Semaine 24 : Hameçonnage dans la boîte aux lettres – faux code QR sur un avis de retrait

16.06.2026 - Au cours de la semaine écoulée, l’OFCS a reçu un signalement concernant une méthode d’escroquerie sophistiquée qui combine un document physique avec des techniques d’hameçonnage numériques. Les auteurs déposent dans les boîtes aux lettres de leurs victimes potentielles de faux avis de passage au nom de la Poste Suisse.

En règle générale, les auteurs d’escroqueries exploitent délibérément les caractéristiques propres à Internet : ils effacent leurs traces, dissimulent leur identité et tentent ainsi d’échapper à toute arrestation. Ils évitent toutefois, par tous les moyens, une présence physique dans le pays de leurs victimes. Malgré cela, l’OFCS reçoit régulièrement des signalements d’attaques issues du cyberespace qui sont associées à des moyens de communication traditionnels. Cela a notamment été le cas avec des autocollants comportant de faux codes QR apposés sur des horodateurs ou l’envoi de prétendus SMS de frais de stationnement à l’aide d’un SMS blaster avec l’envoi de prétendus SMS de frais de stationnement à l’aide d’un SMS blaster. Actuellement, de faux avis de passage sont déposés dans les boîtes aux lettres. Les victimes découvrent d’abord un document qui ressemble fortement, sur le plan visuel, au véritable avis de passage jaune de la Poste Suisse. Celui-ci reproduit habilement les couleurs ainsi que le logo de la Poste et contient des informations plausibles concernant une prétendue tentative de livraison de colis ayant échoué. Afin de planifier une nouvelle livraison, les destinataires sont invités à scanner un code QR imprimé sur le document.

Faux avis de passage dans la boîte aux lettres avec code QR.

Cela permet d’orienter les victimes vers l’environnement numérique et de les rediriger vers un faux site web, difficilement distinguable de la véritable page de la Poste Suisse. Il y est prétendu qu’un colis est bloqué et qu’une nouvelle livraison doit être organisée. Pour relancer l’acheminement, des informations supplémentaires sont requises.

Le choix d’un créneau pour une nouvelle tentative de livraison sert à détourner l’attention de la victime de la fraude elle-même.

Par la suite, les victimes sont invitées à sélectionner un nouveau créneau de livraison. Cette étape ne sert qu’à détourner leur attention de la fraude et à leur donner l’impression qu’il s’agit réellement d’une nouvelle tentative de livraison. Le véritable acte frauduleux commence ensuite. Des informations personnelles étendues doivent être saisies, telles que le nom, la date de naissance, l’adresse postale, l’adresse e-mail, ainsi qu’un numéro de téléphone suisse obligatoire.

De nombreuses informations, telles que la date de naissance, sont demandées.

Ensuite, le piège des frais se referme. Pour la prétendue nouvelle livraison, des frais de traitement sont exigés, souvent d’un montant de CHF 2.10. Fait intéressant, ce montant est parfois légèrement différent lors du processus de paiement, où il est indiqué à CHF 3.99. L’objectif réel est le vol des données de carte de crédit, car le paiement ne peut être effectué qu’avec une carte bancaire. Bien que des moyens de paiement alternatifs comme TWINT soient affichés sur la page frauduleuse, ils sont en réalité inopérants et systématiquement indiqués comme « indisponibles ».

Enfin, les escrocs demandent les données de carte de crédit, qui sont ensuite utilisées pour effectuer des débits frauduleux.

Contexte de l’attaque et objectif des escrocs

Un avis de livraison de la Poste Suisse paraît familier, et c’est précisément ce qui le rend particulièrement dangereux dans ce cas. Comme les personnes connaissent ce type de notification dans leur vie quotidienne, elles ont tendance à appliquer des automatismes sans méfiance. La vigilance que beaucoup ont développée face aux e-mails ou aux SMS disparaît lorsqu’il s’agit du courrier physique. Peu de gens soupçonnent une escroquerie derrière un avis postal aussi familier. De plus, un colis prétendument non livrable suscite la curiosité et un sentiment d’urgence : personne ne souhaite manquer une livraison. Enfin, le montant relativement faible des frais demandés est délibérément choisi.

Les escrocs poursuivent deux objectifs principaux dans ce type d’attaque : d’une part, ils collectent de nombreuses données personnelles pouvant être utilisées ultérieurement pour une usurpation d’identité. D’autre part, ils récupèrent des données de cartes de crédit, utilisées ensuite pour effectuer des paiements frauduleux. Jusqu’à présent, les avis de passage frauduleux décrits ici ont été signalés à l’OFCS uniquement en Suisse romande.

Les attaques « physiques » comportent toujours un risque pour les auteurs d’être appréhendés en flagrant délit par les autorités suisses de poursuite pénale. C’est pourquoi ces actions ne sont généralement pas exécutées par les auteurs eux-mêmes, mais par des personnes recrutées, souvent inconscientes du contexte criminel de leurs actes.

Recommandations

La Poste Suisse ne facture généralement pas de frais pour une deuxième livraison standard.
Scannez les codes QR figurant sur des documents physiques inattendus uniquement avec la plus grande prudence. Vérifiez surtout l’adresse Internet qui s’ouvre ensuite.
Pour gérer vos envois ou vérifier des avis de passage, rendez-vous toujours directement sur le site officiel de la Poste ou utilisez l’application officielle. Saisissez le numéro de suivi indiqué sur le document manuellement dans le système de suivi sur le site officiel ou dans l’application, plutôt que de scanner le code QR. Si ce numéro n’existe pas sur ces plateformes, il s’agit probablement d’une tentative d’escroquerie.
Si vous avez déjà saisi des informations personnelles ou des données de paiement sur un tel site, contactez immédiatement votre banque ou l’émetteur de votre carte de crédit afin de faire bloquer la carte concernée.
Pour la livraison d’un colis, la communication de la date de naissance n’est pas nécessaire.