Le formulaire de « remboursement Test-Achats » suit un scénario limpide une fois qu’on gratte la surface : il n’existe aucun remboursement. Ce que le formulaire réclame vraiment, c’est votre numéro de carte, sa date d’expiration et, cerise sur le gâteau, le cryptogramme visuel à trois chiffres au dos de la carte. tout ce qu’il faut pour vider un compte en quelques clics, emballé dans le logo rassurant d’une organisation de défense des consommateurs que la moitié des Belges consultent avant d’acheter un lave-linge.
L’astuce est vieille comme le phishing lui-même, mais elle reste redoutablement efficace parce qu’elle joue sur la confiance plutôt que sur la peur. On ne vous menace pas de couper votre électricité ni de bloquer votre compte : on vous promet de l’argent. Un petit trop-perçu, une indemnité, un remboursement de cotisation. Le formulaire commence toujours par des champs anodins, nom, adresse, numéro de dossier, avant de glisser, presque en passant, vers les coordonnées bancaires. Et c’est précisément au moment de taper ce fameux code à trois chiffres qu’un signal d’alarme finit par sonner chez la plupart des gens un peu attentifs, un peu tard, mais pas trop.
À retenir
- Pourquoi les escrocs demandent précisément ce code à trois chiffres au dos de votre carte
- Le signal d’alarme que presque personne ne voit venir avant la fin du formulaire
- Comment la Belgique signale 42 000 arnaques par jour, mais continue de tomber dedans
Le scénario classique du faux remboursement, version belge
Test-Achats elle-même a dû publier une mise en garde officielle face à la multiplication de ces usurpations. L’organisation rappelle une règle simple pour distinguer le vrai du faux : pour un vrai mail de Testachats, l’adresse mail doit toujours se terminer par test-achats.be ou test-aankoop.be. Tout le reste, aussi soigné soit le logo, aussi convaincant que paraisse le ton, doit être considéré comme suspect.
Ce mécanisme n’est pas propre à Test-Achats. Le Centre pour la Cybersécurité Belgique, via sa plateforme Safeonweb, a par exemple alerté en juillet 2026 sur une vague usurpant le SPF Finances, avec un message annonçant un solde créditeur autour de la (fausse) promesse d’un remboursement en votre faveur, d’un montant oscillant entre 300 et 400 €. La variante technique change (ici un QR code plutôt qu’un lien classique), mais l’objectif reste identique : les escrocs envoient un mail où ils promettent un remboursement de plus de 300 euros et invitent les victimes à sonner un QR code. Le même mois, une autre campagne visait les affiliés de la Mutualité chrétienne, leur demandant de confirmer certaines données de leur compte afin de finaliser un prétendu « contrôle administratif ».
Le témoignage recueilli par Safeonweb d’un habitant de Bruxelles de 71 ans illustre parfaitement le moment de bascule que décrit ce titre. Il raconte avoir rempli tout un formulaire fiscal frauduleux, jusqu’au bout, avant de tiquer : quand il est arrivé à la fin du formulaire, il a commencé à avoir des doutes, se demandant pourquoi il devait entrer son code bancaire. C’est exactement ce déclic que provoque la demande du cryptogramme à trois chiffres : aucune administration, aucune mutuelle, aucune association de consommateurs n’a besoin de ce code pour vous verser de l’argent. On en a besoin uniquement pour vous en prendre.
Une Belgique qui signale de plus en plus, mais qui clique encore
Les chiffres donnent le vertige. Selon le porte-parole du Centre pour la cybersécurité en Belgique, on était autour de 25.000 à 27.000 signalements par jour en 2025, et dans les trois premiers mois de 2026, on est passé à environ 42.000 signalements en moyenne, donc près du double. Une hausse qui traduit autant la multiplication des campagnes que la meilleure sensibilisation du public, qui réflexe désormais davantage à transférer les mails douteux vers l’adresse suspect@safeonweb.be plutôt qu’à les ignorer en silence.
Le paradoxe belge, c’est que ces signalements en cascade n’empêchent pas les escrocs de continuer à moissonner des victimes, parce que le volume d’emails envoyés dépasse largement celui des personnes vigilantes. Il suffit qu’un pourcentage minime tombe dans le panneau pour que l’opération reste rentable. Et les techniques se raffinent : les modèles d’IA générative permettent désormais de produire des courriels sans faute d’orthographe, avec des logos parfaitement reproduits et de faux sites dotés de certificats de sécurité qui rassurent visuellement l’internaute pressé. Ce détail change la donne, parce que la règle classique du « repérer les fautes de français » ne suffit plus : il faut désormais vérifier l’adresse d’expéditeur lettre par lettre et se méfier de toute demande de données bancaires, point final.
Le réflexe qui coûte trente secondes et évite des mois de tracas
La bonne nouvelle, c’est que la Belgique dispose d’un filet de sécurité relativement bien organisé. Si vous avez cliqué, rempli le formulaire ou pire, validé l’envoi de vos données, un seul numéro à retenir : le Fraudstop, accessible au 078 170 170, le même numéro que celui de Card Stop, permet de faire opposition rapidement et de limiter les dégâts. Ensuite, direction sa banque pour confirmer le blocage et, si nécessaire, une plainte à la police, avec le mail litigieux en pièce jointe.
Avant même d’en arriver là, un test tout bête suffit dans la majorité des cas : ouvrir un nouvel onglet, taper soi-même l’adresse officielle de l’organisme concerné (test-achats.be, spf-finances par exemple) plutôt que de suivre le lien du mail, et vérifier si l’information annoncée y figure. Neuf fois sur dix, rien. Parce qu’un vrai remboursement, qu’il vienne d’une mutuelle, du fisc ou d’une association de consommateurs, ne transite jamais par un formulaire réclamant le cryptogramme au dos de la carte. Ce petit détail technique, invisible pour beaucoup, reste la faille que les escrocs ne savent toujours pas contourner : demander ce code, c’est trahir le jeu. Et le jour où quelqu’un chez Test-Achats vous demandera vraiment ce chiffre, ce sera le signe que quelque chose cloche, pas l’inverse.
Sources : lavenir.net | test-achats.be