Faux SMS Engie « créance impayée » : nouvelle vague massive

Qu'est-ce qui se passe

« 38,42 € », « créance impayée », « coupure dans 48 h ». Le SMS arrive d'un numéro à 5 chiffres ou d'un ID expéditeur qui affiche tout simplement ENGIE dans l'écran de notification.

Le lien pointe vers un domaine en .top (variantes .shop également observées) qui rejoue la charte d'Engie particuliers et propose un formulaire de paiement classique : carte, expiration, CVV, puis une fausse confirmation 3D Secure pour intercepter le code SMS bancaire.

Comment ça marche

Le montant (38,42 €) n'est pas choisi au hasard : il ressemble à une mensualité de gaz ou d'électricité, ce qui réduit la dissonance pour la victime qui aperçoit un montant « plausible ». La technique du leurre psychologique combiné à l'urgence est documentée dans nos pages dédiées au smishing-paiement.

Trois éléments techniques notables sur cette vague :

• Domaines achetés en .top ou .shop, enregistrés peu avant la première salve : trop récents pour figurer sur les listes de blocage des opérateurs
• Hébergement derrière un CDN tiers (Cloudflare ou équivalent), ce qui rend le takedown lent
• Page de paiement servie en HTTPS, padlock vert dans le navigateur : la confiance « petit cadenas vert » ne protège plus contre ce type d'arnaque

Mécanisme identique à la vague Chronopost « 2,99 € » et à la variante Cdiscount de cette semaine. Le faux 3D Secure est le module commun.

Comment reconnaître

Engie ne réclame jamais un règlement par SMS direct avec lien de paiement. Toute relance officielle passe par un courrier, l'app, ou l'espace client particuliers.engie.fr.

• Le seul domaine officiel est engie.fr (ou un sous-domaine particuliers.engie.fr, pro.engie.fr)
• Un domaine engie-paiement.top, engie-fr.shop ou variante est frauduleux à coup sûr
• Le ton « sous 48 h », « coupure imminente », « dernier rappel » est le signal d'alerte le plus fiable

Que faire si concerné

1. Ne clique pas. Si le doute persiste, ouvre l'app Engie ou tape particuliers.engie.fr directement
2. Transfère le SMS au 33700 (gratuit, automatique) : cela alimente la base d'opposition des opérateurs
3. Signale sur signal-spam.fr si tu l'as reçu par email
4. Si la CB a déjà été saisie : opposition à la banque immédiate. Si le code 3DS a été donné : surveille tes paiements en temps réel via l'app bancaire ; les débits peuvent partir dans l'heure
5. Si tu as subi un préjudice : porte plainte au commissariat, à la gendarmerie ou en ligne (démarches sur service-public.fr), et signale la fraude à la carte sur Perceval. Cybermalveillance.gouv.fr t'oriente et peut te mettre en relation avec un professionnel, mais on n'y dépose pas plainte

Organismes cités

Ces liens mènent à la page d'accueil de chaque organisme, pas au bulletin ni à l'article qui atteste cette campagne.

• 33700.fr : Signalement SMS
• Cybermalveillance.gouv.fr
• Signal-Spam