Phishing et fracture numérique : quand les faux mails deviennent presque impossibles à reconnaître

Ce matin, j’ai reçu un mail qui, au premier regard, aurait parfaitement pu passer pour une communication officielle du SPF Finances.

Logo, présentation propre, vocabulaire administratif, référence de dossier, années fiscales mentionnées et surtout une bonne nouvelle : l’administration devait prétendument me rembourser 739,49 euros.

Il y a quelques années, beaucoup de tentatives de phishing étaient presque amusantes. Les fautes d’orthographe s’accumulaient, les logos étaient de mauvaise qualité et les formulations improbables permettaient de repérer l’arnaque en quelques secondes.

Cette époque est en train de disparaître.

Le mail que j’ai reçu était suffisamment bien réalisé pour poser une question beaucoup plus importante : comment une personne peu à l’aise avec le numérique est-elle encore censée distinguer le vrai du faux ?

Un faux SPF Finances qui soigne les détails

Le message parle d’une « communication officielle », fournit une référence de dossier et détaille deux prétendus remboursements correspondant aux années fiscales 2024 et 2025. Les montants sont suffisamment précis pour sembler crédibles : 352,18 euros d’un côté et 387,31 euros de l’autre.

Total annoncé : 739,49 euros.

Le message comporte même un encadré consacré à la sécurité expliquant que le SPF Finances ne demanderait jamais de communiquer un mot de passe ou un code bancaire.

C’est précisément ce genre de détail qui rend aujourd’hui le phishing beaucoup plus dangereux.

Le fraudeur ne cherche plus seulement à imiter une administration. Il imite également le discours de prévention de l’administration.

Safeonweb avertit d’ailleurs régulièrement les citoyens belges de campagnes de phishing utilisant exactement le prétexte d’un remboursement fiscal. Les autorités signalent que ces messages peuvent paraître particulièrement crédibles et recommandent de vérifier directement sa situation via MyMinfin plutôt que de suivre les instructions reçues par mail.

Un détail permet pourtant de découvrir l’arnaque

Sur mon téléphone, j’ai simplement affiché les informations concernant l’expéditeur.

Derrière le nom rassurant « SPF Finances » apparaissait alors l’adresse :

info@minfin-spf-contributions.finance

Voilà le piège.

Le nom affiché par une application de messagerie ne garantit absolument pas l’identité de celui qui envoie le message. Un fraudeur peut parfaitement décider de s’afficher sous le nom d’une administration, d’une banque ou d’une entreprise connue.

Safeonweb rappelle que les adresses utilisées officiellement par le SPF Finances se terminent notamment par @minfin.fed.be ou @mailing.minfin.fed.be, et met précisément en garde contre les domaines ressemblant volontairement aux véritables adresses administratives.

Pour quelqu’un habitué à Internet, minfin-spf-contributions.finance déclenche immédiatement une alerte.

Mais combien de citoyens savent réellement ce qu’est un nom de domaine ?

La fracture numérique a changé de visage

On parle souvent de fracture numérique pour désigner les personnes qui ne possèdent pas d’ordinateur, qui éprouvent des difficultés à utiliser un smartphone ou qui ne savent pas effectuer certaines démarches en ligne.

Cette définition devient insuffisante.

Une personne peut aujourd’hui parfaitement utiliser WhatsApp, consulter ses mails, ouvrir une application bancaire ou se connecter avec itsme tout en restant extrêmement vulnérable face à une fraude numérique sophistiquée.

Savoir utiliser un smartphone ne signifie pas comprendre le fonctionnement d’Internet.

Et c’est là que le problème devient particulièrement préoccupant.

Les administrations, les banques et de nombreux services essentiels poussent progressivement les citoyens vers des procédures numériques. MyMinfin permet par exemple d’accéder directement à son dossier fiscal et patrimonial et d’effectuer de nombreuses démarches administratives en ligne.

Dans le même temps, les cybercriminels reproduisent précisément cet environnement numérique.

Le citoyen doit donc apprendre à utiliser les services numériques officiels, mais également apprendre à reconnaître leurs copies.

On demande presque aux citoyens de devenir experts en cybersécurité

Prenons simplement ce mail.

Pour comprendre immédiatement qu’il est frauduleux, il faut savoir qu’un nom d’expéditeur peut être falsifié, savoir afficher son adresse électronique complète, comprendre la structure d’un nom de domaine et connaître ou rechercher les domaines utilisés officiellement par l’administration.

Cela paraît évident lorsqu’on travaille depuis longtemps avec Internet.

Ça ne l’est absolument pas pour tout le monde.

Et pourtant, quelques secondes d’hésitation peuvent suffire. La promesse d’un remboursement de plusieurs centaines d’euros constitue un excellent déclencheur psychologique.

Le citoyen clique, arrive éventuellement sur une copie extrêmement convaincante d’un service officiel et communique ses coordonnées.

À ce moment-là, le problème n’est plus simplement la fracture numérique.

Il devient financier.

Quand le phishing passe même les filtres antispam

Un autre élément m’a particulièrement interpellé dans cette tentative : le message est arrivé dans ma boîte de réception.

Il n’a pas été automatiquement envoyé dans les courriers indésirables.

Cela rappelle une réalité importante : aucun filtre antispam ne constitue une protection absolue.

Un message frauduleux peut être techniquement suffisamment propre pour ne pas être immédiatement bloqué. Les escrocs disposent également d’outils leur permettant de produire des textes parfaitement rédigés et des présentations de plus en plus professionnelles.

Le vieux conseil consistant à rechercher les fautes d’orthographe devient donc largement insuffisant.

Un mail parfaitement écrit peut être une arnaque.

Un beau logo ne prouve rien.

Une mise en page professionnelle ne prouve rien.

Même un paragraphe consacré à votre sécurité ne prouve rien.

La lutte contre la fracture numérique devrait aussi parler de cela

La Belgique possède une ministre fédérale chargée notamment de la Modernisation de l’action publique et du Numérique, Vanessa Matz.

La transformation numérique des services publics est évidemment un enjeu important. Mais elle devrait s’accompagner d’une réflexion tout aussi importante sur la capacité réelle des citoyens à évoluer en sécurité dans cet environnement.

L’inclusion numérique ne consiste pas uniquement à permettre à quelqu’un d’accéder à un service.

Il faut également lui donner les moyens de reconnaître le véritable service de sa copie frauduleuse.

C’est peut-être même devenu l’un des grands défis de l’inclusion numérique.

Car les personnes les plus vulnérables ne sont pas nécessairement celles qui n’utilisent pas Internet.

Ce sont parfois celles qui ont appris à l’utiliser suffisamment pour effectuer leurs démarches quotidiennes, mais pas suffisamment pour comprendre les mécanismes techniques qui permettent de les tromper.

Le réflexe le plus simple reste souvent le meilleur

Face à un mail provenant prétendument du SPF Finances, d’une banque, d’itsme, d’une mutuelle ou d’une autre institution importante, il existe pourtant une habitude extrêmement simple.

Ne pas utiliser le chemin proposé par le message.

Si le SPF Finances annonce un remboursement, inutile de cliquer sur le bouton du mail. Ouvrez vous-même votre navigateur ou l’application habituelle et rendez-vous directement sur MyMinfin.

Le SPF Finances présente d’ailleurs MyMinfin comme sa plateforme permettant aux citoyens d’accéder à leur dossier fiscal et patrimonial.

Safeonweb recommande exactement ce réflexe en cas de message suspect concernant un remboursement fiscal et invite également les citoyens à transférer les messages frauduleux à suspect@safeonweb.be.

Ce geste évite déjà une grande partie des pièges.

Le faux ressemble désormais au vrai

La tentative que j’ai reçue ne m’a pas trompé.

Mais ce n’est finalement pas la question la plus intéressante.

La véritable question est de savoir combien de personnes auraient pu être trompées.

Une personne âgée, quelqu’un qui utilise peu Internet, un citoyen récemment contraint de passer aux démarches numériques ou simplement quelqu’un qui reçoit ce mail au mauvais moment pourrait parfaitement croire à ce remboursement.

Nous avons passé des années à apprendre aux citoyens à se méfier des mails mal écrits et des sites grossièrement copiés.

Il va falloir changer de discours.

Parce qu’en 2026, le faux peut être propre, bien écrit, professionnel et rassurant.

La nouvelle fracture numérique est peut-être aussi celle-là : entre ceux qui savent encore distinguer les mécanismes cachés derrière une interface et ceux qui ne voient que ce que leur écran leur présente.

Et lorsque même un faux SPF Finances peut arriver tranquillement dans une boîte de réception, apprendre cette différence n’est plus une compétence réservée aux informaticiens.

C’est devenu une compétence citoyenne.