairement aux escrocs qui envoient de faux SMS de livraison pour pousser les personnes à cliquer sur un lien, les auteurs d’une arnaque au « brushing » envoient un véritable article, même si certains commencent à ajouter des QR codes sur les colis qui mènent à des sites de hameçonnage.
Qu’est‑ce qu’une arnaque au «brushing»?
Une arnaque au « brushing » est une manœuvre où un vendeur en ligne vous envoie un produit que vous n’avez pas commandé, puis utilise la livraison pour publier des avis frauduleux ou gonfler ses ventes. L’objectif du vendeur est généralement d’améliorer son classement, pas de vous soutirer de l’argent.
Le terme vient du jargon du e‑commerce chinois désignant la falsification de commandes pour améliorer le chiffre de ventes d’une boutique. Les vendeurs l’utilisent comme une tromperie visant d’autres clients qui se fient aux évaluations par étoiles et aux volumes de ventes, et la personne qui reçoit le colis n’a généralement rien à voir avec l’arnaque.
Un cas typique peut être un support de téléphone qui arrive dans un simple emballage d’un vendeur dont vous n’avez jamais entendu parler.
- Les arnaques au « brushing » utilisent des colis non sollicités pour publier des avis frauduleux ou gonfler des chiffres de vente, généralement sans facturer le destinataire.
- Les escrocs obtiennent souvent noms et adresses à partir de registres publics, de courtiers en données ou de données clients exposées lors d’une fuite d’entreprise.
- Recevoir un colis de « brushing » ne signifie pas que votre compte d’achats ou vos moyens de paiement ont été compromis.
- Ne scannez pas les QR codes contenus dans des colis inattendus, car certains mènent à des sites d’hameçonnage qui dérobent les identifiants ou les données de paiement.
- Aux US, la loi fédérale vous autorise généralement à conserver la marchandise non sollicitée sans avoir à la payer.
- Signalez le colis à la place de marché afin qu’elle puisse enquêter sur le vendeur, même si d’autres colis peuvent encore arriver.
Comment fonctionne une arnaque au «brushing»?
Dans une arnaque au « brushing », un vendeur peut créer un faux compte sur une place de marché en ligne en utilisant votre nom et votre adresse, « s’acheter » son propre produit, puis vous l’expédier. Le vendeur se sert ensuite de la transaction frauduleuse pour manipuler les avis ou le classement des ventes.
Les escrocs paient généralement avec leur propre carte et utilisent leur propre adresse e‑mail, si bien que la commande et la transaction n’apparaissent pas dans votre compte. Les avis proviennent du compte qu’ils contrôlent, parfois sous un nom proche du vôtre.
Beaucoup de consommateurs comparent des produits grâce aux notes par étoiles et aux classements de ventes; une fiche produit avec des centaines d’avis positifs se classe mieux et attire plus d’acheteurs, ce qui peut rendre rentable l’envoi massif d’articles peu coûteux.
L’envoi d’un colis ne génère pas automatiquement un avis « achat vérifié », car chaque place de marché a ses propres règles pour confirmer un achat et supprimer les avis frauduleux. Amazon, par exemple, labelise un avis « achat vérifié » lorsqu’elle peut confirmer que le rédacteur a acheté l’article sur Amazon, et le brushing est l’une des méthodes utilisées pour tenter d’obtenir ce label.
Comment les escrocs obtiennent‑ils votre nom et votre adresse?
Les escrocs se procurent souvent noms et adresses via des registres publics, des courtiers en données ou des fuites d’informations clients. Disposer de votre adresse ne signifie pas pour autant qu’ils ont accès à vos comptes d’achats ou à vos moyens de paiement.
Les personnes qui se demandent comment les arnaques au « brushing » ont obtenu leur adresse s’inquiètent souvent d’un compte Amazon piraté, mais un nom et une adresse sont des informations personnellement identifiables que de nombreuses entreprises et annuaires détiennent déjà. L’étiquette d’expédition ne vous dira pas si le vendeur a trouvé vos coordonnées dans une fuite, un annuaire public ou une liste achetée.
Testé indépendamment et primé par les principaux laboratoires du secteur.
Comment reconnaître une arnaque au «brushing»?
On reconnaît généralement une arnaque au « brushing » à un colis provenant d’un vendeur inconnu qui ne correspond à aucune commande dans votre foyer. L’article est souvent de faible valeur et il n’y a souvent ni note ni facture avec.
Les vendeurs choisissent fréquemment des articles de faible valeur comme des accessoires de téléphone, des pinces à cheveux ou de petits produits ménagers, car ces articles coûtent peu à acheter en gros et à expédier. De nombreux cas signalés impliquent Amazon, mais une arnaque au « brushing » sur Amazon fonctionne de la même façon que sur toute autre place de marché en ligne qui classe les produits par avis et ventes.
Avant de conclure qu’un colis est lié au « brushing », vérifiez s’il ne s’agit pas d’un cadeau, d’un envoi d’abonnement, d’une commande passée par quelqu’un de votre foyer, ou d’un colis destiné à un voisin.
Les arnaques au «brushing» sont‑elles dangereuses?
Les arnaques au « brushing » peuvent présenter des risques pour la vie privée et la sécurité, même si leur but principal est de manipuler les avis en ligne plutôt que de voler de l’argent. Certains colis suspects contiennent aussi des QR codes malveillants ou des produits potentiellement dangereux, ce qui crée des risques supplémentaires pour les destinataires.
Le fait qu’un vendeur ait votre nom et votre adresse n’équivaut pas à un cas confirmé de vol d’identité, de compte compromis ou de moyens de paiement volés. Vos coordonnées peuvent toutefois être revendues ou réutilisées, et apparaître ensuite dans des e‑mails d’hameçonnage, des appels frauduleux ou d’autres tentatives d’escroquerie.
La gravité de la situation dépendra des preuves d’abus, comme des commandes que vous n’avez pas passées ou des prélèvements inconnus, plutôt que du seul colis en lui‑même.
Une arnaque au «brushing» peut‑elle contenir des codes QR malveillants?
Oui: certaines arnaques au « brushing » incluent une carte ou un autocollant portant un code QR malveillant, souvent accompagné d’un mot invitant à le scanner. Le fait de le scanner peut ouvrir un site frauduleux conçu pour voler des identifiants, des informations de paiement ou des codes de vérification à usage unique.
Dans son analyse des colis inattendus, Kaspersky décrit des cartes‑code QR promettant une carte cadeau de 100 $ pour laisser un avis, affirmant révéler l’expéditeur du « cadeau », ou demandant de confirmer la réception d’un article gratuit. Certains sites liés à ces codes incitent aussi à installer une application qui s’avère être un logiciel malveillant.
Cette tactique s’appelle le quishing, contraction de « QR‑code phishing » (hameçonnage via code QR), et c’est une menace supplémentaire que certains escrocs ajoutent au brushing. Scanner un code n’infecte pas automatiquement un téléphone ni ne compromet un compte: les problèmes commencent généralement uniquement si vous saisissez un mot de passe ou des coordonnées bancaires sur le site, ou si vous installez l’application demandée.
Que faire si vous recevez un colis lié à une arnaque au «brushing»?
La plupart du temps il suffit d’écarter l’hypothèse d’une commande domestique et de signaler le colis. Vous n’avez généralement pas besoin de geler votre crédit, de remplacer vos cartes ou de changer tous vos mots de passe, sauf si vous constatez des signes de compromission de compte, de fraude bancaire ou d’usurpation d’identité.
Vérifiez vos comptes d’achats et l’activité de paiement
Commencez par demander aux personnes de votre foyer si quelqu’un a commandé l’article ou l’a envoyé en cadeau, et vérifiez qu’il ne s’agit pas d’un envoi d’abonnement oublié. S’il n’y a pas d’explication, parcourez les commandes récentes dans vos comptes sur les places de marché, vos transactions bancaires et cartes, ainsi que les e‑mails de sécurité concernant de nouvelles connexions ou des changements de mot de passe.
Si vous trouvez une commande, un prélèvement ou une connexion que vous ne reconnaissez pas, changez le mot de passe du compte concerné, activez l’authentification multifacteur et contactez la plateforme ainsi que votre banque.
Signalez le colis sur Amazon ou la place de marché concernée
Pour signaler une arnaque au « brushing » sur Amazon, utilisez le formulaire de signalement de sa page d’aide pour colis non sollicités. Sur d’autres places de marché, contactez le service client du site par lequel le colis est passé. Conservez l’étiquette d’expédition, le numéro de suivi et la date de livraison, et prenez des photos du colis et de son contenu: Amazon demande un numéro de suivi et le nombre de colis indésirables que vous avez reçus.
Si un colis suspect est arrivé par USPS, vous pouvez aussi le signaler au United States Postal Inspection Service (Service d'inspection postale des États‑Unis) via son formulaire de signalement de crime en ligne. Les signalements de livraisons répétées peuvent aider une place de marché à retrouver le vendeur et à retirer des avis frauduleux postés en votre nom, mais ils ne garantissent pas l’arrêt des livraisons.
Que faire d’un colis non sollicité?
Aux US, la loi fédérale vous permet en général de garder, d’utiliser ou de jeter des marchandises non sollicitées sans payer pour elles ni avertir l’expéditeur. Un colis adressé à une autre personne est une erreur de livraison: renvoyez‑le via le transporteur ou l’expéditeur.
Si un colis non ouvert affiche une adresse de retour, le US Postal Inspection Service indique que vous pouvez le marquer « return to sender » (retour à l'expéditeur) et il sera renvoyé sans frais pour vous. D’autres pays ont leurs propres droits consommateurs et règles de retour: vérifiez les recommandations de votre agence nationale de protection des consommateurs si vous vivez en dehors des US.
Soyez plus prudent avec des appareils électroniques inconnus, des denrées, des graines ou des substances inconnues: ne branchez pas de clés USB inconnues sur vos appareils, ne plantez pas de graines et signalez les liquides ou poudres suspectes aux autorités locales. Si vous signalez le colis, prenez vos photos avant de jeter quoi que ce soit.
Que faire si vous avez scanné un QR code suspicious?
Fermez la page sans saisir aucune information: c’est généralement suffisant si vous vous êtes contenté de scanner le code. Si vous avez saisi un mot de passe, des coordonnées bancaires ou un code de vérification, ou installé une application, sécurisez le compte ou l’appareil affecté.
Après avoir saisi un mot de passe, changez‑le sur le site officiel et sur tout autre compte où vous utilisez le même, activez l’authentification multifacteur et vérifiez les connexions inhabituelles. Contactez votre banque ou l’émetteur de votre carte si vous avez saisi des coordonnées de carte ou un code de vérification à usage unique: ils peuvent bloquer la carte et vérifier les opérations frauduleuses.
Toute personne ayant installé une application depuis le lien doit la supprimer et analyser l’appareil avec un logiciel de sécurité réputé pour vérifier la présence de logiciels malveillants.
Comment réduire les risques liés aux arnaques au «brushing»?
Vous pouvez diminuer les risques en partageant moins d’informations personnelles en ligne, en sécurisant vos comptes d’achats avec des mots de passe uniques et l’authentification multifacteur, et en ignorant les QR codes présents dans des colis inattendus. Vous ne pouvez pas empêcher l’arrivée des colis eux‑mêmes, car le vendeur possède déjà votre adresse.
Protégez vos données personnelles et les comptes liés en appliquant ces mesures:
- Retirez votre adresse des profils publics sur les réseaux sociaux, et demandez aux sites de recherche de personnes de retirer votre fiche lorsqu’ils proposent une option de désinscription.
- Utilisez un mot de passe fort et unique pour chaque compte d’achats, afin qu’un mot de passe volé lors d’une fuite soit moins réutilisable ailleurs. Un gestionnaire de mots de passe peut les créer et les stocker pour vous.
- Activez l’authentification multifacteur et les alertes de connexion pour vos comptes de marketplaces et de paiement, afin de détecter plus rapidement une tentative de prise de contrôle.
- Ne scannez pas de QR codes présents dans des colis inattendus, et utilisez un logiciel de sécurité doté d’une protection anti‑hameçonnage, qui peut bloquer les sites frauduleux si vous en scannez un par erreur.
Articles connexes:
- Quelle sécurité pour les achats en ligne
- Gérer et prévenir une fuite de données personnelles
- Que faire après une attaque d’hameçonnage
- En savoir plus sur les principales arnaques et comment éviter d’en être victime
Produits recommandés:
FAQs
Une arnaque au «brushing» peut‑elle suspendre mon compte d’achats?
Recevoir un colis lié à une arnaque au « brushing » n’entraîne normalement pas la suspension de votre compte d’achats. Cependant, si une activité frauduleuse est liée à votre compte, la place de marché peut l’enquêter ou la restreindre. Contactez le support client si vous remarquez une activité suspecte.
Les arnaques au «brushing» sont‑elles plus fréquentes pendant les fêtes?
Les arnaques au « brushing » peuvent être plus difficiles à repérer pendant les fêtes parce que l’on reçoit davantage de colis et de cadeaux. Toutefois, il n’existe pas de preuve suffisante montrant qu’elles augmentent systématiquement durant la période des fêtes: elles peuvent se produire toute l’année.
Comment repérer des avis frauduleux créés par le «brushing»?
Recherchez des grappes d’avis cinq étoiles publiés en quelques jours, des éloges vagues ne décrivant pas le produit, et des comptes d’avis sans autre activité. Un label « achat vérifié » ne prouve pas qu’un avis est authentique, car le brushing génère de véritables livraisons.
Le brushing est‑il illégal?
Oui. Le US Postal Inspection Service identifie le brushing comme une pratique illégale. Aux US, la règle de la Federal Trade Commission de 2024 interdit également certaines pratiques trompeuses liées aux avis associés aux arnaques au « brushing », y compris la création ou l’achat d’avis clients frauduleux.
