Faux site Doctolib « confirmation rendez-vous » diffusé par SMS
SMS prétendant une confirmation Doctolib avec lien vers doctolib-fr.shop demandant CB pour « valider le rendez-vous ».
La force du piège : la coïncidence
L'efficacité du nouveau faux SMS Doctolib repéré début mai 2026 vient d'une statistique simple : un Français adulte a en moyenne 3-5 rendez-vous médicaux pris dans Doctolib sur une fenêtre de 6 mois. Quand un SMS arrive en prétendant que ton « RDV du [date proche] sera annulé sans confirmation », il y a une probabilité élevée qu'il tombe juste — soit par coïncidence calendaire, soit parce que les attaquants disposent de données médicales fuitées.
Format type du SMS : « Doctolib : votre RDV du [date à 3-7 jours] sera annulé sans confirmation. Validez : [lien] ». Domaines actifs : doctolib-fr.shop, doctolib-rdv.com, doctolib-validation.fr.
Le piège de la caution
Mécanique smishing-paiement avec un twist : la page demande d'abord les 4 premiers chiffres de la CB « pour identifier le compte », ce qui semble inoffensif. Puis, à l'étape suivante, elle réclame la CB complète + 3DS « pour la caution annulation 35 € ».
La technique des 4 premiers chiffres en amorce a un double effet :
- Psychologique : la victime a déjà commencé à saisir, elle est en mode « action en cours », elle a moins de friction à compléter
- Technique : les 4 premiers chiffres révèlent la banque et le type de carte. Si la combinaison ne correspond pas à un profil intéressant (carte plafonnée bas, banque peu permissive), la suite de l'arnaque peut être avortée — l'attaquant économise du temps
La CB complète est ensuite débitée bien au-delà des 35 € affichés, ou utilisée pour des achats sur des sites marchands dans les heures suivantes.
Doctolib ne demande jamais de caution CB pour confirmer un rendez-vous médical gratuit. Le seul cas où Doctolib demande une CB est pour les téléconsultations payantes en avance — et exclusivement depuis l'app ou le site officiel, jamais par SMS.
Famille proche en logique : faux site préfecture RDV titre de séjour qui exploite aussi l'angle « rendez-vous administratif » pour faire payer.
Comment reconnaître
- Domaine officiel : doctolib.fr (et l'app mobile). Tout autre domaine est frauduleux
- Doctolib confirme les vrais RDV via email ou notification push dans l'app, jamais par SMS avec lien de paiement
- En cas de doute légitime sur un RDV : ouvre l'app Doctolib pour vérifier — tu y verras tous tes rendez-vous en cours
- Aucun médecin libéral ne facture une « caution annulation » via Doctolib en 2026 (certains pratiquent des frais d'absence facturés a posteriori, mais jamais en amont via SMS)
Que faire si concerné
- Ne clique pas. Signale le SMS au 33700
- Si CB saisie partiellement (4 chiffres) : pas de danger immédiat — mais reste vigilant si l'attaquant rappelle par téléphone en se faisant passer pour la banque
- Si CB complète saisie : opposition immédiate
- Si code 3DS donné : appelle la banque dans la minute pour bloquer la transaction en cours
- Vérifie tes vrais RDV dans l'app Doctolib officielle
- Signale le numéro et le domaine à Doctolib via leur centre de sécurité
Sources
Sources
Même marque ou même canal
Alerte rédigée par l'équipe éditoriale killscam après recoupement de sources publiques (2 références citées ci-dessus). Première observation par notre veille le 02 mai 2026. Dernière vérification le 10 mai 2026.
Nos critères de publication, nos sources et nos garanties éditoriales sont détaillés sur la page méthodologie. Une info à corriger ou une nuance à ajouter ? écris-nous.