Faux mail EDF ou Engie : « remboursement en attente »

« Un remboursement de 148,20 € est en attente. » « Votre facture d'énergie présente un trop-perçu. » Ces faux messages se font passer d'EDF, d'Engie ou d'un autre fournisseur d'électricité et de gaz. Leur but est simple : récupérer vos identifiants et vos données bancaires sur un faux site.

Comment fonctionne l'arnaque

L'email imite le logo et les couleurs de votre fournisseur. Il dit que vous avez payé trop, ou qu'un avoir vous attend. Pour le recevoir, il faut cliquer sur un bouton et « confirmer vos coordonnées bancaires ».

Le lien mène vers une copie du site. On vous demande :

• votre identifiant et votre mot de passe d'espace client ;
• votre adresse, votre numéro de client ;
• puis votre carte bancaire, « pour le virement ».

Souvent, un code reçu par SMS est ensuite demandé. C'est le code de votre banque : en le donnant, vous validez un paiement à votre place.

Une variante menace au lieu de promettre : « facture impayée », « coupure sous 48 heures ».

Les signes qui doivent vous alerter

• L'adresse de l'expéditeur ne correspond pas au fournisseur : le nom affiché dit « EDF », mais l'adresse vient d'un autre domaine.
• Un message impersonnel : « Cher client », sans votre nom ni détail sur votre contrat.
• Un montant précis, sans explication : aucune période, aucune facture citée.
• Une urgence : « sous 24 heures », « dernier rappel ».
• Un lien vers un site qui n'est pas celui du fournisseur. Passez la souris dessus sans cliquer pour voir l'adresse.
• Une demande de carte bancaire pour recevoir de l'argent. Cela n'a aucun sens.

Les bons réflexes

1. Ne cliquez pas et ne répondez pas.
2. Ouvrez vous-même votre espace client, avec l'adresse tapée dans le navigateur ou l'application officielle.
3. Comparez avec vos factures : un vrai trop-perçu y est visible.
4. Signalez l'email sur signal-spam.fr, ou le SMS en le transférant au 33700.
5. Si le message est frauduleux, vous pouvez aussi le signaler sur Pharos (internet-signalement.gouv.fr).

Et si j'ai déjà cliqué ou payé ?

• Vous avez saisi votre carte : appelez votre banque tout de suite pour faire opposition.
• Vous avez donné un code reçu par SMS : prévenez aussi votre banque, car un paiement a pu être validé.
• Vous avez saisi votre mot de passe : changez-le sur le vrai site, et partout où vous l'utilisez.
• Vous avez perdu de l'argent : déposez plainte et gardez le message comme preuve.
• Cybermalveillance.gouv.fr propose un diagnostic et des conseils adaptés.
• Restez prudent les semaines suivantes : vos données peuvent servir à un faux conseiller bancaire (voir le faux conseiller bancaire).

Le schéma ressemble à celui du faux remboursement d'impôts : voir aussi le faux mail de remboursement d'impôts et la définition du phishing.

Vérifiez l'email avec Fishi

Un message vous semble louche ? Transférez-le à check@fishi.email, de préférence en pièce jointe pour que les détails techniques soient conservés. Fishi examine l'expéditeur, les liens et le contenu, puis vous répond avec un verdict clair et ce qu'il faut faire. C'est gratuit et sans compte. Aucun outil n'est infaillible : en cas de doute, passez toujours par le site officiel.