Arnaque Doctolib : comment repérer le faux email qui promet un kit médical gratuit

Un tensiomètre, un oxymètre, un thermomètre infrarouge et une trousse de premiers secours. Gratuits, livrés chez vous, parce que vous avez été « sélectionné parmi des centaines de bénéficiaires ». Voilà ce que promet l’email qui circule depuis plusieurs semaines sous le logo bleu de Doctolib. Voilà aussi le colis que vous ne recevrez jamais.

La campagne est active en ce moment, par email et par SMS, et elle vise en priorité les publics les plus fragiles. Le montage est propre : mise en page quasi identique aux vrais messages, ton mesuré, aucune faute grossière. Je vais vous montrer comment ce faux message est fabriqué, les cinq détails qui le trahissent, et le réflexe qui rend l’arnaque totalement inoffensive.

Ce que promet le faux Doctolib, et pourquoi ça prend

Le scénario est toujours le même. Vous auriez été retenu dans le cadre d’un sondage santé, et il ne reste qu’une formalité : répondre à quelques questions rapides, ou cliquer sur un bouton pour « valider votre commande en quelques secondes ». Certains messages poussent le détail jusqu’à afficher votre pseudo ou votre identifiant en gros caractères, histoire de vous faire croire que l’expéditeur vous connaît déjà.

Ce qui suit est un phishing classique (hameçonnage en français) : le faux formulaire collecte vos données personnelles, puis vos coordonnées bancaires. Si vous voulez le mécanisme en détail, je l’ai décortiqué dans mon guide sur les bons réflexes anti-phishing.

Pourquoi ce prétexte fonctionne mieux qu’un autre ? Parce qu’il coche trois cases d’un coup. Doctolib est une marque que presque tout le monde utilise pour prendre un rendez-vous médical, donc l’email n’a rien d’incongru dans une boîte de réception. Le contexte santé désarme la méfiance, surtout chez les personnes âgées. Et la promesse reste petite : un colis gratuit, pas un héritage nigérian. Personne ne se méfie d’un thermomètre. C’est exactement le même ressort que l’arnaque aux faux emails de la CNIL ou que la vague de faux messages du fisc de ce mois-ci : une institution rassurante, un service qui paraît normal, et vous baissez la garde.

Les 5 détails qui trahissent le faux message

1. L’adresse de l’expéditeur. Pour ses messages aux patients, Doctolib n’écrit que depuis quatre adresses : no-reply@doctolib.fr pour vos rendez-vous, no-reply@email.doctolib.com, no-reply@infos.doctolib.com et no-reply@news.doctolib.com pour le reste. Tout ce qui sort de cette liste part à la corbeille.
2. Le domaine du lien. Les messages repérés pointent vers des domaines en .us sans aucun rapport avec Doctolib, servis par des serveurs relais installés en Argentine. Survolez le bouton sans cliquer, l’adresse réelle s’affiche en bas de votre navigateur ou de votre application mail.
3. La promesse elle-même. Doctolib gère des rendez-vous et des téléconsultations. Le matériel médical, ce n’est pas son métier, et ça ne l’a jamais été. Une marque qui vous offre soudain un produit qu’elle ne vend pas, c’est le signal le plus fiable de tous.
4. La demande d’argent ou de RIB. Frais de port symboliques, « caution » de deux euros, vérification d’identité bancaire : peu importe l’habillage. Doctolib ne demande jamais vos coordonnées bancaires. Un cadeau qui réclame votre carte n’est pas un cadeau.
5. La flatterie et l’urgence. « Sélectionné parmi des centaines de bénéficiaires », « offre valable 24 heures », votre identifiant affiché en gras. Ces trois ingrédients servent à court-circuiter votre réflexion. Un vrai service de santé ne vous met pas de chronomètre sous le nez.

Sur smartphone, le survol ne marche pas : voici comment vérifier

Le conseil du survol de souris est parfait sur ordinateur. Sur téléphone, il ne sert à rien : il n’y a pas de curseur, et un doigt qui touche un bouton, ça ouvre le lien. La parade tient en un geste : appuyez longuement sur le lien sans relâcher. Android comme iOS affichent alors un aperçu avec l’adresse complète de destination. Lisez ce qui se trouve juste avant le premier « / » qui suit « https:// » : c’est le vrai domaine. Si ce n’est pas doctolib.fr ou doctolib.com, relâchez à côté du lien et supprimez le message. Petit conseil : montrez ce geste aux proches que vous dépannez, il vaut tous les discours, et je l’ai remis dans son contexte avec les autres réflexes utiles dans mon guide de sécurité Internet pour les seniors.

Pour les SMS, la règle est encore plus simple : les messages Doctolib affichent toujours « Doctolib » comme expéditeur, jamais un numéro en 06 ou en 07. Un texto de ce type qui arrive d’un numéro de portable est frauduleux à 100 %, et les autres signaux valables pour ce canal sont dans mon article sur les 7 signaux d’alerte d’une arnaque par SMS.

Le badge bleu : un bon indice, pas une preuve

Sur Gmail et Yahoo, les vrais messages Doctolib affichent un badge bleu de vérification à côté du nom de l’expéditeur. Sa présence est rassurante : elle indique que le domaine a été authentifié par le service de messagerie. Voilà pour la bonne nouvelle.

Maintenant la nuance qui compte : son absence ne prouve rien. Orange Mail et Outlook n’affichent pas ce badge, et pas mal de gens en France sont chez l’un ou chez l’autre. Si vous relevez votre courrier sur ces services, ce critère ne vous sert à rien, et vous devez en rester à la vérification de l’adresse d’expéditeur et du lien. Un badge présent est un point positif. Un badge absent est un non-événement.

Pour les curieux, ce badge repose sur un standard qui s’appelle BIMI (Brand Indicators for Message Identification). Concrètement, la marque publie son logo dans ses enregistrements DNS et prouve son identité via DMARC ; la messagerie vérifie la correspondance, puis affiche la coche. Un escroc qui n’a pas la main sur le domaine doctolib.fr ne peut pas fabriquer ce badge. C’est donc un signal fiable quand il est là, et rien du tout quand il manque.

Le réflexe qui rend cette arnaque inoffensive

Vous voulez une méthode qui marche à tous les coups, sans avoir à jouer les experts en analyse d’en-têtes ? La voici : ne cliquez jamais sur le lien d’un message, ouvrez vous-même l’application Doctolib ou tapez doctolib.fr dans votre navigateur. Connectez-vous à votre compte. Si une information vous concerne vraiment, elle s’y trouve.

Ce réflexe désamorce l’intégralité des campagnes d’usurpation, celle-ci comme les suivantes, parce qu’il supprime le seul point d’entrée dont les escrocs disposent : le lien qu’ils contrôlent. Aucun rappel de rendez-vous, aucun sondage, aucune offre légitime ne vous obligera jamais à passer par un bouton reçu par email. Le chemin que vous empruntez vous-même est toujours le bon.

Vous avez cliqué ou rempli le formulaire ? Agissez maintenant

Si vous avez saisi vos coordonnées bancaires, appelez votre banque tout de suite pour faire opposition, puis surveillez vos relevés pendant plusieurs semaines. Les débits frauduleux tombent rarement le jour même : les escrocs testent souvent la carte avec un tout petit montant avant de passer aux choses sérieuses. Si un prélèvement passe, exigez le remboursement auprès de votre banque et déposez plainte.

Si vous avez livré un mot de passe, changez-le immédiatement sur votre compte Doctolib et sur tous les sites où vous utilisez le même. Oui, tous. Et si cette phrase vous donne des sueurs froides, c’est le signe qu’il vous faut un gestionnaire de mots de passe.

Dans tous les cas, signalez. Doctolib traite les messages frauduleux transférés à phishing@doctolib.com et demande la fermeture des faux sites. Les SMS se transfèrent gratuitement au 33700, et la tentative se signale sur la plateforme publique internet-signalement.gouv.fr. Gardez vos captures d’écran, elles servent en cas de plainte. Et si vous vous sentez perdu, le guichet public 17cyber.gouv.fr pose un diagnostic en quelques questions et vous met en relation avec un policier ou un gendarme quand la situation le justifie. Deux minutes de civisme, et le faux site tombe plus vite pour tout le monde.

La règle que je garderais si je n’en gardais qu’une

Trois choses à retenir. Doctolib ne distribue pas de kit médical et ne demandera jamais votre carte bancaire. Vérifiez l’expéditeur, qui doit se terminer par doctolib.fr ou doctolib.com, et ignorez le reste. Et si je ne devais garder qu’une règle : on n’entre jamais dans son compte santé par un lien reçu, on y entre par l’application ou par l’adresse tapée à la main. Tant que vous tenez cette ligne, ce genre de campagne peut s’acharner, elle ne vous atteindra pas.

Cela pourrait aussi vous intéresser

Voix clonée par IA au téléphone : comment repérer une arnaque façon « faux enlèvement » avant de paniquer Arnaque au remboursement d’impôt : repérer les faux messages du fisc Arnaque par SMS : 7 signaux d’alerte pour la repérer Arnaque CNIL : ces faux emails qui promettent d’effacer vos données après une fuite