Apparemment, les escrocs n'ont toujours pas commencé à écrire des courriels
Alors que je pensais que le service des e-mails de commandes mystères était à court d'idées, deux autres sont apparues.
Apparemment, rédiger un véritable courriel représente encore trop de travail.
Aucune présentation de l'entreprise. Aucune explication concernant mon achat. Aucun commerçant identifiable. Aucun montant. Aucun détail utile concernant la commande.
Un simple accessoire mystérieux et l'équivalent numérique de :
« Tu as acheté quelque chose. Crois-moi. Ouvre ça. »
Oui, je m'en occupe tout de suite.
Commande mystère n° 1 : Merci pour… ce que j’ai commandé
Le premier courriel est arrivé avec cet objet plutôt accrocheur :
« Merci pour votre commande IJAAV~67DSW6N_8H07T29FPNUSVU~7D69Q8CJ520IWP »
Eh bien, voilà qui clarifie les choses.
Le message provenait d'une certaine Sarah Black, utilisant une adresse Gmail.
À l'intérieur de l'e-mail ?
Presque rien.
Il y a une autre longue série de lettres et de chiffres et une pièce jointe de 36 Ko.
C'est ça.
Pas de magasin.
Aucun produit.
Aucun prix d'achat.
Aucune information de carte de crédit.
Aucune adresse de livraison.
Aucune information concernant le service client.
Rien n'explique en quoi consiste réellement ce prétendu ordre.
Pour voir ce que j'ai acheté, je dois ouvrir la pièce jointe.
Non.
Commande mystère n°2 : arrivée le lendemain
Puis un autre est arrivé.
Cette fois, le sujet était :
« Votre reçu et votre facture 2026401GDWNUH sont joints. »
Là, on passe aux choses sérieuses.
Nous sommes passés d'une mystérieuse « commande » à un mystérieux reçu ET une facture.
Celui-ci provenait d'une personne nommée Malcolm, utilisant également une adresse Gmail.
Le corps du courriel contient un autre code d'apparence aléatoire :
RNUH-H5L1-I0MG2/GM41VL75ZUE
Et, naturellement, il y a une autre pièce jointe, celle-ci fait 24 Ko.
Là encore, le message n'identifie aucune entreprise identifiable.
Aucune explication concernant mon achat.
Pas de prix.
Aucune information de paiement.
Aucune description.
Juste une pièce jointe.
🚩 La pièce jointe est toujours l'e-mail
J'ai déjà écrit à ce sujet, et apparemment quelqu'un souhaite me fournir des exemples supplémentaires.
Ces messages ne cherchent pas vraiment à communiquer quoi que ce soit d'utile.
La pièce jointe est l'e-mail.
Tout ce qui l'entoure semble conçu pour susciter juste assez de curiosité ou d'inquiétude pour me donner envie de l'ouvrir.
Ma première réaction est peut-être :
Qu'est-ce que j'ai commandé ?
Alors:
Quelqu'un a-t-il utilisé ma carte de crédit ?
Alors:
Combien m'ont-ils facturé ?
Et enfin :
Je ferais mieux d'ouvrir cette facture et de me renseigner.
C'est précisément la réaction que je ne veux pas avoir.
Si je ne reconnais pas un achat, mon premier réflexe n'est pas d'ouvrir une pièce jointe mystérieuse provenant d'un compte Gmail inconnu.
Je vais directement me rendre sur le compte de ma banque, de ma société de carte de crédit, du commerçant ou de tout autre service légitime censé avoir traité la transaction.
La curiosité peut être un appât
Je n'ai ouvert aucune des deux pièces jointes, donc je ne sais pas ce qu'elles contiennent.
Je ne peux pas affirmer qu'il s'agit de logiciels malveillants sans les examiner.
Et c'est bien là l'essentiel.
Je n'ai pas besoin de savoir ce qu'il y a à l'intérieur.
Aucun de ces messages ne me donne de raison de prendre ce risque.
Si j'ai réellement effectué un achat, je peux le vérifier indépendamment.
En cas de débit non autorisé, je peux le constater auprès de mon établissement financier.
Si une entreprise légitime a besoin de me contacter au sujet d'une commande, je peux me rendre directement sur le site web ou l'application de cette entreprise plutôt que de suivre les instructions contenues dans un courriel non sollicité.
Ouvrir un dossier mystérieux ne devrait pas me coûter de l'argent pour savoir si j'en ai soi-disant dépensé.
Deux e-mails, même formule de base
Ces messages sont arrivés à des jours d'intervalle, provenant d'adresses Gmail différentes, avec des noms différents, des numéros de commande différents et des pièces jointes différentes.
Mais regardez la structure :
Notification d'achat inattendue → message vague → numéro apparemment insignifiant → pièce jointe → curiosité.
C'est ce qui attire mon attention.
Ils n'ont pas besoin que je croie à ce courriel très longtemps.
Ils ont besoin que je réfléchisse :
« Mais qu’est-ce que j’ai bien pu acheter ? »
…et cliquez.
Ne laissez pas le courriel créer l'urgence
Voilà une autre leçon que j'ai apprise en documentant ces messages.
Un courriel suspect ne devrait pas créer de problème et ensuite dicter la manière dont je mène l'enquête.
Si un courriel m'informe d'une commande que je ne reconnais pas, je vérifierai mes comptes moi-même.
S'il est indiqué qu'il y a un prélèvement PayPal, je me connecterai à PayPal indépendamment.
S'il est indiqué qu'il y a une transaction par carte de crédit, je vérifierai moi-même cette carte.
S'il prétend qu'il y a une commande Amazon, j'ouvrirai Amazon moi-même.
Je n'ai pas besoin de cet accessoire mystérieux.
Soyez un bon voisin
Ces courriels peuvent paraître ridicules à quelqu'un qui en a déjà vu des centaines.
Ce n'est pas le cas de tout le monde.
Une autre personne pourrait voir « Merci pour votre commande » et paniquer immédiatement.
Peut-être craignent-ils que quelqu'un leur ait volé leur carte de crédit.
Peut-être craignent-ils que des centaines de dollars aient disparu de leur compte courant.
Peut-être ne se souviennent-ils plus s'ils ont commandé quelque chose.
C'est à ce moment-là qu'il convient de dire :
N'ouvrez pas encore la pièce jointe. Vérifions cet achat supposé par un autre moyen.
Aidez quelqu'un à vérifier le vrai compte.
Montrez-leur comment inspecter l'expéditeur.
Expliquez pourquoi un attachement inattendu mérite d'être abordé avec prudence.
Signalez les messages suspects.
Supprimez-les ensuite.
Car apparemment, les escrocs n'ont toujours pas commencé à écrire des courriels.
Mais ils n'ont certainement pas cessé d'envoyer des pièces jointes.