Email FedEx « Action Required to Release Package » à 3,39 $ : arnaque ou réel ?

Vous avez reçu un email de « FedEx Delivery Services » intitulé « Action Required to Release Package », « Confirm Delivery Address » ou « Immediate Payment Needed », qui vous demande de régler une petite somme pour débloquer un colis ? C’est une arnaque. FedEx ne réclame jamais de paiement par un email non sollicité. Cette campagne a une particularité : le bouton de paiement mène vers une vraie page PayPal. Voici comment la reconnaître et quoi faire.

Est-ce que cet email FedEx est une arnaque ?

Oui. L’email affiche l’adresse noreply@fedex.com (ou support@fedex.com selon les variantes), mais il n’a pas été envoyé par FedEx. Les en-têtes montrent que le serveur d’envoi n’est pas autorisé à émettre des emails pour le domaine fedex.com : la vérification SPF échoue. Le message, rédigé en anglais, annonce une « Invoice ready for payment » et invite à cliquer sur « Review & Pay $3.39 ».

La règle de base : FedEx indique sur sa page dédiée à la fraude qu’elle n’envoie pas d’emails ou de SMS non sollicités pour réclamer de l’argent ou des informations personnelles en échange d’un colis. Si vous n’attendez aucun envoi FedEx, la question est réglée.

Facture à 59 $, bouton à 3,39 $ : l’incohérence qui trahit l’arnaque

Le signal le plus parlant tient dans les montants. L’encadré principal indique « Total amount : $59 USD », mais le bouton orange propose de payer 3,39 $, montant repris dans l’encart « FedEx Payment Protection » et dans le pied de page. Une vraie facture ne présente pas deux totaux différents.

En regardant de plus près, on relève d’autres anomalies :

1. Le logo FedEx ne s’affiche pas. L’email affiche « FedEx Logo » à la place de l’image, comme le pied de page avec « FedEx Icon ». Un vrai email FedEx charge ses visuels depuis ses propres serveurs.
2. Le numéro de suivi « 7805 4392 1128 FX » est fantaisiste. Les numéros de suivi FedEx sont composés uniquement de chiffres, sans suffixe « FX ».
3. La date d’échéance est dépassée. L’email reçu en octobre 2026 réclame un paiement « dû » au 15 mai 2026, soit cinq mois plus tôt.
4. Deux montants coexistent. 59 $ annoncés, 3,39 $ demandés.
5. Le bouton ne mène pas chez FedEx. Il pointe vers paypal.com, comme tous les autres liens de l’email, y compris « Contact support », « Privacy » et « Terms ».

Le message mise aussi sur des badges rassurants (« 256-bit SSL Secure », « Verified shipper », « FedEx Payment Protection ») qui ne prouvent rien : n’importe qui peut écrire ces mots dans un email.

Trois emails, trois objets, un seul message

Nous avons reçu trois exemplaires de cette campagne le même jour, à quelques heures d’intervalle, sur l’adresse de contact d’un de nos sites. Les objets changent (« Action Required to Release Package », « Confirm Delivery Address », « Immediate Payment Needed ») ainsi que la référence entre parenthèses, mais le contenu est strictement identique : même numéro de suivi, même identifiant de transaction « FP-3B9K2 », même montant.

L’objet « Confirm Delivery Address » ne correspond d’ailleurs pas au contenu, qui parle de facture et pas d’adresse. Varier les objets permet aux escrocs de contourner les filtres anti-spam qui repèrent les envois massifs identiques et de tester les formulations qui génèrent le plus de clics.

Pourquoi le lien PayPal rend cette arnaque si piégeuse

Contrairement aux arnaques classiques qui mènent vers un faux site, tous les liens de cet email pointent vers une adresse du type paypal.com/ncp/payment/…. Il s’agit d’un vrai lien PayPal, généré par la fonctionnalité de paiement « sans code » (no-code checkout) que PayPal propose aux commerçants pour encaisser un paiement sans créer de boutique en ligne.

Ce choix présente plusieurs avantages pour les escrocs :

• Le lien passe les filtres. Un domaine comme paypal.com n’est pas bloqué par les solutions de sécurité, contrairement à un nom de domaine fraîchement enregistré.
• La victime est rassurée. En survolant le bouton, elle voit paypal.com, et la page qui s’ouvre est bien hébergée par PayPal, avec un cadenas dans la barre d’adresse.
• L’argent arrive directement aux escrocs. Un lien de paiement PayPal est créé par un compte marchand : en payant, vous envoyez de l’argent à ce compte, pas à FedEx.

Le petit montant de 3,39 $ n’est pas un hasard. Il paraît anodin, ce qui pousse à payer sans réfléchir, et il permet surtout de vérifier qu’une carte ou un compte PayPal est actif. Une fois cette vérification faite, les données peuvent être revendues ou réutilisées pour des débits plus importants. L’éditeur de sécurité Malwarebytes a documenté le détournement de ces liens « no-code checkout » dès 2025, dans une campagne de fausses publicités Google.

Nous n’avons pas cliqué sur le lien de paiement : il n’apporte rien à l’analyse et risque de signaler aux escrocs que l’adresse est active. Le simple fait de lire l’adresse de destination suffit à conclure.

Ce que révèlent les en-têtes de l’email

L’adresse d’expéditeur affichée peut être falsifiée en quelques secondes. Les en-têtes techniques, eux, racontent une autre histoire. Dans Gmail, ils sont accessibles via les trois points en haut à droite du message, puis « Afficher l’original ».

On y apprend que :

• Le SPF échoue. Le domaine fedex.com n’autorise pas l’adresse IP 34.16.211.154 à envoyer des emails en son nom. Autrement dit, l’adresse noreply@fedex.com est usurpée.
• L’email part d’une machine Google Cloud. L’adresse IP correspond au nom 154.211.16.34.bc.googleusercontent.com, typique d’un serveur virtuel loué chez Google Cloud, et non d’une infrastructure FedEx.
• Le filtre anti-spam du serveur de réception l’a lourdement noté. Score de 9,65 pour un seuil de 5, avec une présence sur plusieurs listes noires (SpamCop, PSBL, Spamhaus ZEN).

Comment vérifier si un colis FedEx vous attend vraiment ?

Ne cliquez jamais sur les liens d’un email de livraison inattendu. Si vous attendez réellement un colis, rendez-vous sur fedex.com en tapant l’adresse vous-même dans votre navigateur, puis saisissez le numéro de suivi communiqué par le vendeur, jamais celui de l’email suspect.

Les frais de douane ou de dédouanement existent bel et bien pour certains envois internationaux, mais ils correspondent à un colis que vous avez commandé, avec un numéro de suivi que vous pouvez retrouver dans votre confirmation de commande. Un email qui réclame de l’argent pour un colis dont vous ignorez tout est suspect par défaut.

Que faire si vous avez payé ?

Si vous avez réglé les 3,39 $ via PayPal, ouvrez un litige depuis votre compte PayPal (rubrique Centre des transactions) en signalant une transaction non autorisée ou frauduleuse. Changez le mot de passe de votre compte PayPal et activez la double authentification si ce n’est pas déjà fait.

Si vous avez payé par carte bancaire, appelez votre banque pour faire opposition et surveillez vos prochains relevés : un petit paiement de test est souvent suivi de débits plus importants. En France, un paiement frauduleux est contestable, à condition de le signaler rapidement.

Dans tous les cas, signalez l’email à FedEx en le transférant à abuse@fedex.com, signalez-le sur Signal Spam, et consultez Cybermalveillance.gouv.fr pour vous faire accompagner.

Une arnaque de plus qui usurpe une marque de confiance

Cette campagne suit la même logique que les autres arnaques documentées sur safecode.fr, du faux remboursement d’impôt de 195 € au faux avertissement de stockage cloud : une marque connue, un prétexte urgent et un petit montant. Sa nouveauté tient dans l’usage d’un service de paiement légitime, qui rend le lien crédible au premier coup d’œil. Retenez une règle simple : un lien qui pointe vers un site réputé ne garantit pas que la personne qui vous l’envoie est honnête. Pour adopter les bons réflexes au quotidien, consultez nos règles d’hygiène numérique.

Questions fréquentes email FedEx arnaque