Le 2 novembre 2026, un téléphone en Autriche a affiché un SMS venant de +43 676 6299131. En allemand, il disait que l’inscription FinanzOnline avait expiré ce jour-là, et demandait au lecteur de mettre ses données à jour. Le lien était finanz.on-datenerneuerung.cc. Le numéro à l’écran est celui que le téléphone affichait. Un numéro affiché peut être choisi par l’expéditeur. Ce n’est pas un bureau du ministère des Finances.
FinanzOnline est le vrai service en ligne du ministère fédéral autrichien des Finances. Les particuliers y déclarent leurs impôts, et les entreprises aussi. On y accède sur finanzonline.bmf.gv.at. Le 18 octobre 2026, le ministère a de nouveau mis en garde contre des SMS, des courriels, des appels et des sites copiés qui utilisent les noms du ministère, du fisc, des douanes et de FinanzOnline. Un vrai avis, disait-il, est une décision signée numériquement, envoyée par la poste ou dans la FinanzOnline Databox. Le ministère ne demande pas de mot de passe, de carte ni de coordonnées de compte. Watchlist Internet, le guichet de signalement tenu par l’Institut autrichien des télécommunications appliquées, résume la même règle en une ligne pour cette vague précise : le ministère n’envoie pas de SMS qui contient un lien.
Le SMS du 2 novembre est cette vague, avec un nouvel hôte. La page copie le portail, puis demande la personne, puis l’IBAN et la banque.
Comment ça se passe
- Un SMS dit que l’inscription FinanzOnline a expiré, ou est sur le point d’expirer. La date est aujourd’hui, ou un jour tout proche, pour que le message ait l’air d’une échéance plutôt que d’une circulaire.
- Le lien n’est pas finanzonline.bmf.gv.at. Dans ce message, l’hôte était finanz.on-datenerneuerung.cc, construit à partir de « finanz » et d’un mot allemand pour le renouvellement des données. La page qui s’ouvrait utilisait https. Un cadenas veut dire que la connexion est chiffrée. Il ne dit rien sur le propriétaire du site.
- La page est habillée en FinanzOnline. La marque rouge, les mots « Bundesministerium Finanzen », et une case disant que l’inscription arrive à échéance. Le formulaire demande un nom complet, un courriel, une date de naissance, un numéro de téléphone et une adresse, jusqu’à l’escalier et le numéro de porte.
- Sous l’adresse, il demande l’IBAN, puis quelle banque. Une note jaune dit que la banque doit être reliée pour que les étapes automatiques futures puissent être exécutées. Le champ banque est marqué comme obligatoire. C’est l’étape où les coordonnées du compte partent. La vraie connexion FinanzOnline ne collecte pas d’IBAN à l’entrée.
- Le bouton dit « Weiter », continuer. Cette page n’est pas la fin du formulaire. Le compte rendu de Watchlist sur le même schéma dit que la page suivante est habillée comme la propre banque de la personne et demande l’identifiant de banque en ligne. La police du Land de Vorarlberg a décrit ce qui peut suivre le formulaire : un appel au sujet d’un virement suspect, avec une demande d’approuver une notification push sur le téléphone, et, dans d’autres cas, des instructions pour déplacer de l’argent à un distributeur afin de le « mettre à l’abri ».
Les signes
Le SMS et la page ci-dessous ont été ouverts pour voir ce que faisait le lien. Rien n’a été saisi dans le formulaire.
La barre d’adresse est la vérification. La seule adresse FinanzOnline est finanzonline.bmf.gv.at, saisie à la main, ou un favori que vous avez créé vous-même. Un hôte qui contient simplement le mot « finanz », en .cc ou avec n’importe quelle autre terminaison, est un autre site.
Le formulaire est la deuxième vérification. Une connexion demande un identifiant. Cette page demande une rue, un numéro de porte, un IBAN et une banque, et elle ne continue pas tant qu’une banque n’est pas choisie. L’exemple antérieur du même masque chez Watchlist demandait un nom, une date de naissance, un code postal, un numéro de téléphone, un numéro de compte et une banque, puis passait à la connexion bancaire.
Le pied de page est la troisième vérification, et il est là pour vous tromper. Mentions légales, confidentialité, et une ligne sur Fred, le chatbot de l’administration des finances, sont les mots du vrai portail. Sur des copies antérieures, Watchlist a constaté que ces liens ouvrent vraiment les pages du ministère. Un lien qui quitte le formulaire ne fait pas du formulaire le ministère.
La date dans le SMS est changée au fil de la vague. Un message listé par Watchlist dit que l’identifiant FinanzOnline expire le 24 octobre 2026 et pointe vers finanzonline2.cc. Des hôtes antérieurs cités dans les mises en garde publiques comprennent finanz.online-reaktivierung.cc et finanz.online-erneuern.cc. La phrase est la même. L’hôte est la partie qu’ils changent.
Une page que vous voulez consulter sans l’ouvrir peut passer par le vérificateur de site. Le vérificateur lit l’adresse. Il ne demande pas d’IBAN, de nom ni de banque.
La même forme, avec un autre fisc sur l’en-tête, c’est le courriel de remboursement HMRC qui n’est pas le HMRC.
Cas et chiffres
Cet hôte est nouveau. Une consultation publique d’enregistrement montre que on-datenerneuerung.cc a été créé le 21 octobre 2026, douze jours avant le SMS. Le bureau d’enregistrement est NiceNIC International Group Co., Limited. Le nom du titulaire est masqué. L’enregistrement indique les États-Unis et aucune organisation, ce qui n’identifie pas qui a envoyé les messages. Les serveurs de noms appartiennent à Cloudflare, donc l’enregistrement public cache aussi la machine derrière le site. Aucune mise en garde du ministère trouvée le 2 novembre 2026 ne nomme cet hôte exact. Le schéma autour est déjà décrit. L’hôte que Watchlist liste pour le SMS du 24 octobre, finanzonline2.cc, est un enregistrement distinct : créé le 22 octobre 2026, via CNOBIN Information Technology Limited, sur des serveurs de noms qui ne sont pas ceux de Cloudflare. Même costume, enregistrement différent.
La mise en garde du ministère du 18 octobre 2026 cite, parmi les histoires racontées, les « tentatives de connexion suspectes et les mises à jour nécessaires sur FinanzOnline », à côté des remboursements d’impôt, du bonus climat, des allocations familiales, des mises en demeure impayées et des questions sur les avoirs en crypto. Une mise en garde de janvier 2026 décrit des courriels disant aux entreprises que les données de la société dans FinanzOnline doivent être vérifiées via un formulaire lié, sur une page au style FinanzOnline qui demande des données personnelles et des coordonnées de paiement. Le ministère a dit que ces messages et ces pages étaient des faux.
Watchlist Internet appelle ces SMS une vague de longue durée visant les coordonnées de contact et les coordonnées bancaires. Le site de sécurité en ligne du gouvernement fédéral décrit le jumeau sur finanz.online-erneuern.cc : après le formulaire, une seconde page demande à la personne de se connecter à la banque en ligne, ce que le vrai portail FinanzOnline ne fait pas.
Dans le Vorarlberg, la police du Land a dit à VOL.AT que des signalements de ce schéma avaient déjà été déposés. Elle n’a pas donné de nombre de cas ni de total des pertes. La chambre du travail a dit au même média que les demandes sur les semaines et les mois récents se comptaient par quelques centaines, et que les pertes abouties étaient rares. Le média décrit aussi un cas de l’année précédente dans lequel 180 000 € ont été perdus. C’est un cas signalé, pas un total national, et la police ne l’a pas repris comme son chiffre.
Que faire et où le signaler
Ne saisissez rien sur la page. N’appuyez pas sur « Weiter ». Supprimez le SMS. Si quelque chose dans l’inscription mérite vraiment un coup d’œil, saisissez finanzonline.bmf.gv.at. Un message dans cette boîte, ou une lettre, c’est ainsi que le ministère dit vous écrire.
Si le formulaire a déjà été envoyé, l’IBAN et le nom de la banque sont partis, même quand aucun argent n’a bougé.
Appelez la banque au numéro imprimé sur la carte ou sur un relevé. Dites qu’un IBAN, et le nom de la banque, ont été saisis sur une page ouverte depuis un SMS FinanzOnline. Demandez-leur de surveiller le compte et d’arrêter un virement que vous n’avez pas fait. Si une page ultérieure a demandé un identifiant de banque en ligne, ou si un appelant vous a demandé d’approuver une notification push, demandez à la banque de verrouiller la banque en ligne et d’émettre un nouvel accès. La police du Vorarlberg a dit à VOL.AT qu’un virement qui vient tout juste d’être fait peut parfois encore être stoppé, et que l’appel urgent est celui à la banque. Utilisez le numéro que vous aviez déjà. Un appelant qui se présente comme la banque, et qui a besoin d’une confirmation pour annuler un paiement, est l’étape que la police a décrite.
Un signalement peut se faire dans un commissariat. Une suspicion de cybercriminalité peut aussi aller au point de signalement indiqué par les pages de sécurité en ligne du ministère de l’Intérieur. Le SMS, avec une capture et les champs que vous avez remplis, peut aller à Watchlist Internet. Ils publient des mises en garde anonymisées. Ils ne récupèrent pas l’argent. C’est la banque qui fait cette partie.
Ne retournez pas sur la page pour effacer ce qui a été envoyé. Il n’y a rien sur cette page que vous puissiez effacer. Si un mot de passe FinanzOnline a été saisi quelque part en chemin, ne le changez qu’après avoir ouvert finanzonline.bmf.gv.at vous-même.
Commencez par Obtenir de l’aide. Un appelant ultérieur qui propose de récupérer l’argent, ou de sécuriser le compte contre des frais, est une seconde approche de la même personne : Recouvrement.
Ces informations sont générales : elles ne constituent ni un conseil juridique ni un conseil financier. Les règles et les chiffres changent. Si l’argent est déjà parti, contactez la banque et les autorités via les pages d’aide.