Un texto qui tombe un vendredi après-midi, un montant précis (214 €), la promesse d’un remboursement du fisc : le piège est presque parfait, et il fonctionne. En Belgique, ce type de message frauduleux porte un nom, le smishing, et il a fait des ravages ces derniers mois. Le mécanisme est toujours le même : un lien, une page qui ressemble à s’y méprendre à un site officiel, et des coordonnées bancaires qui filent directement dans la poche des escrocs. Trois minutes plus tard, le compte est à sec. Ce scénario n’a rien d’exceptionnel, il se répète des dizaines de milliers de fois par jour dans le pays.
À retenir
- Des SMS parfaitement imités offrent des remboursements du fisc pour mieux vous dérober vos données bancaires
- Les techniques d’arnaque se sophistiquent : QR codes malveillants et pages web qui trompent même les plus vigilants
- Un Belge sur huit aurait déjà été victime de phishing — pourquoi vous pourriez être le suivant
Un scénario rodé qui usurpe le SPF Finances
La campagne actuelle porte une signature précise. Une campagne de phishing usurpant l’identité du SPF Finances circule via des SMS envoyés par le numéro 8850, invitant les destinataires à régler de prétendus frais impayés en cliquant sur un lien qui redirige vers un site frauduleux. Le SPF Finances lui-même a dû réagir : rien que depuis le lundi 6 avril, l’administration a reçu une quarantaine de signalements concernant cette tentative d’escroquerie. Et le SMS n’est qu’une des variantes. Une déclinaison par e-mail circule aussi, avec un mécanisme légèrement différent mais tout aussi redoutable : au cœur du dispositif, un QR code qui emmène vers une page web dangereuse, et il est demandé de scanner ce code pour obtenir le remboursement. Cette technique porte même un nom officiel, le « quishing », contraction de QR code et phishing, qui consiste à utiliser un code QR pour rediriger les victimes vers un faux site internet imitant celui du SPF Finances.
Ce qui frappe, c’est le soin apporté à la mise en scène. Les textes utilisés reprennent presque mot pour mot le jargon administratif belge, avec des formulations du type « solde créditeur en votre faveur » ou « traitement définitif de votre déclaration ». Une chose ne trompe pas, en théorie : si un remboursement officiel doit avoir lieu, il sera fait directement sur les comptes bancaires renseignés, sans qu’on ne demande jamais à l’utilisateur de « confirmer » quoi que ce soit en ligne.
Des chiffres qui donnent le tournis
Le cas d’une seule personne qui perd 214 euros en trois minutes paraît presque anecdotique face à l’ampleur du phénomène. Les chiffres publiés au printemps 2026 sont sans appel : le Centre pour la cybersécurité en Belgique (CCB) a reçu 3,6 millions de signalements concernant cette forme de fraude au cours du premier trimestre de l’année. Ramené à une échelle quotidienne, cela représente pas moins de 40 710 signalements par jour, soit plus de 50 pour cent de plus que la moyenne quotidienne de 27 103 en 2025. Et selon la porte-parole du CCB, Katrien Eggers, « le nombre réel est sans doute encore plus élevé », la déclaration restant facultative.
Ce qui rend ces arnaques particulièrement rentables, c’est leur volume plutôt que leur montant unitaire. Selon les statistiques de Febelfin, la fédération du secteur financier belge, 49 millions d’euros ont été détournés par ce biais en 2024. Une enquête menée par Febelfin début 2025 apporte une nuance intéressante sur le profil des victimes : l’étude révèle que 13% des Belges ont déjà été victimes de phishing au moins une fois. Un Belge sur huit, à peu près. De quoi relativiser l’idée reçue que « ça n’arrive qu’aux autres » ou qu’il faut être naïf pour tomber dans le panneau. Les techniques évoluent vite, les criminels professionnalisent leurs campagnes, et certaines arrivent même via des plateformes internationales : une opération coordonnée par Europol et Microsoft a récemment démantelé Tycoon 2FA, une des plus grandes plateformes en ligne de hameçonnage au monde, qui avait fait près de 500 victimes en Belgique.
Réagir vite, et savoir où taper
Une fois le lien cliqué et les données bancaires transmises, chaque minute compte. Le premier réflexe doit être d’appeler sa banque via le numéro d’urgence Card Stop, pour bloquer la carte et les accès en ligne, avant même de porter plainte à la police. Le SPF Finances rappelle par ailleurs sur son site les seuls canaux valables pour tout paiement le concernant : en ligne via MyMinfin, par virement sur un compte officiel dont la structure est toujours BEXX 6792 XXXX XXXX, ou directement dans un infocenter. Aucun SMS, aucun e-mail, aucun coup de fil ne fera jamais exception à cette règle.
Le signalement compte aussi, même après coup. Transmettre le SMS ou le mail suspect à l’adresse suspect@safeonweb.be permet au Centre pour la Cybersécurité Belgique d’agir concrètement : envoyer le message de smishing à ce point de contact permet aux sites web de phishing d’être bloqués. Ce simple geste, qui prend trente secondes, contribue à éviter que d’autres tombent dans le même piège.
Reste la question qui angoisse le plus : qui paie la note quand l’arnaque a réussi ? La réponse belge est plutôt rassurante, avec une nuance de taille. Les banques sont généralement tenues de rembourser les victimes, sauf en cas de négligence grave, mais cela donne régulièrement lieu à des discussions. avoir cliqué sur un lien frauduleux ne suffit pas automatiquement à être considéré comme négligent, mais avoir communiqué son code PIN ou son code Digipass complet peut faire pencher la balance contre la victime lors de l’analyse du dossier. D’où l’intérêt de garder une trace précise du SMS reçu, de l’heure du clic et des démarches entreprises dans la foulée : ce sont souvent ces détails qui font la différence entre un remboursement accordé et un dossier classé sans suite.
Sources : lavenir.net | lavenir.net