Une demande de devis inattendue, une offre de crédit « sans justificatif », un fournisseur inconnu qui propose un prix bien en dessous du marché : les tentatives d'escroquerie arrivent aujourd'hui par les mêmes canaux que vos vrais clients. Elles visent les dirigeants de TPE et PME autant que les particuliers, et elles sont de mieux en mieux rédigées.
Cet article décrit la méthode que j'applique avant de répondre à une sollicitation inconnue. Elle tient en six vérifications, réalisables en quelques minutes avec des outils gratuits, et s'appuie sur les recommandations des organismes publics (Cybermalveillance.gouv.fr, DGCCRF, Banque de France).
Un cas vécu : la demande de devis qui cachait une arnaque au prêt
Il y a quelques années, j'ai reçu par le formulaire de contact de l'agence une demande de devis de référencement, très courte, signée d'un « agent » d'une société inconnue, avec une adresse email en nom de domaine propre. Je reçois ce type de message chaque semaine.
Un détail m'a pourtant arrêté : le message ne décrivait ni le site, ni l'activité, ni l'objectif. J'ai simplement tapé l'adresse email dans Google. Les premiers résultats l'associaient, avec un numéro de téléphone, à des signalements d'« arnaque au prêt » entre particuliers. Le site prétendait exister depuis 2008 ; la Wayback Machine et mes outils SEO ne montraient aucune trace avant 2017, et je n'ai trouvé aucune immatriculation correspondante. Je n'ai pas donné suite. Ce cas m'a convaincu de formaliser les vérifications qui suivent.
Le mécanisme : une promesse, des frais d'avance, puis le silence
Les arnaques financières en ligne suivent presque toujours le même déroulé : une promesse que les acteurs régulés ne peuvent pas tenir (prêt sans justificatif, crédit malgré un fichage, rendement garanti), une acceptation de dossier très rapide, puis des « frais de dossier » ou de « garantie » à régler avant le déblocage des fonds. Une fois le virement reçu, l'interlocuteur disparaît ou réclame de nouveaux frais.
Faux sites marchands, faux fournisseurs et faux conseillers bancaires suivent la même logique : obtenir un paiement ou des identifiants avant que la victime ait pu vérifier. Le levier principal n'est pas technique, c'est la précipitation.
Les 6 signaux d'alarme à vérifier avant de répondre
1. Des mentions légales absentes ou invérifiables
Tout site édité par un professionnel doit afficher l'identité de l'éditeur (dénomination, adresse, numéro d'immatriculation, TVA le cas échéant), un moyen de contact et l'identité de l'hébergeur. L'obligation vient de la loi pour la confiance dans l'économie numérique de 2004 ; son non-respect est puni d'un an d'emprisonnement et de 75 000 € d'amende, selon la fiche de Service-Public.gouv.fr sur les mentions obligatoires.
L'absence de ces mentions est un signal fort. Leur présence ne suffit pas : les fraudeurs copient volontiers le SIREN d'une société existante. Vérifiez la concordance du nom, de l'adresse et du numéro sur l'Annuaire des entreprises. Pour un service financier (crédit, placement, assurance), contrôlez que l'acteur est autorisé : le registre REGAFI pour les établissements agréés, l'ORIAS pour les intermédiaires, et les listes noires publiées par l'ACPR et l'AMF sur Assurance Banque Épargne Info Service.
2. Une connexion non sécurisée… ou un HTTPS qui rassure à tort
Un site qui collecte des données ou des paiements sans HTTPS est à écarter d'office : les certificats gratuits existent depuis des années et tout prestataire sérieux en installe un. Le « cadenas vert » de l'ancienne version de cet article a d'ailleurs disparu de Chrome depuis 2023, remplacé par une icône de réglages ; le navigateur ne signale plus que les connexions non sécurisées.
Surtout, HTTPS garantit que l'échange est chiffré, pas que l'éditeur est honnête. Un site frauduleux obtient un certificat en quelques minutes. Google le rappelle dans l'aide de Chrome : même sur une connexion sécurisée, vérifiez le nom du site dans la barre d'adresse avant de partager des informations sensibles. Regardez le domaine exact plutôt que l'icône.
3. Une réputation négative en quelques recherches
Tapez dans un moteur de recherche le nom du site, l'adresse email et le téléphone de votre interlocuteur, seuls puis associés au mot « arnaque » ou « avis ». Les témoignages de victimes remontent souvent dans les premiers résultats, sur des forums ou des bases collaboratives comme Signal-Arnaques.
Deux nuances. Un site créé la semaine dernière n'a encore aucune réputation : l'absence de résultat n'est pas rassurante en soi. Et des avis très élogieux, nombreux et tous datés de la même période sont un signal d'alerte plutôt qu'une garantie. Le raisonnement vaut aussi pour les promesses de revenus faciles qui circulent sur les réseaux sociaux.
4. Un historique qui ne colle pas au discours
Un site qui revendique « 15 ans d'expérience » doit laisser des traces. Trois vérifications croisées suffisent en général ; c'est ce croisement qui a confirmé mon doute dans le cas évoqué plus haut.
- Wayback Machine (web.archive.org) : première capture du domaine, évolution du contenu, changements brutaux d'activité.
- Whois (lookup.icann.org) : date de création du nom de domaine. Les données du titulaire sont souvent masquées, mais cette date reste visible et se compare à l'ancienneté affichée.
- Outils SEO (Semrush, Ahrefs ou équivalent) : un site réellement actif depuis des années a un historique de visibilité et de liens. Un domaine « ancien » sans aucun historique a souvent été racheté pour son apparence de légitimité.
5. De la pression et un mode de paiement inhabituel
Le design amateur et les fautes d'orthographe restent des indices, mais les outils de génération de texte et de sites produisent aujourd'hui des pages propres en quelques minutes. Les signaux comportementaux sont plus fiables :
- urgence artificielle (« offre valable 24 heures », « dernier dossier accepté ce mois-ci ») ;
- frais demandés avant toute prestation ou tout déblocage de fonds ;
- paiement par virement vers un compte de particulier, carte cadeau, cryptomonnaie ou transfert d'argent ;
- changement de RIB communiqué par email en cours de relation ;
- refus de tout échange téléphonique, ou au contraire relances insistantes.
La fiche réflexe de Cybermalveillance.gouv.fr sur les faux ordres de virement s'adresse directement aux entreprises : tout changement de coordonnées bancaires d'un fournisseur se confirme par un appel au numéro habituel, jamais à celui indiqué dans le message.
6. Un décalage net avec les acteurs établis du secteur
Cherchez les mots-clés principaux du service proposé et comparez le site suspect aux premiers acteurs qui ressortent : identité et agréments affichés, conditions générales lisibles, service client joignable, avis sur des plateformes tierces. Si un site promet ce qu'aucun acteur régulé ne propose, pourquoi les autres ne le feraient-ils pas ? Cette grille rejoint les critères de fiabilité résumés dans notre guide d'évaluation de la qualité des sites par Google : qui parle, avec quelle légitimité, et peut-on le vérifier.
Ce que disent les chiffres récents
| Indicateur | Valeur | Source et périmètre |
|---|---|---|
| Victimes assistées par Cybermalveillance.gouv.fr | Plus de 500 000 en 2025, +20 % par rapport à 2024 | Rapport d'activité 2025 de Cybermalveillance.gouv.fr (mars 2026) ; particuliers, entreprises et collectivités ayant sollicité le dispositif |
| Hameçonnage | Première menace, demandes d'assistance en hausse de 70 % sur un an | Même rapport ; le piratage de compte est en tête chez les professionnels (+45 %) |
| Faux conseiller bancaire et faux placement | +159 % et +277 % de demandes d'assistance | Même rapport, évolution 2025 par rapport à 2024 |
| Fraude aux moyens de paiement | Juste sous 1,2 milliard d'euros par an, dont 32 % (382 millions d'euros) obtenus par manipulation de la victime | Observatoire de la sécurité des moyens de paiement, rapport 2024 (septembre 2025), paiements scripturaux en France |
| Signalements de consommateurs reçus par la DGCCRF | Plus de 460 000 en 2025, +60 % par rapport à 2023 | Rapport d'activité 2025 de la DGCCRF, tous motifs confondus (SignalConso notamment) |
La fraude « technique » est contenue : l'Observatoire relève un taux de fraude carte à son plus bas niveau historique, 53 € pour 100 000 € de paiements. Ce qui progresse, c'est la fraude où la victime agit elle-même, convaincue par un faux interlocuteur. Les six signaux ci-dessus visent précisément ce moment-là.
Que faire si vous avez déjà payé ou transmis des données
- Contactez votre banque sans délai, par le numéro figurant sur votre carte ou votre espace client, jamais par un numéro reçu dans un message.
- Conservez les preuves : emails complets avec en-têtes, captures d'écran, RIB reçu, historique des appels.
- Déposez plainte. Un particulier peut le faire en ligne via THESEE pour certains cas (faux site marchand, piratage de compte, fausse annonce), décrits sur Service-Public.gouv.fr ; une entreprise, ou une victime de faux placement, se rend en commissariat ou en brigade de gendarmerie.
- Signalez le contenu sur Pharos et, pour un site marchand ou une pratique commerciale trompeuse, sur SignalConso.
- Faites-vous accompagner : le diagnostic en ligne 17Cyber oriente vers les bonnes démarches ; le numéro Info Escroqueries (0 805 805 817, gratuit) répond aux questions.
Si des identifiants ont été saisis sur un faux site, changez immédiatement les mots de passe concernés et activez la double authentification sur la messagerie et les comptes bancaires.
Côté entreprise : vos propres signaux de confiance
La grille fonctionne dans les deux sens. Un prospect qui découvre votre site applique, consciemment ou non, les mêmes vérifications : mentions légales cohérentes avec les registres, HTTPS, coordonnées réelles, historique visible, avis authentiques.
Surveillez aussi que votre site ne serve pas de relais malgré vous : un site WordPress piraté est souvent utilisé pour héberger des pages d'hameçonnage, au détriment de votre réputation et de votre référencement.
Questions fréquentes
Un site en HTTPS est-il forcément fiable ?
Non. Le HTTPS chiffre les échanges entre votre navigateur et le site, mais n'atteste pas de l'honnêteté de l'éditeur. Un site frauduleux peut obtenir un certificat gratuit en quelques minutes. Vérifiez le nom de domaine exact, les mentions légales et la réputation du site avant de transmettre des données.
Comment vérifier qu'une société qui propose un crédit ou un placement est autorisée ?
Consultez le registre REGAFI pour les établissements agréés en France et l'ORIAS pour les intermédiaires en crédit, assurance ou placement. L'ACPR et l'AMF publient aussi des listes noires de sites non autorisés. Une société absente de ces registres n'a pas le droit de proposer ces services.
Les mentions légales sont-elles obligatoires sur tous les sites professionnels ?
Oui. La loi pour la confiance dans l'économie numérique impose à tout éditeur professionnel d'indiquer son identité, ses coordonnées, son numéro d'immatriculation et l'identité de son hébergeur. Leur absence est punie d'un an d'emprisonnement et de 75 000 € d'amende. Vérifiez toujours que les informations affichées concordent avec les registres officiels.
Que faire si j'ai versé des frais de dossier à un faux organisme de prêt ?
Contactez immédiatement votre banque par ses canaux habituels pour tenter de bloquer ou rappeler le virement. Conservez tous les échanges, déposez plainte (en ligne via THESEE pour un particulier, en commissariat ou gendarmerie pour une entreprise) et signalez le site sur Pharos. Ne versez aucune somme supplémentaire, même présentée comme nécessaire pour récupérer votre argent.
Une entreprise peut-elle déposer plainte en ligne pour une arnaque sur internet ?
Non. Le téléservice THESEE est réservé aux particuliers majeurs et à certains types d'escroqueries. Une entreprise victime doit déposer plainte en commissariat ou en brigade de gendarmerie, avec les preuves rassemblées. L'assistant 17Cyber et la plateforme Cybermalveillance.gouv.fr aident à préparer cette démarche.
Un site tout neuf sans aucun avis est-il suspect ?
Pas nécessairement, mais il demande plus de vérifications. Croisez la date de création du domaine, les mentions légales et l'immatriculation de la société. Si le discours commercial évoque une longue expérience alors que le domaine a quelques mois, le décalage est un signal d'alerte.