C4-first.ch arnaque : la FINMA a listé le site le 21 octobre

L’autorité suisse a publié une alerte nominative le 21 octobre 2026

Le nom c4-first.ch figure depuis le 21 octobre 2026 sur la liste d’alerte de l’Autorité fédérale de surveillance des marchés financiers. L’onglet de la fiche annonce, en clair, qu’aucune inscription au registre du commerce ne couvre l’exploitant. Cinq jours avant notre passage, donc, le régulateur suisse a jugé utile de signaler publiquement ce site, et le motif qu’il a retenu est administratif, pas commercial.

La suite du dossier tient dans un écart. La vitrine se présente comme C4 First Conseil et Gestion de Patrimoines SA, donne son siège au 1 rue du Purgatoire à Genève, affiche un numéro d’identification CHE-191.040.347 et précise, dans ses mentions légales, que le site « est exploité et maintenu » par cette société. Or cette société existe bel et bien : nous l’avons retrouvée au registre du commerce suisse, active, avec ce numéro et cette adresse. Ce que le registre ne dit pas, et ce que le site ne démontre nulle part, c’est qui tient le domaine.

Nous écrivons donc les choses dans cet ordre : la société inscrite à Genève n’est pas mise en cause par ce dossier, et rien dans ce que publie la vitrine n’établit de lien entre elle et l’exploitant de c4-first.ch. La page qui parle d’elle n’est pas la sienne par construction, elle est celle d’un nom de domaine créé le 11 août 2026, soit douze ans après la première publication de la société au journal officiel.

Dernière mise à jour : 26/10/2026

Le numéro CHE affiché appartient à une société genevoise fondée en 2014

La fiche du registre est courte et sans ambiguïté. C4 First Conseil et Gestion de Patrimoines SA, siège à Genève, rue du Purgatoire 1, code postal 1204. Numéro d’identification des entreprises : CHE-191.040.347. Numéro d’identification cantonal : CH-660-2205011-5. Statut : existant. La première publication au Feuille officiel suisse du commerce remonte au 24 juin 2014, et la dernière, en octobre 2024, porte une augmentation de capital porté à 100 000 francs, entièrement libérée, avec de nouveaux statuts adoptés le 2 octobre 2024.

Comparez avec ce que la vitrine affiche. Les mentions légales reprennent le numéro sous une forme à peine retouchée, « CRN-CHE 191-040-347 », l’adresse mot pour mot, et la forme juridique « Société Anonyme (SA) ». Rien n’est faux dans ces trois lignes prises séparément. C’est leur assemblage sur un domaine de deux mois et demi qui pose problème : le nom a été déposé le 11 août 2026 chez un bureau d’enregistrement du Delaware, Marcaria.com International, avec des serveurs de noms confiés à Namecheap. Un exploitant qui reprend l’identité registrale d’une société existante n’a pas besoin de contrefaire un document : il lui suffit de recopier quatre champs, et la vérification du visiteur s’arrête là où commence la sienne.

Le contrôle qui tranche n’est pas le numéro, c’est le canal. Une étude de gestion de fortune genevoise joint ses clients par un standard qu’elle publie et par une adresse de courriel qui lui appartient. Ici, la boîte du site repose sur un service de messagerie mutualisé américain, et le numéro change selon la page consultée : nous y reviendrons. La fiche complète de l’enregistrement se lit sur la fiche WHOIS complète sur DomainTools pour vérifier les détails d’enregistrement du domaine.

Ce dossier de mandat privé réclame pièce d’identité, justificatif et selfie

La page qui fait la différence ne figure pas au menu principal sous son vrai nom. Elle s’appelle opening.html, son titre est « Private Wealth Mandate », et elle se décrit comme l’entrée dans un « processus de revue client sélectif ». On y lit une phrase qui mérite d’être citée : « Ce processus ne doit pas être interprété comme une demande de compte conventionnelle, mais comme le début d’une relation privée et confidentielle. »

Puis vient le formulaire. Nom complet, pays de résidence, nationalité, adresse électronique, téléphone, objectifs, et une fourchette de « taille estimée de la relation » qui commence à 100 000 francs pour finir au-delà de 10 millions. Jusque-là, rien que de très banal dans une prospection patrimoniale. Trois champs changent la nature de l’exercice : une pièce d’identité officielle (passeport, carte d’identité ou titre de séjour), un justificatif de domicile de moins de trois mois, et un selfie récent. Trois fichiers de 10 mégaoctets maximum, envoyés par un script de la page vers un fichier PHP hébergé sur le même serveur mutualisé. Interrogé sans envoi de données, ce fichier répond qu’il n’accepte que les publications, ce qui confirme au moins qu’il existe.

Une ouverture de compte auprès d’un gestionnaire agréé suit l’ordre inverse : on signe un mandat, on reçoit une documentation, puis on justifie son identité auprès d’un établissement qui doit répondre de ses contrôles. Ici, le dossier complet est réclamé avant toute relation, sur une page qui précise elle-même que l’envoi « ne crée pas de relation client ». Le butin n’est donc pas un virement : c’est un passeport, un justificatif de domicile et un visage, c’est-à-dire de quoi ouvrir un compte ailleurs, au nom de quelqu’un d’autre. Un dépôt de 50 000 euros se récupère parfois ; une identité revendue ne se récupère pas.

Le nom traîne déjà un passif public : l’évaluation publique du nom affiche une note de 25 sur 100. Ce chiffre n’est pas une preuve, il indique seulement qu’un signalement a été déposé avant le nôtre, et il complète la chronologie : alerte du régulateur le 21 octobre, signalement du public, puis notre capture.

Deux numéros de téléphone, une langue déclarée en espagnol, un serveur à Phoenix

Trois détails techniques suffisent à situer la maison. Le premier est un numéro de téléphone en trop. La page d’accueil affiche « +41 22 505 62 30 » ; les six autres pages, y compris les mentions légales et la politique de confidentialité, affichent « +41 22 555 01 01 ». Une étude qui publie deux standards sur son propre site n’a pas de standard.

Le deuxième est une langue. Le code source des pages servies déclare lang=« es » alors que le texte est en anglais. Le balisage Schema.org de la même page annonce, lui, deux langues, « en-CH » et « fr-CH », et le menu propose « English, Français, Deutsch » : les traductions existent bien, elles sont chargées par un fichier de 51 kilo-octets, mais l’enveloppe du document est restée espagnole. Un gabarit se trahit par ce genre de couture, et la suite du dossier en apporte la confirmation.

Le troisième est une adresse réseau. Le domaine répond depuis 104.207.79.83, un serveur mutualisé de Namecheap situé à Phoenix, en Arizona, sous LiteSpeed ; le portail client, lui, vit sur 67.223.118.223, autre machine du même hébergeur. Le certificat a été émis le 16 août 2026 par SSL.com, cinq jours après le dépôt du nom, et couvre le domaine avec son préfixe www. Le courrier électronique est confié à mx1, mx2 et mx3-hosting.jellyfish.systems, la messagerie du même hébergeur, avec une politique DMARC réglée sur « none », c’est-à-dire sans consigne de rejet. Pour une société qui promet la discrétion genevoise, le courrier d’un client transite donc par une plateforme mutualisée américaine, sur un domaine dont le titulaire est masqué.

Le portail mérite sa propre phrase. Il s’appelle Investor Desk, s’ouvre sur une page entièrement en espagnol, « Iniciar sesión », et son formulaire d’inscription demande un prénom, un nom, un courriel, un téléphone et un mot de passe. Aucune pièce d’identité, aucun document, aucune vérification : l’inverse exact de la page de mandat français. Son pied de page porte deux mentions superposées, « © 2026 Investor Desk. V2.0.0 » puis une seconde ligne au nom de la société genevoise suivie de « Genève, Suisse ». Un portail de marque blanche, donc, rebaptisé, et un second nom de domaine ouvert le 18 septembre 2026 pour le servir. Détail de finition : le lien « Investor Desk » du pied de page de la vitrine renvoie vers une adresse de portail qui répond en erreur, alors que le vrai portail est ailleurs.

Un but statutaire n’est pas une autorisation, et le site n’en affiche aucune

La rubrique « Regulatory Information » des mentions légales tient en deux phrases : la société « opère conformément aux lois et règlements applicables à ses activités et à sa juridiction », et les informations sur son statut réglementaire, ses autorisations et ses autorités de surveillance sont « disponibles sur demande ou auprès des autorités compétentes ». Aucun numéro d’autorisation, aucun organisme de surveillance nommé, aucune référence de surveillance. Pour une activité de gestion de fortune exercée depuis la Suisse, c’est exactement l’information qu’un client doit pouvoir lire sans demander la permission.

Le registre du commerce n’est pas le registre des agréments : la fiche de Zefix décrit un but statutaire, qui mentionne le conseil et la gestion de fortune, et une clause de but n’autorise rien. Les établissements autorisés et les avertissements sont publiés séparément. C’est sur la page des avertissements de la FINMA que figure l’alerte du 21 octobre, et c’est là qu’un lecteur francophone peut la retrouver lui-même. Nos lecteurs français disposent aussi des listes tenues par l’Autorité des marchés financiers, dont les mises en garde suivent la même logique : elles nomment, elles datent, elles ne prouvent pas l’absence.

Le reste du dossier parle de lui-même. Une maison qui gère la fortune de familles depuis Genève ne loge pas sa vitrine et son portail sur deux machines mutualisées à Phoenix, ne laisse pas deux numéros de téléphone se contredire, et ne réclame pas un passeport avant d’avoir présenté son autorisation. Ces trois écarts, plus l’alerte du régulateur, dessinent autre chose qu’une négligence de communication. Le cadre juridique dans lequel une victime peut agir, lui, est décrit sur la page que nous consacrons au dépôt de plainte.

Les pièces à conserver dès qu’un versement est parti

Un virement vers une vitrine de ce type laisse toujours les mêmes traces, et elles s’effacent plus vite qu’on ne le croit. La première pièce est l’ordre lui-même : sa référence, la date d’exécution, le nom exact du bénéficiaire tel que la banque l’a enregistré et l’IBAN complet. Demandez à votre banque la confirmation SWIFT du transfert, pas seulement le débit figurant sur le relevé : c’est ce document qui permettra de discuter avec la banque intermédiaire.

La deuxième pièce est la conversation. Un faux gestionnaire travaille par courriel, par messagerie ou par téléphone, et chaque échange contient un détail qui vaut de l’or : une adresse d’expédition, un numéro, une signature, l’heure d’un appel. Exportez les fils entiers plutôt que des captures partielles, et gardez les en-têtes. Si un formulaire a été rempli, gardez aussi l’accusé reçu et les documents transmis, y compris votre pièce d’identité : savoir ce qui circule vaut mieux que l’ignorer, surtout quand la pièce peut servir à ouvrir un compte ailleurs.

La troisième pièce est le site lui-même, avant qu’il ne change. Une page d’accueil se modifie en une heure ; une capture datée ne se modifie pas. Notre dossier technique en contient une, et le document filigrané de cette page peut être versé tel quel à un dossier. Si votre banque demande pourquoi vous avez versé, la réponse ne tient pas dans une phrase, elle tient dans une chronologie : la date de la première prise de contact, celle de la promesse, celle du versement, celle du silence.

L’ordre des démarches compte autant que les pièces. La banque d’abord, par écrit, dans les jours qui suivent, en demandant le rappel du transfert s’il est encore possible ; la plainte ensuite, en France auprès d’un commissariat ou du procureur, en Suisse auprès de la police cantonale, avec les pièces ci-dessus ; l’évaluation par un service spécialisé enfin, pour situer le dossier par rapport aux procédures déjà engagées sur des faits voisins. En France, une préplainte peut aussi être déposée à distance, ce qui horodate le dépôt sans attendre un rendez-vous.

Deux dossiers voisins, publiés par notre rédaction, montrent la même mécanique d’identité empruntée : l’affaire Montaris, où un gérant suisse réel servait de décor, et celle de Woodman Asset, où le numéro LEI d’une société active avait été recopié. Dans les deux cas, la fiche du registre était authentique et l’exploitant du domaine ne l’était pas.

Le sujet est aussi celui de la séquence qui suit : Maître Anne Bernard-Dussaulx, avocate du barreau de Paris, y revient sur la fraude au faux ordre de virement et sur ce qu’une banque doit vérifier avant d’exécuter un transfert.

Avant de signer un mandat : quatre points à éclaircir

Ce que vend c4-first.ch n’est pas un placement : c’est une apparence de maison genevoise, composée d’un nom de domaine récent, du numéro d’une société réelle, d’une adresse de prestige et d’un portail espagnol de marque blanche. Le régulateur suisse a nommé le site le 21 octobre 2026. Une victime de ce type de dossier n’a pas seulement perdu un versement : elle a souvent transmis, en croyant remplir un dossier d’ouverture, les trois pièces qui permettent de prendre son identité. Avant que ces pièces ne circulent ailleurs, faites examiner le dossier.