Recevoir un SMS promettant un remboursement, cliquer, remplir un formulaire avec ses coordonnées bancaires, puis voir sa banque bloquer l’opération en quelques minutes : ce scénario n’a rien d’exceptionnel en Belgique en ce moment. C’est même devenu l’une des arnaques les plus signalées de l’année, avec des messages usurpant tour à tour le SPF Finances, le SPF Économie ou des services publics comme itsme. Le mécanisme est rodé, le texte rassurant, et pourtant, dans la majorité des cas, la banque repère le pot aux roses avant même que l’argent ne s’envole vraiment.
À retenir
- Plus de 40 000 cas d’hameçonnage signalés chaque jour en Belgique : comment se protéger ?
- Votre banque détecte-t-elle vraiment ces faux SMS avant que l’argent ne s’envole ?
- La Cour de cassation a changé les règles du remboursement : qui paie vraiment en cas d’arnaque ?
Le SMS qui joue la carte de la bonne nouvelle
Le principe est presque toujours le même. Un message arrive sur le GSM, parfois via un numéro qui ressemble à un numéro officiel, annonçant qu’un remboursement est en attente et qu’il suffit de cliquer sur un lien pour le débloquer. Des SMS envoyés depuis le numéro 8850 invitent à payer de prétendus frais impayés via un lien menant à un site frauduleux, précisait récemment Safeonweb.be à propos d’une vague usurpant le SPF Finances. Le SPF Économie n’est pas épargné non plus : des campagnes de phishing usurpent régulièrement son identité visuelle, parfois même celle de la Banque-Carrefour des Entreprises, pour pousser les destinataires à cliquer sur un lien afin de solliciter une clé numérique ou de confirmer son identité ou ses données le plus rapidement possible sous peine de déclarer l’entreprise inactive.
La variante « remboursement » joue sur un ressort différent, plus efficace encore parce qu’elle ne fait pas peur, elle fait plaisir. Une version récente, largement relayée cet été, promettait par exemple un trop-perçu fiscal précis, du genre « Suite au traitement définitif de votre déclaration à l’impôt des personnes physiques pour l’exercice d’imposition 2026, nous vous informons que le calcul de votre situation fiscale fait apparaître un solde créditeur en votre faveur […] Montant remboursable : 387,45 € ». Le message invite ensuite à scanner un QR code ou cliquer sur un lien pour « valider » ses données bancaires, une technique que les spécialistes appellent le quishing. Le Centre pour la Cybersécurité Belgique (CCB) ne mâche pas ses mots sur ce genre de campagne : l’alerte a été lancée le 10 juillet 2026 par le site Safeonweb.be, piloté par le Centre pour la Cybersécurité Belgique. Bref, la mécanique est bien identifiée, mais elle continue de fonctionner sur des milliers de personnes chaque semaine.
Le chiffre qui donne le vertige : plus de 3,6 millions de cas d’hameçonnage ont été signalés par des Belges au cours des 3 premiers mois de l’année 2026, soit plus de 40.000 par jour, selon des chiffres du CCB. Autant dire que la personne qui a cliqué sur ce SMS de « remboursement » n’est absolument pas une exception, elle rejoint une file d’attente longue comme un jour sans pain.
Pourquoi la banque voit tout de suite que quelque chose cloche
Voici le point rassurant de l’histoire. Une fois le formulaire frauduleux rempli (numéro de carte, code, parfois un code reçu par SMS), les systèmes de détection bancaires repèrent très vite des signaux qui ne trompent pas : une tentative de connexion depuis un appareil ou une localisation inhabituelle, un montant qui ne correspond à aucun profil de dépense habituel, ou simplement une opération initiée juste après la consultation d’un site qui n’est pas celui de la banque. Les conseillers savent reconnaître la structure typique d’une page de phishing, même bien copiée. C’est souvent ce détail technique, invisible pour la victime, qui déclenche l’alerte côté institution financière avant que les fonds ne partent réellement ou avant qu’ils ne quittent le circuit bancaire belge.
Le SPF Finances comme le SPF Économie le répètent d’ailleurs sans relâche : jamais aucune demande de ce type ne transite par SMS ou e-mail. Pour rappel, si un remboursement officiel doit avoir lieu, alors il sera fait directement sur les comptes bancaires renseignés, sans qu’aucune démarche ne soit demandée à qui que ce soit. Le SPF Économie confirme la même logique pour ses propres canaux : le SPF Economie ou toute autre institution ne demande jamais par e-mail, SMS ou téléphone de mettre à jour des données via un lien non sécurisé, des mots de passe, des noms d’utilisateur, des coordonnées bancaires ou des codes personnels. Si un message le fait, c’est un faux, point final.
Ce que dit la loi sur le remboursement (et pourquoi ça a bougé récemment)
Bonne nouvelle pour les victimes : le cadre juridique belge a nettement évolué ces derniers mois. La règle de base reste que dans le cas d’une transaction non autorisée, comme pour du hameçonnage, les banques sont légalement tenues de rembourser les montants dérobés par les escrocs, à moins qu’elles ne puissent prouver que la transaction résulte d’une négligence grave de la personne concernée. Mais la définition de cette fameuse « négligence grave » restait floue et appliquée de façon très inégale selon les tribunaux, ce qui laissait souvent les victimes dans l’incertitude pendant des mois.
Un arrêt marquant a changé la donne. Dans un arrêt du 29 juin 2026, la Cour de cassation belge franchit une étape importante : pour la première fois, elle propose une définition générale de la négligence grave, dans le prolongement de la jurisprudence de la Cour de justice de l’Union européenne. Concrètement, cette décision a cassé un jugement qui privait de remboursement un client de la banque KBC, victime d’un vol par hameçonnage, alors que la cour d’appel de Bruxelles avait initialement retenu une « négligence grave » contre la victime. Dans la foulée, Belfius a revu sa copie après avoir été épinglée : Belfius a modifié son règlement général, qui stipule désormais que les victimes d’hameçonnage seront remboursées immédiatement, sauf en cas de soupçon de fraude, et non plus à l’issue d’une enquête pour négligence grave, les nouvelles règles s’appliquant à compter du 1er septembre.
Un autre dossier a fait grand bruit ce printemps, celui d’un couple de nonagénaires floué de près de 50.000 euros par un faux employé de banque. Un juge anversois vient de leur donner raison, et oblige la banque à rembourser la somme, une décision qui pourrait bien faire jurisprudence. Du côté de Febelfin, la fédération du secteur bancaire, on reste prudent et on rappelle la nuance essentielle : la législation ne vise la responsabilité des banques qu’en cas de transactions non autorisées, alors que de plus en plus d’escroqueries reposent précisément sur la manipulation de la victime afin qu’elle effectue elle-même le virement. cliquer sur un lien frauduleux et laisser la banque bloquer l’opération place la victime dans une situation nettement plus favorable que celle qui aurait, par exemple, validé elle-même un virement vers un « conseiller » au téléphone.
Les bons réflexes si ça vous arrive
La priorité absolue reste la rapidité. Contacter sa banque dans la foulée, sans attendre le lendemain, permet souvent de limiter la casse avant même que les fonds ne partent définitivement. Pour bloquer une carte à tout moment, le service Card Stop est accessible 24h/24 et 7j/7, via le numéro officiel 078 170 170, un numéro sans frais supplémentaires depuis quelques années. Après ce premier réflexe, deux démarches s’imposent : signaler le SMS frauduleux au Centre pour la Cybersécurité Belgique, une capture d’écran suffit, en l’envoyant à suspect@safeonweb.be, et déposer plainte à la police, un procès-verbal qui sera souvent réclamé par la banque pour instruire le dossier de remboursement.
Un détail mérite d’être glissé pour finir, parce qu’il change tout dans la façon d’aborder ces messages : les campagnes de smishing sont de plus en plus soignées visuellement, au point de reprendre à l’identique les logos et la mise en page des sites officiels, mais elles trébuchent presque toujours sur un point que peu de gens vérifient, l’adresse exacte du lien avant de cliquer. Un simple survol du doigt (sans appuyer) sur un lien suspect, ou l’habitude de taper soi-même l’adresse officielle dans le navigateur plutôt que de suivre un raccourci reçu par SMS, suffit à couper l’herbe sous le pied de la quasi-totalité de ces arnaques, bien avant que la banque n’ait besoin d’intervenir.
Sources : lavenir.net | rtbf.be