Sommaire
Une adresse au fichier commun, deux qualifications, aucune société
Le fichier public que l’ACPR et l’AMF tiennent ensemble, par le service ABE Info Service, s’est enrichi le 26 octobre 2026 d’une ligne dont l’intitulé n’est pas un nom de société mais une adresse électronique : pré[email protected]. Les qualifications qui l’accompagnent sont explicites : « Crédits livrets paiements assurances » et « Usurpation Professionnel ». Autrement dit, la personne qui reçoit un message signé de cette adresse se voit proposer de l’épargne, un crédit ou un contrat d’assurance au nom d’une maison qui n’existe pas, sur un nom de domaine qui n’a jamais rien servi.
Dernière mise à jour : 27/10/2026
Nous avons mesuré ce que ce nom sert réellement ce matin. La racine, la page de connexion, une adresse en français, une page de contact et une page de mentions légales renvoient toutes le même document de 32 079 octets : l’écran par lequel le bureau d’enregistrement du nom signale qu’un domaine est déposé chez lui et qu’aucun site n’y est encore installé. Ce n’est donc ni une banque en construction, ni une vitrine discrète. C’est un nom propre, vide, dont la seule fonction configurée est de porter une boîte aux lettres.
La ligne du fichier commun se consulte sur la page des listes noires des autorités. Elle n’indique pas qui se cache derrière l’adresse ; elle établit que le démarchage exercé sous ce nom ne s’appuie sur aucun agrément. C’est le point de départ de tout le reste, et c’est ce qui distingue un simple domaine dormant d’un support de fraude.
Un second nom déposé quatre minutes plus tôt, sur la même messagerie
Le registre du .com conserve l’heure, à la seconde, du dépôt de chaque nom. Citieurope-private.com y apparaît créé le 27 août 2026 à 10 h 42 min 47 s UTC, pour une échéance fixée au 27 août 2027. Quatre minutes et trente-trois secondes plus tôt, à 10 h 38 min 14 s, un autre nom bâti sur la même racine a été déposé : citieurope.com. Même bureau d’enregistrement, Hostinger operations, même service d’attente pour les serveurs de noms, même messagerie confiée à mx1 et mx2.hostinger.com, même consigne d’expédition du courrier, même politique DMARC réduite à la seule valeur p=none, même page identique au caractère près, et même adresse de réponse.
Ces deux dépôts se suivent à quatre minutes, ce qui ressemble moins à deux projets distincts qu’à une même main qui réserve deux graphies du même nom. Nous n’irons pas plus loin : le titulaire est masqué au registre, et aucun élément public ne permet d’établir l’identité du déposant. Nous constatons une simultanéité, une infrastructure commune et un silence commun. Une seule des deux graphies figure au fichier commun, celle qui porte le tiret et le mot « private ».
L’adresse de réponse, 2.57.91.91, est celle d’un service mutualisé qui héberge des centaines de noms étrangers les uns aux autres. Nous ne la retenons donc pas comme indice de réseau : elle dit seulement que le domaine n’a pas de serveur à lui. Le rapprochement des deux noms repose sur le calendrier, le bureau, la messagerie et la page, jamais sur cette adresse partagée.
Un nom de soixante et un jours, un titulaire masqué, deux serveurs d’attente
Le domaine a soixante et un jours au moment où nous écrivons. Son enregistrement court jusqu’en août 2027, un an jour pour jour après le dépôt, et porte la clause qui empêche de changer de bureau d’enregistrement sans l’autorisation du titulaire. La signature DNSSEC n’est pas activée. L’identité du titulaire est remplacée par un prestataire de confidentialité, pratique courante mais qui prive de toute vérification possible sur la personne qui a payé le nom. Les deux serveurs de noms sont fournis par le même prestataire et désignés sous l’intitulé de son service d’attente, ce qui confirme qu’aucune zone de production n’a été montée.
Un seul certificat a été émis pour ce nom : le 27 août 2026, par Google Trust Services, sous l’autorité intermédiaire WR1, avec une validité qui s’achève le 25 novembre 2026. Il ne couvre que le nom principal, sans variante ni sous-domaine, ce qui suffit à faire fonctionner une page d’attente et une messagerie, et ne suffit pas à faire tourner un établissement bancaire à distance. Aucune version antérieure du site n’a été conservée par les services qui photographient le web : le nom n’a donc jamais rien montré, pas même un écran de présentation.
Les caractéristiques d’enregistrement du nom, ses dates et son bureau figurent dans la fiche publique : consultez la fiche WHOIS complète sur DomainTools pour vérifier les détails d’enregistrement du domaine. Un service d’évaluation indépendant, de son côté, classe le nom avec un indice de confiance de 25 %, cohérent avec un domaine récent, masqué et sans contenu.
Une zone taillée pour écrire, pas pour recevoir une clientèle
C’est ici que le dossier devient lisible. Un nom qui n’héberge aucun site a pourtant sa messagerie entièrement configurée : deux serveurs de réception chez le même prestataire, une consigne d’expédition qui autorise ce prestataire à émettre en son nom, et une politique DMARC réduite à p=none. Cette dernière valeur signifie que le titulaire demande à recevoir des rapports sur l’usage de son nom, sans imposer aux destinataires de rejeter les messages qui le contrefont. Rien, dans cette configuration, n’a été pensé pour protéger une marque ou pour authentifier un établissement financier. Tout a été pensé pour qu’une adresse électronique fonctionne et que les réponses arrivent.
La page visible n’appartient d’ailleurs pas à l’opérateur : elle porte les mentions de son bureau d’enregistrement, une balise d’exclusion des moteurs de recherche, un fichier d’interdiction de parcours à la racine, et le compteur de fréquentation de ce même prestataire, avec un identifiant qui est le sien. Autrement dit, le seul contenu servi par le nom est un panneau commercial du vendeur de noms de domaine. L’exploitant, lui, n’a publié qu’une seule chose : une boîte aux lettres au nom d’une banque privée imaginaire.
Cette dissociation explique le mode opératoire. Une victime qui cherche à vérifier l’existence de la maison ne trouvera aucun site à examiner, aucune équipe, aucune adresse, aucun numéro. Tout le contact passe par des messages signés pré[email protected], adresse dont la partie locale reprend la forme générique du fichier de signalement et non l’identité d’une personne réelle. Le courrier électronique n’est pas un accessoire du dispositif : il en est l’unique instrument.
Citi et Citi Private Bank : des maisons réelles, un nom qui les emprunte
Le nom analysé accole la marque du groupe bancaire américain Citigroup, dont l’activité de clientèle privée se présente publiquement comme Citi Private Bank, au qualificatif « Europe private » et à un tiret. La construction est celle d’une succursale européenne : un groupe connu, un continent, un segment de clientèle fortunée. Elle ne correspond à aucune entité que nous ayons pu identifier. Citigroup et sa branche de gestion de fortune sont des maisons réelles, en activité, joignables et soumises à leurs propres autorités de tutelle ; aucune de ces maisons n’a de lien avec le domaine citieurope-private.com, avec son adresse électronique, ni avec les produits d’épargne et de crédit annoncés sous ce nom. Notre analyse ne met en cause ni le groupe ni ses filiales : elle constate qu’un nom a été bâti pour les évoquer.
Cette manière d’emprunter une enseigne sans jamais la nommer en entier est un procédé que nous rencontrons régulièrement. Elle rejoint les faux établissements bancaires, comme Orbisbank.org, que la FINMA a écarté le 22 octobre 2026 pour défaut d’inscription au registre du commerce, et les emprunts de marque réelle, comme Fivearros-rothschild.com, variante du réseau Five Arrows. Dans les trois cas, le nom fait le travail que la vitrine ne peut pas faire : il inspire confiance avant toute vérification.
Ce qu’une personne démarchée peut encore tenter
Trois jours se jouent souvent en même temps. Le premier est celui du message : conservez l’en-tête complet du courrier reçu, l’adresse d’expédition exacte, la date et l’heure, les pièces jointes, et les échanges qui ont suivi. Le deuxième est celui du versement : si un virement a été exécuté vers un compte présenté comme celui de la maison, demandez par écrit à votre banque le rappel des fonds et la trace du bénéficiaire réel, puis adressez la même demande, en recommandé, à l’établissement qui a reçu l’argent, en visant les qualifications publiées au fichier commun. Le troisième est celui de la plainte : une déclaration de fraude auprès du service public de signalement des fraudes, puis une plainte auprès du procureur, qui peut être déposée avec les éléments rassemblés. Notre page consacrée à la plainte pénale et à la constitution du dossier détaille les pièces attendues et l’ordre dans lequel les réunir.
Nous avons interrogé Me Anne Bernard-Dussaulx, avocate au barreau de Paris, sur la question qui décide de tout lorsque le contact s’est fait par courriel et que l’argent est parti par virement : ce que l’établissement récepteur pouvait contrôler, ce que le client est en droit d’attendre de lui, et à qui il revient de démontrer quoi. Son entretien, qui revient sur les opérations non autorisées, sur la contrefaçon du nom d’un établissement et sur le remboursement, est filmé ci-dessous.
Les questions que l’on nous adresse sur ce dossier
Non. L’adresse pré[email protected] figure, depuis le 26 octobre 2026, au fichier commun tenu par l’ACPR et l’AMF, avec les qualifications « Crédits livrets paiements assurances » et « Usurpation Professionnel ». Une banque qui collecte de l’épargne en France dispose d’un agrément vérifiable et d’une raison sociale publiée ; ici, le nom ne sert aucun site et ne renvoie à aucune société. L’inscription sous le libellé « Usurpation Professionnel » signifie que le nom emprunte l’identité d’un professionnel sans son accord.
Cesser les échanges sans effacer les preuves, puis agir sur deux fronts. D’un côté, garder l’en-tête du message, l’adresse d’expédition, les relevés de compte et la trace du virement ; de l’autre, prévenir immédiatement votre banque et lui demander par écrit le rappel des fonds si un paiement a été exécuté. Une demande écrite et datée compte davantage qu’un appel : elle fixe le moment où l’établissement a été informé.
Parce que la vitrine n’est pas nécessaire au procédé. Toutes les adresses du nom renvoient la page d’attente de son bureau d’enregistrement, identique à l’octet, et le nom n’a jamais été photographié par les services qui gardent une trace du web. En revanche, sa messagerie est entièrement configurée, avec deux serveurs de réception et une consigne d’expédition au nom du domaine. Un nom sans site mais avec une boîte aux lettres qui fonctionne est un nom fait pour écrire à des personnes, pas pour en recevoir.
Ce que ce dossier laisse voir tient en une phrase : une adresse de courrier suffit aujourd’hui à se présenter comme une banque privée européenne, dès lors que le nom choisi ressemble à ceux du métier et qu’aucune vérification n’est faite avant le premier virement. Les personnes visées sont celles qui cherchent un placement rémunérateur, un livret défiscalisé ou un crédit présenté comme réservé à une clientèle aisée, et qui reçoivent une offre par message, signée d’un nom qui imite une maison connue. L’évaluation préalable de la maison, de son agrément et du domaine qui la sert reste la seule étape qui coûte peu et décide de tout.
Vous avez échangé avec pré[email protected] ?
Décrivez-nous la situation : nos juristes examinent les messages conservés, la trace du virement et les pièces produites par l’établissement qui a reçu les fonds, puis vous indiquent ce qui reste envisageable, tant du côté d’une restitution que d’une action en justice.
