Arnaques par brushing : de quoi s’agit-il et comment fonctionnent-elles ?

Qu’est-ce qu’une arnaque par brushing ?

Les arnaques par brushing sont un type de fraude au commerce en ligne où des vendeurs envoient des produits à des adresses aléatoires pour améliorer leur présence en ligne sur la place de marché qu’ils utilisent, généralement en laissant de faux avis après confirmation de la réception de l’article.

Une arnaque par brushing implique généralement la réception d’un produit, tel qu’un élastique à cheveux ou un jouet en plastique, sans adresse de retour. Comme un article réel est expédié à une personne réelle, ces commandes peuvent sembler légitimes pour les places de marché en ligne telles qu’eBay ou Amazon, ce qui permet au vendeur de laisser un avis « vérifié ».

Vous vous dites peut-être que recevoir des articles gratuits par courrier n’est pas la fin du monde. Peut-être étiez-vous de toute façon à la recherche d’une coque de téléphone en plastique bon marché !

Mais le fait que le vendeur frauduleux ait pu trouver votre nom et votre adresse indique que vos informations personnelles ont peut-être été exposées, sur le Dark Web, sur des sites de courtiers en données légaux ou dans des sources publiques, et qu’elles sont utilisées par des arnaqueurs. Pire encore, dans le cadre d’une nouvelle variante des arnaques par brushing, certains fraudeurs joignent des codes QR malveillants à ces colis afin de tenter de dérober les informations personnelles des destinataires.

Comment fonctionnent les arnaques par brushing ?

Les arnaques par brushing fonctionnent parce que les commandes dont la livraison est confirmée sont considérées comme « vérifiées » par les places de marché. Dans les arnaques par brushing, seuls des articles bon marché sont envoyés (bien que l’article évalué puisse être un produit de luxe). Le coût d’envoi de l’article peut être considéré comme un investissement, car un grand nombre d’avis vérifiés positifs peut aider la boutique du vendeur à gagner une position plus avantageuse dans l’algorithme de la place de marché.

Voici le déroulement étape par étape d’une arnaque par brushing, du début à la fin :

Arnaques par brushing avec faux codes QR

L’une des façons dont les cybercriminels font évoluer les arnaques par brushing consiste à apposer des codes QR malveillants sur les colis. Ce type d’attaque est connu sous le nom de quishing, ou phishing par QR code. Un destinataire curieux recevant un colis non sollicité peut scanner le lien dans l’espoir de découvrir l’origine du mystérieux cadeau ou de savoir comment le renvoyer.

Mais le lien intégré dans ces codes de quishing peut mener vers un site web malveillant qui utilise des techniques d’ingénierie sociale pour tromper les victimes. La page peut vous inciter à interagir avec une fausse page de connexion pour révéler vos identifiants, à saisir vos coordonnées bancaires dans un faux portail de paiement, ou à télécharger un malware de vol d’informations.

Le FBI avertit que, bien que ces attaques hybrides de type « brushing-quishing » ne soient pas aussi répandues que certains autres types d’arnaques, elles constituent néanmoins une menace sérieuse, et les victimes doivent signaler tout incident au Internet Crime Complaint Center (IC3).

Pourquoi les arnaques par brushing sont-elles nuisibles ?

Bien que l’article que vous recevez puisse être contrefait, la plupart des arnaques par brushing ne vous sont pas directement préjudiciables. Vous ne serez pas tenu responsable de la réception d’un article contrefait dans le cadre d’une arnaque par brushing.

Mais les arnaques par brushing ne sont pas totalement anodines et peuvent même être le symptôme d’un problème plus grave : l’exposition de vos données. Si vous avez été victime d’une arnaque par brushing, cela signifie que vos informations d’identification personnelle (PII) circulent quelque part sur Internet et sont accessibles aux arnaqueurs.

Examinons de plus près les risques liés aux arnaques par brushing :

Exposition des données

Les arnaques par brushing reposent sur de véritables noms et adresses, ce qui signifie qu’une partie de vos informations personnelles a probablement été collectée, vendue ou exposée sur le Dark Web ou sur des sites de courtiers en données. Si vos données ont été exposées à la suite d’une violation de données, vous pourriez constater une recrudescence de tentatives d’arnaque, notamment des arnaques par brushing.

L’exposition de votre nom et adresse seuls ne représente pas nécessairement un risque direct de fraude grave comme l’usurpation d’identité, mais elle peut accroître votre vulnérabilité aux arnaques ciblées (ou spear phishing). Ces tentatives peuvent en définitive mener à une usurpation d’identité et à des pertes financières si l’arnaqueur, déjà en possession de certaines de vos informations personnelles, vous amène à divulguer encore plus d’informations sensibles.

Et si votre nom et votre adresse réels ont été divulgués, d’autres informations sensibles pourraient également être exposées. Des outils de surveillance comme Avast BreachGuard vous aident à déterminer la quantité de vos informations personnelles qui circulent sur le Dark Web, afin de prendre les mesures nécessaires pour protéger vos comptes et votre identité.

Avis frauduleux postés en votre nom

Les arnaqueurs peuvent utiliser votre nom pour poster des avis d’achat « vérifié » liés aux articles qu’ils expédient. Ce n’est pas directement nuisible pour vous, mais c’est loin d’être idéal : votre identité est utilisée sans votre consentement pour soutenir des pratiques trompeuses.

Produits dangereux ou de contrefaçon

Les articles envoyés dans le cadre d’arnaques par brushing sont souvent de mauvaise qualité, contrefaits ou non réglementés. Les recevoir ne vous causera pas de problèmes, mais ces produits peuvent ne pas répondre aux normes de sécurité, surtout s’il s’agit d’appareils électroniques, de cosmétiques ou de produits de consommation. Nous vous recommandons de ne pas utiliser le produit si vous pensez l’avoir reçu dans le cadre d’une arnaque par brushing.

Arnaques au suivi

Dans certains cas, des arnaqueurs peuvent tenter de vous contacter au sujet du colis, en se faisant passer pour le service client, des services de livraison ou des vendeurs. Si quelqu’un vous contacte pour demander des informations ou un paiement en lien avec une livraison inattendue, le plus sûr est d’ignorer le message.

Pratiques commerciales déloyales

Les arnaques par brushing sont utilisées pour gonfler artificiellement les notes et classements des produits grâce à de faux avis « vérifiés ». Cela nuit à la confiance envers les places de marché en ligne et désavantage les vendeurs légitimes, rendant plus difficile pour les acheteurs de se fier aux avis lors de leurs achats.

Les escroqueries de type « Quishing »

Certains colis de brushing contiennent des codes QR vous invitant à les scanner pour obtenir plus d’informations sur le produit ou la livraison. Ces codes peuvent mener vers des sites de phishing conçus pour dérober des informations personnelles ou des identifiants de connexion. Évitez de scanner les codes QR provenant de colis inattendus, surtout s’ils vous demandent de saisir des informations sensibles.

Que faire si vous recevez un colis non sollicité

Si vous recevez un colis non sollicité, le mieux est de l’ignorer. Si le colis contient des consommables, des appareils électroniques ou des cosmétiques, procédez à leur élimination en toute sécurité. Ne scannez aucun code QR joint, n’appelez aucun numéro susceptible d’accompagner le colis et ne répondez pas aux messages prétendant provenir du vendeur ou du service client. Il s’agit probablement d’arnaques au suivi.

Vérifiez la présence d’étiquettes susceptibles d’indiquer sur quelle place de marché le vendeur tente de manipuler les résultats, car elles pourraient s’avérer utiles au moment de signaler l’arnaque par brushing.

Enfin, utilisez un outil de surveillance des violations de données ou lancez une analyse du Dark Web pour déterminer si d’autres données sensibles que votre nom et votre adresse circulent sur le Dark Web. Si c’est le cas, vous devrez peut-être changer vos mots de passe, activer l’authentification à deux facteurs ou même geler votre crédit pour vous protéger contre les prises de contrôle de compte ou les fraudes.

Surveillez vos rapports de crédit et relevés bancaires pour détecter tout débit « test » non autorisé pouvant faire suite à une violation de données et susceptible d’annoncer des débits plus importants sur votre compte dans un avenir proche.

Dois-je renvoyer des colis non sollicités ?

Non. Le service d’inspection postale des États-Unis assure aux consommateurs que, conformément à la loi, tout colis non sollicité vous appartient. Les directives de la FTC rappellent également que vous pouvez conserver toute marchandise que vous recevez.

Comment signaler une arnaque par brushing

Le signalement des arnaques par brushing permet aux places de marché numériques et aux régulateurs de lutter contre la fraude. Voici comment signaler une arnaque par brushing.

1. Si possible, signalez ces informations à la place de marché sur laquelle le vendeur tente d’améliorer sa réputation, comme Amazon, eBay ou Temu. Vous pourrez peut-être obtenir ces informations à partir du colis que vous avez reçu par courrier, en recherchant les logos que vous reconnaissez.

2. Signalez la fraude à la Federal Trade Commission (FTC).

3. Si le colis a été envoyé par courrier et que vous pensez qu’il pourrait être dangereux, vous pouvez signaler l’incident au Service d’inspection postale des États-Unis.

Protégez vos données personnelles dès aujourd’hui

La protection de vos données est optimale avec une approche multicouche. Avast renforce votre protection en vérifiant si vos informations ont été compromises, en vous avertissant des sites web d’arnaque lors de votre navigation, et en bloquant les liens malveillants et pièces jointes connus avant qu’ils ne puissent causer des dommages.