Comment vérifier un message du SPF Finances ou de la sécurité sociale

Comment vérifier un message du SPF Finances ou de la sécurité sociale

« SPF Finances : vous avez droit à un remboursement de 342,18 €. Confirmez vos coordonnées bancaires ici. » Ou l'inverse : « Vous avez une dette impayée auprès de votre mutualité. Évitez une procédure de recouvrement en régularisant ici. » Les administrations sont un excellent déguisement pour la fraude : tout le monde les connaît, personne ne veut d'ennuis avec elles, et leurs vraies démarches sont assez complexes pour qu'un faux message paraisse plausible. L'IBPT cite d'ailleurs le SPF Finances parmi les organismes dont les escrocs usurpent souvent l'identité.

Ces campagnes arrivent par vagues et reprennent le même schéma que le faux SMS d'amende et le faux SMS de colis : organisme connu + argent en jeu (en votre faveur ou non) + urgence + lien. Si vous savez en vérifier un, vous savez les vérifier tous.

La règle clé : les administrations ne règlent rien via un lien dans un SMS

Retenez deux idées :

1. Le SPF Finances et les organismes de sécurité sociale ne vous demandent ni coordonnées bancaires, ni codes, ni paiement via un lien dans un SMS ou un e-mail inattendu. Leurs démarches en ligne se font dans leurs espaces officiels sécurisés, comme MyMinfin pour vos impôts, auxquels VOUS vous connectez vous-même avec itsme ou avec votre carte d'identité électronique (eID) et un lecteur de carte.
2. Un vrai remboursement ne vous demande pas de « confirmer vos données » depuis un lien. Le SPF Finances ne vous réclame pas un numéro de carte bancaire par SMS pour vous rembourser.

Tout message qui vous pousse à cliquer sur un lien pour encaisser, payer ou « régulariser » quelque chose auprès d'une administration est suspect par défaut. Non pas que les administrations n'envoient jamais de messages, mais parce qu'un lien qui sert à faire la démarche n'est pas leur façon de travailler.

À quoi ressemble le faux message

• Le remboursement. L'hameçon le plus efficace pendant la période des déclarations et des remboursements d'impôt : « vous avez un remboursement en attente », avec un montant précis et crédible. Le lien mène vers un faux site qui imite MyMinfin, où vous saisissez vos données personnelles et bancaires.
• La dette ou le recouvrement. « Dernier rappel avant recouvrement », « cotisation impayée », « trop-perçu à rembourser à votre mutualité ». Il joue sur la peur plutôt que sur l'espoir, mais la destination est la même : vos données et votre carte.
• La pension ou les allocations. « Mettez à jour vos données pour continuer à percevoir votre pension » au nom du Service fédéral des Pensions, ou un message sur vos allocations de chômage au nom de l'ONEM. L'expéditeur prétendu change selon l'arnaque : mutualité pour les soins de santé, SFP pour les pensions, ONEM pour le chômage.
• Des domaines ressemblants. Des liens qui contiennent « minfin », « finances » ou « mutualite » plus des tirets et des mots en trop, sur des domaines qui ne sont pas les officiels. Le site du SPF Finances est finances.belgium.be, celui du Service fédéral des Pensions sfpd.fgov.be et le portail de la sécurité sociale socialsecurity.be.
• Un expéditeur qui ne prouve rien. Comme pour tous les SMS : l'expéditeur se falsifie et ne prouve ni n'exclut rien.

Comment vérifier s'il y a quelque chose de réel

La méthode est toujours la même : fermez le message et passez vous-même par le canal officiel. Avec les administrations, c'est encore plus simple, car les canaux officiels sont uniques et connus :

1. Ne cliquez pas sur le lien. Fermez le message.
2. Allez vous-même sur le site officiel. Tapez l'adresse dans votre navigateur (finances.belgium.be pour le SPF Finances, socialsecurity.be pour la sécurité sociale, sfpd.fgov.be pour les pensions) ou utilisez les applis officielles. N'y arrivez jamais par le lien du message ni par une recherche faite à la hâte.
3. Connectez-vous avec itsme ou votre eID et vérifiez. S'il existe un remboursement, une dette, un dossier ou un message, vous le trouverez dans votre espace sécurisé. Si rien n'apparaît, le message était faux.
4. Si vous n'êtes pas à l'aise en ligne, appelez les numéros d'information officiels (cherchés par vous sur le site officiel, pas dans le message), contactez directement votre mutualité ou présentez-vous à un guichet.

Les impôts régionaux ont leurs propres services (SPW Fiscalité en Wallonie, Bruxelles Fiscalité, Vlabel en Flandre) : la règle est identique, passez toujours par leur site officiel. Si quelque chose de réel existe, vous le traitez dans l'espace officiel, jamais via le lien d'un message. C'est exactement la même habitude que celle que nous recommandons pour vérifier un appel ou un SMS de votre banque.

Que faire si vous avez déjà cliqué ou donné des données

• Vous avez seulement cliqué puis fermé : il ne s'est presque certainement rien passé. Bloquez l'expéditeur, supprimez le message et passez à autre chose.
• Vous avez saisi les données de votre carte : appelez immédiatement votre banque ou Cardstop (078 170 170), faites bloquer la carte et demandez-en une nouvelle. Surveillez vos opérations les semaines suivantes.
• Vous avez confirmé une demande itsme que vous n'aviez pas lancée, ou communiqué vos codes : changez vos codes sans attendre et prévenez votre banque, car itsme sert aussi à signer des opérations bancaires. Vérifiez ensuite dans vos espaces officiels qu'aucune démarche inconnue n'a été faite.
• Portez plainte à la police avec des captures du message et du lien, et transférez le message à Safeonweb (Centre pour la Cybersécurité Belgique), à l'adresse [email protected].
• Signalez le numéro expéditeur dans l'annuaire des numéros spam.

Questions rapides

Les administrations envoient-elles parfois de vrais messages ? Oui, des messages d'information existent, mais un message authentique vous renvoie vers votre espace sécurisé, où vous vous connectez VOUS-MÊME : il ne contient pas de lien pour régler la démarche et ne vous demande aucune donnée dans le message lui-même. En cas de doute, considérez-le comme non vérifié et contrôlez dans MyMinfin ou sur le portail officiel.

Et la mutualité, le SFP ou l'ONEM ? Même principe : des informations, oui ; une démarche à faire via un lien reçu sans l'avoir demandé, non. Vos documents se consultent en vous connectant vous-même au portail officiel ou en contactant directement l'organisme.

Faut-il être plus prudent pendant la période des déclarations d'impôt ? Oui, car le contexte aide l'escroc : chacun attend sa déclaration ou son remboursement, et un « remboursement en attente » tombe à pic. Pendant cette période, redoublez de méfiance face à tout message fiscal qui contient un lien.

Un e-mail avec le logo officiel est-il plus fiable qu'un SMS ? Non. Un logo se copie en une minute et l'expéditeur d'un e-mail se falsifie aussi. Appliquez la même règle : aucun lien reçu, connectez-vous vous-même à l'espace officiel.

Si vous avez reçu un de ces messages, signalez-le dans l'annuaire des numéros de NoCall : ces campagnes changent de déguisement au fil de l'année, et votre signalement aide la prochaine personne à reconnaître le piège à temps.