En 2026, la plateforme Safeonweb a recensé près de 10 millions de signalements de messages suspects sur l’année écoulée.

Bien évidemment, ce chiffre dit quelque chose d’important : les fraudes numériques ne ciblent plus seulement les grandes entreprises. Elles s’attaquent aussi aux citoyens, directement dans leurs démarches administratives du quotidien.

MyMinfin, My eBox, Tax-on-web, itsme… Ces outils sont devenus indispensables pour gérer sa vie administrative en Belgique.

Mais leur popularité en fait aussi des cibles privilégiées pour les fraudeurs. Phishing par e-mail, faux appels téléphoniques, usurpation d’identité : les méthodes se diversifient, et elles deviennent de plus en plus difficiles à détecter.

Aujourd’hui, ce guide a été conçu pour vous aider à comprendre les risques, reconnaître les tentatives de fraude et, surtout, protéger vos comptes administratifs de manière concrète. On y aborde aussi les bons réflexes à adopter si vous pensez avoir été victime d’une arnaque.

Pourquoi les comptes administratifs belges sont-ils particulièrement ciblés ?

Il serait tentant de penser que les fraudes numériques ne concernent que les transactions bancaires ou les achats en ligne.

En réalité, vos accès aux services publics belges sont tout aussi convoités — et souvent moins bien protégés.

Des plateformes numériques au cœur de votre vie administrative

Pour comprendre pourquoi ces plateformes intéressent autant les fraudeurs, il faut d’abord mesurer ce qu’elles contiennent.

MyMinfin centralise vos informations fiscales, vos remboursements et vos dettes éventuelles envers le fisc.

Autrement, My eBox regroupe l’ensemble de vos documents officiels : avis d’imposition, courriers de la mutualité, correspondances de la commune.

En outre, Tax-on-web vous permet de valider votre déclaration d’impôts. MyPension donne accès à votre dossier de retraite.

Et itsme — utilisé pour s’identifier sur ces mêmes plateformes — est la clé numérique qui ouvre toutes ces portes à la fois. Pour saisir précisément ce que représente cet outil au quotidien, il faut comprendre comment itsme permet de créer, sécuriser et utiliser son identité numérique en Belgique.

Voilà pourquoi prendre le contrôle d’un seul de ces accès peut suffire à usurper l’identité d’un citoyen.

Un fraudeur qui pénètre votre compte itsme peut potentiellement consulter vos données fiscales, modifier des coordonnées bancaires pour un remboursement, ou encore accéder à des informations sensibles sur votre situation personnelle.

Des fraudes en hausse constante : les chiffres belges qui alertent

Les statistiques dressent un tableau préoccupant, et les autorités belges ne cachent plus leur inquiétude.

Près de 10 millions de messages suspects ont été signalés en 2026 à Safeonweb, la plateforme nationale de cybersécurité.

Dans le même temps, le bouclier BAPS — un système de blocage automatique des liens malveillants — a été activé plus de 200 millions de fois sur la même période.

Autre signal d’alarme : le vishing, la fraude par appel téléphonique, a explosé. En décembre 2024, un seul signalement avait été enregistré.

En décembre 2025, ce chiffre atteignait 226. Une multiplication par plus de deux cents en douze mois, qui témoigne d’un glissement clair vers des arnaques plus personnalisées et plus agressives.

L’intelligence artificielle au service des fraudeurs

Ce qui rend la situation encore plus délicate, c’est que les outils dont disposent les fraudeurs ont radicalement évolué ces dernières années.

En effet, l’intelligence artificielle leur permet aujourd’hui de personnaliser des e-mails frauduleux à grande échelle, en reprenant votre prénom, votre commune, ou même des informations glanées sur les réseaux sociaux.

Les deepfakes vocaux permettent d’imiter la voix d’un conseiller bancaire ou d’un fonctionnaire. Les faux sites sont désormais visuellement quasiment identiques aux originaux.

Le spear phishing — une technique d’hameçonnage ciblée et personnalisée — s’est ainsi développé au point de toucher des profils qui ne se considéraient pas comme vulnérables. Être prudent ne suffit plus. Il faut être informé.

Les 5 types de fraudes visant vos comptes administratifs belges

Toutes les fraudes ne se ressemblent pas. Certaines arrivent par e-mail, d’autres par téléphone ou par courrier postal.

Dans ce cadre, comprendre leurs mécanismes, c’est déjà se donner les moyens de les reconnaître.

Le phishing par e-mail au nom du SPF Finances

C’est la fraude la plus répandue, et elle continue de faire des victimes malgré les campagnes de sensibilisation.

Le scénario est classique : vous recevez un e-mail apparemment envoyé par le SPF Finances, vous informant d’une dette de quelques dizaines d’euros à régulariser dans les 48 heures.

Le message est soigné, le logo est fidèle, et l’urgence crée une pression psychologique qui pousse à agir sans réfléchir.

Justement, le réflexe à avoir : vérifier le numéro de compte bénéficiaire. Le SPF Finances utilise exclusivement un compte dont la structure est BEXX 6792 XXXX XXXX. Tout autre format, aussi officiel que le message puisse paraître, doit immédiatement éveiller des soupçons.

Les fausses notifications My eBox

My eBox est aujourd’hui le canal officiel par lequel de nombreux organismes publics vous transmettent des documents. C’est aussi un vecteur de fraude en pleine progression.

Des messages imitant les notifications My eBox circulent régulièrement. Ils signalent un document urgent à télécharger — une amende, un certificat, un avis fiscal — et redirigent vers un faux portail qui demande vos identifiants ou un paiement.

À savoir : My eBox ne facture jamais l’accès à un document. Tous les courriers officiels disponibles sur la plateforme sont gratuits. Si un message vous demande de payer pour consulter un document officiel belge, c’est une arnaque.

D’autres espaces numériques publics partagent cette logique de gratuité et de sécurité — c’est notamment le cas de l’espace personnel sur Enseignement.be, qui centralise les démarches liées à l’éducation et mérite la même vigilance à chaque connexion.

L’usurpation d’itsme et de MyGov.be

itsme est la porte d’entrée numérique de millions de Belges. Sa compromission est donc particulièrement grave.

Il faut savoir qu’itsme ne contacte jamais ses utilisateurs par e-mail, SMS ou appel téléphonique pour leur demander de réactiver leur compte, de confirmer leurs données ou de saisir leurs informations bancaires. Tout message de ce type est frauduleux, sans exception.

Les fraudeurs envoient parfois une fausse notification de connexion via itsme pour créer la panique, puis appellent en se faisant passer pour un agent de sécurité.

L’objectif est de vous inciter à confirmer une action dans votre application alors que vous autorisez en réalité une opération bancaire à votre insu.

Les faux huissiers et courriers officiels falsifiés

Cette fraude est plus rare, mais elle est aussi l’une des plus déstabilisantes pour les victimes, car elle s’appuie sur la peur d’une procédure judiciaire.

Des courriers imitant des actes d’huissier sont parfois envoyés pour réclamer des sommes dues à l’État belge. Ils peuvent être visuellement très convaincants, avec des en-têtes officiels, des références de dossier fictives et des délais de paiement très courts.

Règle fondamentale : les huissiers qui collaborent avec le SPF Finances ne transmettent jamais de documents officiels par e-mail.

Une demande de paiement urgent envoyée par voie électronique et prétendument émanant d’un huissier doit toujours être vérifiée directement auprès du SPF concerné, en appelant les numéros officiels.

Le vishing : la fraude par appel téléphonique en plein essor

Le vishing est la déclinaison téléphonique du phishing. Il progresse à une vitesse inquiétante en Belgique.

L’arnaque suit généralement le même schéma : un appel provenant d’un numéro inconnu, parfois international, suivi d’un message automatisé vous informant d’un problème urgent sur votre compte. Vous êtes invité à rappeler un numéro ou à rester en ligne pour être mis en contact avec un «agent».

Les fraudeurs se font passer pour la police, Proximus, Argenta, Card Stop ou encore des agents du SPF.

De nos jours, Safeonweb recense des vagues d’appels imitant ces interlocuteurs à une fréquence inédite. Les organismes gérant des prestations sociales, comme ceux accessibles via l’espace client Famiris, sont également usurpés dans ce type d’appels pour extorquer des informations personnelles.

Toutefois, si un appel non sollicité vous réclame des données, raccrochez et rappelez l’organisme via son numéro officiel.

Comment sécuriser vos comptes administratifs belges ?

Connaître les menaces, c’est bien. Savoir comment s’en prémunir concrètement, c’est mieux. Voici les étapes essentielles pour protéger vos accès administratifs en ligne.

Sécuriser votre accès itsme

itsme est le maillon central de votre identité numérique en Belgique. Sa sécurité mérite une attention particulière.

Toujours initier une action depuis l’application officielle elle-même, et jamais en cliquant sur un lien reçu par SMS ou e-mail.

Activer la reconnaissance biométrique ou un code PIN robuste. Ne jamais confirmer une notification itsme que vous n’avez pas déclenchée vous-même.

Si vous recevez un message vous demandant de vous connecter via itsme en cliquant sur un lien ou en choisissant votre banque dans une liste, il s’agit presque certainement d’une tentative d’hameçonnage. Une demande d’identification légitime via itsme s’effectue toujours à votre initiative, depuis un service officiel.

Naviguer en sécurité sur MyMinfin et My eBox

Ces deux plateformes sont au cœur de vos démarches fiscales et administratives. Quelques habitudes simples peuvent considérablement réduire les risques.

Toujours accéder à MyMinfin (myminfin.be) et à My eBox (myebox.be) en tapant l’adresse directement dans la barre de votre navigateur.

Ne jamais cliquer sur un lien reçu par e-mail ou SMS pour y accéder. Les instances officielles communiquent via ces plateformes, pas uniquement par e-mail.

En cas de doute sur un document présent dans votre eBox, ne téléchargez rien et connectez-vous directement depuis votre navigateur pour vérifier son authenticité. Un document officiel sera toujours accessible via la plateforme elle-même.

Les bons réflexes universels pour tous vos comptes publics

Au-delà des spécificités de chaque plateforme, certains réflexes s’appliquent à l’ensemble de vos démarches administratives en ligne.

• Vérifier systématiquement l’URL exacte avant de saisir vos identifiants (myminfin.be, myebox.be, itsme-id.com).
• Ne jamais partager votre code PIN, votre mot de passe ou un code reçu par SMS, même à quelqu’un qui se présente comme un agent officiel.
• Utiliser un mot de passe unique et robuste pour chaque plateforme.
• Installer l’extension de navigateur Safeonweb, qui bloque automatiquement les liens malveillants connus.
• Télécharger l’application Safeonweb pour recevoir des alertes en temps réel sur les nouvelles campagnes de fraude.
• Consulter régulièrement vos accès actifs sur itsme pour vérifier qu’aucun service inconnu n’y est connecté.

Le certificat HTTPS : une fausse sécurité à ne pas négliger

Beaucoup de personnes pensent encore qu’un site sécurisé — reconnaissable au petit cadenas dans la barre d’adresse — est forcément un site de confiance. Ce n’est plus vrai.

Les fraudeurs utilisent désormais des certificats SSL pour légitimiser leurs faux sites. Un cadenas ou la mention « https » garantit uniquement que la connexion entre votre navigateur et le site est chiffrée.

Cela ne dit rien sur la fiabilité du site lui-même. Vérifiez toujours l’adresse complète, pas seulement le protocole.

Vous avez reçu un message suspect ou êtes victime : que faire immédiatement ?

Même avec les meilleures précautions, personne n’est à l’abri d’un moment d’inattention. Ce qui compte alors, c’est la rapidité de la réaction. Voici le protocole à suivre selon votre situation.

Si vous avez reçu un message suspect sans avoir cliqué

Ne pas interagir avec le message est déjà un bon réflexe. Mais il ne suffit pas de l’ignorer.

Transférez l’e-mail suspect à suspect(@)safeonweb.be. Si vous avez reçu un SMS frauduleux, envoyez une capture d’écran à cette même adresse. En signalant ces messages, vous contribuez à protéger d’autres Belges, car Safeonweb peut ainsi déclencher des blocages automatiques à grande échelle.

Si vous avez cliqué sur un lien ou fourni des informations

La situation est plus sérieuse, mais il est souvent encore possible de limiter les dégâts.

Si la page frauduleuse est encore ouverte, ne remplissez aucun champ et fermez-la immédiatement. Si vous avez déjà saisi un mot de passe, modifiez-le en urgence sur toutes les plateformes où vous l’utilisez.

Ne communiquez aucun code reçu par SMS, même si votre interlocuteur prétend en avoir besoin pour «sécuriser» votre compte.

Si vous avez transmis des données personnelles sensibles — numéro de registre national, coordonnées bancaires — signalez-le à la plateforme concernée dès que possible et surveillez activement votre compte bancaire dans les jours suivants.

Si de l’argent a disparu ou si vous avez effectué un virement

Chaque minute compte. Plus vite vous réagissez, plus vous avez de chances de bloquer les fonds avant qu’ils ne soient transférés.

Contactez immédiatement votre banque et appelez Card Stop au 078 170 170, disponible 24h/24. Déposez ensuite une plainte auprès de la police locale.

Conservez toutes les preuves : e-mails, SMS, captures d’écran, historiques d’appels. Ces éléments seront essentiels pour le suivi de votre dossier.

Où signaler une fraude administrative en Belgique ?

Il existe plusieurs canaux officiels, selon la nature de la fraude. Voici les contacts à retenir.

FAQ : les questions que les Belges posent sur la fraude administrative

Ces questions reviennent régulièrement et méritent des réponses claires, sans jargon technique.

Le SPF Finances peut-il m’envoyer un e-mail pour me demander un paiement ?

Le SPF Finances peut envoyer des e-mails d’information, mais il ne vous demandera jamais d’effectuer un paiement via un lien contenu dans un message. Tout paiement légitime se fait via MyMinfin ou par virement vers un compte structuré BEXX 6792 XXXX XXXX.

Comment savoir si une notification My eBox est authentique ?

Une notification authentique de My eBox vous informe simplement qu’un document est disponible. Elle ne contient jamais de lien direct vers un formulaire de paiement, et elle ne vous demande pas de saisir vos identifiants. En cas de doute, connectez-vous directement sur myebox.be en tapant l’adresse dans votre navigateur.

itsme peut-il être piraté ?

La plateforme itsme est robuste. Le risque vient presque toujours d’une manipulation : vous êtes trompé pour confirmer une action dans l’application que vous n’avez pas initiée. Ne confirmez jamais une notification itsme sans en être à l’origine vous-même.

Que faire si j’ai communiqué mon code PIN par téléphone ?

Agissez immédiatement. Bloquez votre accès itsme depuis l’application, contactez votre banque si le code était lié à des opérations bancaires, et déposez une plainte auprès de la police. Signalez également l’incident à suspect(@)safeonweb.be.

Un huissier peut-il me contacter par WhatsApp au nom de l’État belge ?

Non. Les huissiers mandatés par les autorités belges n’utilisent pas WhatsApp, les SMS ou les e-mails pour transmettre des actes officiels. Un acte d’huissier authentique est toujours remis en mains propres ou par courrier recommandé. Tout contact via une messagerie instantanée est une fraude.

Ressources et outils officiels pour rester protégé

Se tenir informé est l’une des meilleures protections qui existe. Ces ressources officielles belges sont gratuites, fiables et régulièrement mises à jour.

• safeonweb.be — le site de référence du Centre pour la Cybersécurité Belgique. Alertes en temps réel, conseils pratiques et signalement de messages suspects.
• suspect(@)safeonweb.be — l’adresse pour transférer tout e-mail ou SMS douteux. Un simple transfert suffit.
• Application Safeonweb (iOS / Android) — recevez des alertes push dès qu’une nouvelle campagne de fraude est détectée en Belgique.
• Extension navigateur Safeonweb — disponible sur Chrome et Firefox, elle bloque les liens malveillants connus avant que vous ne les ouvriez.
• fin.belgium.be — les alertes fraude publiées régulièrement par le SPF Finances.
• itsme-id.com/fr/phishing — la page officielle d’itsme dédiée aux fraudes, avec des exemples concrets de tentatives en circulation.
• ccb.belgium.be — guides thématiques du Centre pour la Cybersécurité Belgique, pour les citoyens comme pour les entreprises.

La fraude administrative évolue sans cesse. Mais une information solide, quelques réflexes bien ancrés et une réaction rapide en cas de doute suffisent à réduire considérablement les risques. En cas d’incertitude, la règle reste la même : ne rien faire dans la précipitation, vérifier via les canaux officiels, et signaler.