Le virement est parti en huit minutes. Pas huit heures, pas huit jours : huit minutes entre le moment où le père de famille a scanné un QR code reçu par mail et celui où l’argent a quitté son compte. Entre-temps, il avait rempli ses coordonnées bancaires sur une page qui affichait le logo, les couleurs et même la mise en page du site du SPF Finances. « C’était le vrai site », a-t-il assuré. Mais non. Ce genre de scénario, loin d’être isolé, correspond très précisément à une arnaque qui circule activement en Belgique depuis plusieurs mois.
À retenir
- Un QR code reçu par mail peut vous rediriger vers un faux site identique au vrai, sans que vous puissiez vérifier l’adresse d’avance
- Les criminels agissent en minutes dès qu’ils ont vos coordonnées bancaires, avant que vous ayez le temps de réagir
- Le phishing a explosé en Belgique : 40 710 signalements par jour en 2026, soit 50% de plus qu’en 2025
Le faux remboursement qui coûte cher
Le mécanisme est rodé et se décline sous plusieurs versions depuis le début de l’année 2026. Un courrier électronique sorti de nulle part détourne le nom, l’identité et les codes visuels du SPF Finances, et le texte annonce une fausse bonne nouvelle. Le message promet un remboursement fiscal, souvent autour de 300 à 500 euros, en évoquant un excédent de paiement constaté après traitement de la déclaration. Au cœur du dispositif, un QR code emmène la victime vers une page web dangereuse pour obtenir ce remboursement.
C’est précisément là que le piège devient redoutable : le fameux « quishing », contraction de QR code et phishing. Cette technique consiste à utiliser un code QR pour rediriger les victimes vers un faux site internet imitant celui du SPF Finances. Contrairement à un lien classique dans un mail, un QR code ne s’affiche pas en toutes lettres avant d’être cliqué : impossible de survoler l’adresse avec la souris pour vérifier qu’elle est louche. On scanne, on atterrit, et l’illusion visuelle fait le reste. Il s’agit d’une tentative de quishing visant à voler les données bancaires, le code PIN ou le code de réponse Digipass, et le code QR redirige vers un site qui ressemble au portail du SPF Finances, mais dont l’adresse n’est pas officielle.
Le SPF Finances lui-même est catégorique sur ce point depuis longtemps : il ne demande jamais la communication ou la modification de données bancaires par e-mail. dès qu’un message vous demande de « confirmer » ou « mettre à jour » un IBAN pour recevoir de l’argent, l’alarme doit sonner immédiatement, quel que soit le logo affiché.
Des chiffres qui donnent le vertige
Ce genre d’histoire n’est ni anecdotique ni marginal. Le Centre pour la Cybersécurité Belgique a enregistré une explosion des signalements ces derniers mois : plus de 40 710 signalements par jour, soit plus de 50 pour cent de plus que la moyenne quotidienne de 27 103 en 2025. Sur l’ensemble de l’année 2025, la plateforme Safeonweb avait déjà traité près de 10 millions d’e-mails suspects, soulignant l’industrialisation des campagnes de phishing. Et une porte-parole du CCB prévenait que le nombre réel est sans doute encore plus élevé, tant les signalements ne couvrent qu’une partie du phénomène.
Le préjudice financier suit la même courbe ascendante. En 2024, près de 49 millions d’euros ont été subtilisés en Belgique via le phishing, en hausse de 9 millions par rapport à 2023. Une progression continue depuis 2021, où le montant tournait autour de 25 millions d’euros. Et l’intelligence artificielle n’arrange rien à l’affaire : de nouveaux outils permettent aux criminels d’écrire un français, un néerlandais et un anglais impeccables et d’imiter le style de communication des entreprises, ce qui fait disparaître les fautes d’orthographe qui trahissaient autrefois l’arnaque. Fini le mail bourré de fautes qu’on repérait d’un coup d’œil : la nouvelle génération de faux messages est cousue main, ou plutôt cousue par algorithme.
Huit minutes, c’est le temps de dire ouf
La rapidité du virement dans cette histoire n’a rien d’un hasard malchanceux. Une fois les coordonnées bancaires et le code de validation transmis sur la fausse page, les fraudeurs agissent en quelques minutes, avant que la victime n’ait le temps de réaliser ce qui vient de se passer. C’est exactement pour cette raison qu’une nouvelle règle européenne se profile : la législation européenne obligera les banques, à partir de 2027, à instaurer un délai de quatre heures lorsqu’une personne augmente la limite de son compte bancaire, ce qui donnera aux clients plus de temps pour bloquer un virement en cas de phishing. Un sas de sécurité qui, s’il avait déjà existé, aurait peut-être changé la donne pour ce père de famille.
En attendant cette réforme, la réaction dans les minutes qui suivent reste déterminante. Contacter sans délai sa banque et Card Stop au 078 170 170 permet de tenter de bloquer la transaction avant qu’elle ne soit définitivement traitée, et déposer plainte auprès de la police locale reste indispensable pour la suite du dossier, comme le rappelle régulièrement Safeonweb. Plus les faits sont signalés rapidement, plus les chances de limiter les dégâts augmentent. Transmettre également le mail frauduleux à l’adresse suspect@safeonweb.be aide le Centre pour la Cybersécurité à identifier et bloquer le domaine utilisé par les escrocs, une démarche que 44% des Belges effectuent déjà, contre 39% en 2023.
Reste un détail qui mérite d’être connu avant de scanner quoi que ce soit : le seul canal par lequel le SPF Finances envoie ses documents officiels est l’e-Box ou le portail MyMinfin, jamais un mail avec pièce jointe ou QR code. Et si un remboursement fiscal doit réellement avoir lieu, il arrive directement sur le compte bancaire déjà connu de l’administration, sans qu’aucune confirmation ne soit demandée. Le prochain mail annonçant un « excédent de paiement en votre faveur » mérite donc d’être ouvert avec la même méfiance qu’on réserverait à un inconnu sonnant à la porte en pleine nuit avec une valise pleine de billets à échanger contre son numéro de compte.
Sources : lavenir.net | ccb.belgium.be