Deux prélèvements bancaires apparus trois semaines après un simple clic sur un lien reçu par mail pour payer sa facture d’eau : voilà le scénario cauchemar que vivent de plus en plus de Belges cet été. Le mécanisme est connu, il porte un nom, le phishing, et il connaît une explosion sans précédent dans le pays. Ce qui frappe dans ce type d’histoire, c’est le décalage temporel : on clique, on paie, on oublie, et c’est justement ce délai qui rend la fraude redoutablement efficace.
À retenir
- Pourquoi les fraudeurs attaquent précisément sur la facture d’eau et pas autre chose
- Le décalage temporel de trois semaines : le détail diabolique qui rend cette fraude presque invisible
- Quelle protection légale s’applique quand deux prélèvements fantômes atterrissent sur votre compte
Une vague de faux mails « eau » qui cible précisément l’urgence
Le scénario n’a rien d’isolé. Depuis plusieurs mois, de faux mails et SMS circulent au nom des distributeurs d’eau belges, notamment De Watergroep et Farys. De faux mails et SMS circulent actuellement au nom de De Watergroep et Farys, évoquant une prétendue fusion entre les deux sociétés et invitant les consommateurs à confirmer leurs données personnelles ou à payer une facture. Le point commun de toutes ces campagnes : elles jouent sur la peur de la coupure. L’expéditeur invite, sous prétexte « d’éviter une coupure » ou de « conserver vos droits », à cliquer sur un lien de vérification.
La mécanique est rodée jusque dans les détails graphiques. Le message imite parfois la charte graphique des deux fournisseurs, joue sur les mentions légales et multiplie les logos, comme repéré par le Centre pour la Cybersécurité Belgique. Une fois le piège refermé, la victime atterrit sur une copie quasi parfaite du portail client. Une fois le lien cliqué, le piège se referme : redirection vers un faux site, copie quasi parfaite du portail client officiel, où l’on exige les informations personnelles, voire bancaires, ou même le paiement direct d’une « facture en retard ».
Le vrai coup de génie des escrocs, c’est le timing différé. Contrairement à un vol de carte classique où l’argent disparaît immédiatement, ici les données bancaires collectées via le faux portail sont réutilisées plus tard, parfois plusieurs semaines après, pour initier des prélèvements ou des paiements. La victime, rassurée d’avoir « réglé sa facture », ne surveille plus son compte avec la même attention. C’est exactement ce délai de trois semaines qui rend ce type de fraude aussi vicieux qu’un poil à gratter dans le dos : on ne sait jamais quand ça va gratter.
Des chiffres qui donnent le vertige
Cette histoire individuelle s’inscrit dans une tendance nationale franchement inquiétante. Une augmentation de près de 50% par rapport à la moyenne quotidienne de ces signalements a été observée : on était autour de 25.000 à 27.000 signalements par jour en 2025, et on est passé, dans les trois premiers mois de 2026, à environ 42.000 signalements en moyenne, précise Michele Rignanese, porte-parole du Centre pour la cybersécurité en Belgique. chaque minute qui passe en Belgique voit naître une trentaine de nouvelles tentatives d’arnaque.
Les fournisseurs d’eau ne sont évidemment pas les seuls usurpés. Le SPF Finances, Engie, itsme, ou encore récemment le monde notarial ont eux aussi vu leur identité détournée. Plus l’identité est officielle, plus la perspective imminente est crédible, plus la victime potentielle aura tendance à baisser la garde ; parmi les identités les plus couramment usurpées figurent les banques, les administrations, Netflix, Amazon, bpost ou Mondial Relay. L’eau, elle, a un avantage terrible pour les fraudeurs : personne ne veut se retrouver sans eau courante, même trois jours. La menace touche à un besoin vital, ce qui court-circuite le réflexe de vérification.
Que dit la loi quand deux prélèvements non signés atterrissent sur votre compte
Bonne nouvelle au milieu de cette mésaventure : le droit belge protège plutôt bien les victimes de transactions non autorisées, à condition de réagir vite. En vertu de l’article VII.43 du Code de droit économique, la banque est responsable de plein droit en cas d’opération non autorisée. Concrètement, si les prélèvements litigieux n’ont jamais été validés par le titulaire du compte, même s’ils font suite à un moment de faiblesse face à un faux site, la banque doit en principe rembourser.
Le délai pour agir est confortable mais pas illimité. En cas de transaction non autorisée, la période de remboursement possible est de 13 mois à partir de la date de débit en compte. Attention toutefois à ne pas traîner des pieds une fois la fraude découverte : on ne peut être considéré comme ayant tardé à informer sa banque que si le retard est intentionnel ou résulte d’une négligence grave. dès que vous repérez les deux prélèvements suspects, direction votre application bancaire ou votre agence, sans attendre le prochain relevé papier.
Le secteur bancaire reste toutefois vigilant sur la distinction entre les deux cas de figure. La législation distingue les transactions non autorisées, pour lesquelles le remboursement est obligatoire, des transactions autorisées, dans lesquelles le client a effectué le virement lui-même ; dans ce second cas, la banque n’est pas tenue de rembourser si une négligence grave est établie. Une jurisprudence récente vient toutefois plutôt dans le sens des victimes : un couple de nonagénaires, victime d’une arnaque en ligne, s’est fait dérober près de 50.000 euros par des escrocs, et alors que leur banque refusait de les rembourser en invoquant une faute, un juge anversois vient de leur donner raison, obligeant la banque à rembourser la somme.
Les bons réflexes, dans l’ordre
Face à ce genre de situation, chaque minute compte. La priorité absolue est de bloquer les moyens de paiement concernés avant que d’autres prélèvements ne suivent. Card Stop, service centralisé accessible 24h/24 et 7j/7 en Belgique comme à l’étranger, permet de faire opposition rapidement, via le nouveau numéro officiel 078 170 170 mis en service fin 2023. Ensuite seulement vient la contestation formelle des transactions auprès de sa propre banque.
Un détail piège à connaître absolument : des escrocs se font désormais passer pour Card Stop lui-même. Les fraudeurs se font passer pour un collaborateur de Card Stop et expliquent, d’un ton pressant, qu’une fraude est en cours sur le compte bancaire et qu’il faut « agir ensemble pour la stopper ». La règle d’or reste simple : ni Card Stop, ni votre banque, ni un fournisseur d’eau ne vous demandera jamais vos codes ou un virement vers un « compte sécurisé » par téléphone.
Signaler le mail frauduleux n’est pas une formalité inutile, c’est un geste citoyen qui a un impact mesurable. Signaler à Safeonweb les tentatives d’arnaques au phishing dont on est la cible permet aux autorités de repérer les arnaques émanant de plateformes organisées et d’agir, en établissant une liste noire et en demandant aux fournisseurs d’accès internet de rediriger les visiteurs de ces pages vers une page d’avertissement. L’adresse à retenir : suspect@safeonweb.be. Un dernier détail qui a son importance : les vrais distributeurs d’eau belges, comme le rappelle notamment in BW Eau, insistent sur le fait qu’il vaut toujours mieux taper soi-même l’adresse officielle dans son navigateur plutôt que de suivre un lien reçu par mail, aussi urgent qu’il paraisse.
Source : droitderegard.be