Recevoir un mail qui promet un remboursement de 240 euros, cliquer par réflexe pour « aller plus vite », puis se rendre compte que la case demandant le numéro de compte bancaire était le vrai signal d’alarme : ce scénario, loin d’être isolé, correspond exactement à la campagne de phishing qui cible actuellement les contribuables belges. Des escrocs se font passer pour le SPF Finances en envoyant un mail annonçant un prétendu remboursement de plus de 300 €, invitant à scanner un code QR pour confirmer ses coordonnées bancaires. Le montant varie selon les versions du message, mais le mécanisme reste identique, et il fonctionne parce qu’il joue sur un réflexe très humain : la hâte de récupérer de l’argent qu’on nous doit.
Le SPF Finances lui-même a dû réagir publiquement face à l’ampleur du phénomène. Une campagne de phishing usurpant l’identité du SPF Finances a circulé, avec des SMS envoyés via le numéro 8850 invitant les destinataires à régler de prétendus frais impayés en cliquant sur un lien. En quelques jours seulement, l’administration a été submergée de signalements : depuis le lundi 6 avril, le SPF Finances a déjà reçu une quarantaine de signalements concernant cette tentative d’escroquerie. Une autre vague, plus récente, mise sur le même ressort mais avec un angle différent : le fameux QR code.
À retenir
- Pourquoi une demande de numéro de compte pour vous rendre de l’argent n’a aucun sens logique
- Le « quishing » : comment un simple QR code devient votre pire ennemi
- Les signaux d’alarme que même les gens prudents ratent quand ils sont pressés de récupérer leur argent
Le piège du QR code, ou comment on vous fait scanner votre propre arnaque
Le principe consiste à détourner le nom, l’identité et les codes visuels du SPF Finances, avec un texte qui annonce une fausse bonne nouvelle : un remboursement en votre faveur serait imminent. Le message peut être formulé presque mot pour mot comme une véritable communication administrative : « Suite au traitement définitif de votre déclaration à l’impôt des personnes physiques pour l’exercice d’imposition 2026, nous vous informons que le calcul de votre situation fiscale fait apparaître un solde créditeur en votre faveur. » Rien à redire sur la forme, tout est calibré pour rassurer.
La suite est plus révélatrice. Au cœur du dispositif, un QR code vous emmène vers une page web dangereuse, et pour obtenir ce remboursement, il vous est demandé de scanner ce code. Cette technique porte un nom, le « quishing », contraction de QR code et phishing. Elle consiste à utiliser un code QR pour rediriger les victimes vers un faux site internet imitant celui du SPF Finances, dans l’objectif de récupérer des informations sensibles comme les coordonnées bancaires, le code PIN ou le code de réponse Digipass. Pourquoi le QR code plutôt qu’un simple lien ? Parce qu’il échappe souvent aux filtres antispam classiques, qui scannent le texte des mails mais pas nécessairement une image encodée. Et parce qu’un QR code, ça fait « moderne », « officiel », presque rassurant, à l’heure où on en scanne dix par jour pour payer un parking ou consulter un menu de restaurant.
La case qui aurait dû tout faire capoter
Voici le détail qui, à lui seul, résume toute l’arnaque : « Pour garantir le bon déroulement du reversement, nous vous invitons à vérifier l’exactitude de vos données personnelles et bancaires via notre plateforme sécurisée. » Mais aucune administration fiscale ne fonctionne ainsi. Le SPF Finances le rappelle noir sur blanc : le code QR redirige vers un site qui ressemble au portail officiel, mais dont l’adresse n’est pas la bonne, et il faut toujours vérifier l’URL avant de poursuivre.
Le raisonnement de base est pourtant d’une simplicité désarmante, et c’est bien là que le bât blesse pour les victimes de bonne foi : un remboursement d’impôt, l’État le verse sur le compte qu’il connaît déjà, celui indiqué dans votre déclaration fiscale des années précédentes. Si un remboursement officiel doit avoir lieu, il sera fait directement sur les comptes bancaires renseignés, sans qu’on vous demande de le « confirmer » via un lien mystère reçu un mardi soir. Demander votre IBAN pour vous rendre de l’argent, c’est un peu comme si le facteur exigeait votre code de carte bancaire avant de vous livrer un colis déjà payé. Ça n’a simplement aucun sens logique, et pourtant, dans l’urgence d’un mail bien tourné, ce non-sens passe complètement inaperçu.
Pourquoi cette arnaque marche si bien, même sur les gens prudents
Le SPF Finances a dressé la liste des signaux qui devraient alerter, et la demande de coordonnées bancaires en tête de liste : vous recevez un message vous annonçant subitement que vous allez être remboursé d’un certain montant, sans lien avec une démarche que vous auriez initiée. D’autres indices s’ajoutent souvent : l’adresse électronique de l’expéditeur ne correspond en rien à un domaine officiel de l’administration fédérale, même si, à l’œil nu et sur smartphone, ce détail passe facilement sous le radar.
Le contexte joue aussi un rôle énorme. Ces campagnes ressurgissent systématiquement autour des périodes de déclaration fiscale et de calcul de l’impôt, quand des milliers de vrais Belges attendent un vrai remboursement et scrutent leur boîte mail avec impatience. Les fraudeurs surfent sur cette actualité légitime pour rendre leur message crédible. Et les chiffres donnent une idée de l’ampleur du problème à l’échelle du pays : selon Febelfin, la fédération du secteur financier, les fraudeurs ont détourné 49 millions d’euros par le biais du phishing en 2024 en Belgique. Une somme colossale, même si les banques ont pu détecter, bloquer ou récupérer 75% des virements résultant d’une telle fraude. un quart du butin échappe malgré tout aux garde-fous bancaires.
Que faire si vous avez déjà cliqué
Le réflexe à adopter est le même, qu’on ait simplement cliqué sur un lien ou déjà encodé son IBAN et son code Digipass. Le SPF Finances recommande de consulter directement My eBox ou MyMinfin en saisissant soi-même leur adresse dans le navigateur, sans jamais cliquer sur un lien ou scanner un code QR reçu par e-mail. Si des informations bancaires ont déjà été transmises, la marche à suivre est claire : il est recommandé d’agir immédiatement et de contacter sans délai sa banque pour faire bloquer les opérations en cours. Il ne faut pas non plus hésiter à signaler le message suspect via la plateforme Safeonweb, qui centralise ces alertes et permet d’identifier plus vite les nouvelles vagues d’arnaque. Un dernier détail vaut d’être gardé en tête : les vrais documents fiscaux, remboursement compris, existent toujours en version officielle dans votre dossier MyMinfin, consultable à tout moment en tapant vous-même l’adresse, sans passer par aucun lien reçu par mail ou SMS.
Sources : safeonweb.be | febelfin.be | assemblee-nationale.fr