Sommaire
Le 12 novembre, le fichier du régulateur s’est ajouté une adresse à son propre nom
Une ligne d’une nature à part est apparue le 12 novembre 2026 au fichier des acteurs non autorisés de l’Autorité des marchés financiers : [email protected], sous la qualification « Usurpation AMF » (sa fiche porte la date du 12 novembre). L’adresse ne se présente pas comme un courtier de plus, elle se présente comme le régulateur lui-même. Nous avons attendu deux jours, puis nous avons cherché ce qu’il y a derrière ce nom. Il y a une boîte aux lettres, et rien d’autre : pas une adresse permettant d’ouvrir une page, pas une copie publique, pas un service.
Le détail qui met sur la piste tient à une lettre. Le nom s’écrit suport, avec un seul p. Un établissement, un cabinet ou une autorité qui réserve un domaine pour y loger sa correspondance relit ce domaine une fois avant de payer, ne serait-ce que pour l’écrire dans un courriel. Un nom acheté pour quelques semaines de campagne ne se relit pas.
La partie locale, en revanche, est d’une exactitude qui n’a rien d’un hasard : amf-france est la forme du domaine que l’Autorité utilise réellement depuis des années. Le copieur a donc été soigneux là où cela se voit dans une boîte de réception, et négligent là où cela ne se voit plus, dans l’adresse complète que le destinataire découvre après avoir ouvert le message.
Dernière mise à jour : 14/11/2026
Un dépôt du 1er octobre chez NameSilo, et un certificat daté d’un an avant
La fiche du registre du .vip est courte et nette. Le nom a été déposé le 1er octobre 2026 à 18 h 06 UTC, pour un an, avec une échéance au 1er octobre 2027, soit la durée minimale permise. La dernière écriture du dossier est datée du 6 octobre. Le bureau d’enregistrement est NameSilo, LLC. Le titulaire n’est pas publié, et deux verrous de transfert, l’un posé par le client, l’autre par le bureau, empêchent le nom de changer d’hôte sans intervention. Rien, dans cette fiche, ne désigne une société, une adresse postale ou un responsable.
Un détail de calendrier mérite qu’on s’y arrête : le fichier de l’Autorité date du 12 novembre, soit quarante-deux jours après le dépôt. Une adresse de démarchage n’est pas inscrite le jour où elle est achetée, mais le jour où des plaintes la font remonter. Quarante-deux jours, c’est le temps qu’il a fallu à des destinataires pour signaler les messages, et à l’autorité pour instruire.
Consultez la fiche WHOIS complète sur DomainTools afin de vérifier les détails d’enregistrement du domaine.
Les journaux publics de certification racontent, eux, une histoire plus longue que ce dépôt. Ils portent une émission du 15 septembre 2025, valable jusqu’au 13 décembre 2025, délivrée pour la forme www de ce même nom. Un certificat ne s’émet pas sur un domaine que personne ne détient : ce nom a donc eu une première vie, achevée avant le 1er octobre 2026, avant d’être repris. Nous ne savons pas qui le détenait en 2025, ni pour quel usage, ni pourquoi il ne l’a pas conservé. Nous savons seulement que le dépôt actuel n’est pas le premier, et que celui qui a repris le nom en octobre savait qu’il reprenait un nom déjà connu des services de certification.
Aucune adresse sur l’apex : tout le service tient dans trois serveurs de courrier
Interrogé depuis deux résolveurs publics distincts, le nom ne rend aucune adresse IPv4 pour lui-même. La réponse est propre, sans erreur, et vide : il n’y a pas d’hôte derrière. La forme www, elle, ne résout pas du tout, ce qui est un cran plus loin dans l’absence. Deux tentatives de connexion sur les ports 80 et 443, pour l’apex comme pour la forme www, s’arrêtent avant même d’atteindre le réseau, faute d’un nom à traduire en adresse.
La zone, pourtant, est tenue avec soin. Deux serveurs de noms d’un grand réseau de diffusion répondent à toutes les questions, et la messagerie est déclarée en trois hôtes, tous chez le même prestataire de courrier. Le SPF, cet enregistrement qui dit aux serveurs destinataires par où le domaine a le droit d’écrire, ouvre la porte à un relais de ce prestataire, puis ferme la liste avec un ~all. Le domaine déclare donc lui-même à quoi il sert : à écrire et à recevoir du courrier, par un service de messagerie, et par lui seul. Nous citons ces deux prestataires comme intermédiaires techniques, sans aucun lien de causalité avec les messages envoyés.
Un certificat joker a été délivré le lendemain du dépôt, une première fois à 17 h 55, une seconde fois à 3 h 33, sur le nom et sur toutes ses formes. Il ne prouve pas qu’une page ait existé. La validation de ce type de certificat passe par un enregistrement DNS, sans qu’un serveur web soit nécessaire : un certificat dit qu’un nom est délégué et que quelqu’un en contrôle la zone, il ne dit pas qu’un site est servi. Les services publics de copie du web, de leur côté, ne rendent aucune capture pour ce nom, ni pour l’apex ni pour aucun sous-domaine. Un nom sans page, sans copie et sans adresse n’a pas de vitrine à montrer ; il a une boîte.
Ce que l’extension .vip change dans la lecture de l’adresse
L’Autorité des marchés financiers écrit depuis son domaine historique, en .org, et cela n’a rien d’un détail de présentation : le domaine d’une autorité publique est un élément stable, vérifiable, connu de tous ceux qui reçoivent ses courriers. Le .vip, lui, est une extension générique vendue à quiconque la paie, sans condition d’activité, sans lien avec un pays ni avec un secteur. Une adresse officielle française ne se termine pas par .vip. C’est le contrôle qu’un destinataire peut faire en trois secondes, avant d’ouvrir la pièce jointe.
La construction du nom ajoute un second filtre. La plupart des adresses inscrites le même jour sur le même fichier empruntent une identité individuelle, du type prénom.nom, pour se faire passer pour un conseiller joignable. Celle-ci ne promet pas un interlocuteur : elle promet une institution. C’est plus ambitieux, et c’est aussi plus grossier, parce qu’une institution ne communique pas par une boîte anonyme sur un domaine acheté six semaines plus tôt.
Il reste un usage à cette adresse, et il est utile de le nommer sans le dramatiser : une boîte qui reçoit du courrier sert aussi à recueillir les réponses. Un destinataire qui écrit « merci, je vous rappelle demain » indique qu’il est joignable et qu’il a mordu. La réponse n’a pas besoin d’être lue par un conseiller : elle suffit à qualifier la cible.
Le même relevé aligne quinze lignes, dont six au nom du régulateur
La publication du 12 novembre ne compte pas une inscription, mais quinze, sur le relevé public des acteurs non autorisés. Six d’entre elles empruntent le nom de l’autorité elle-même : [email protected], [email protected], registre@amf_france.org, pré[email protected], [email protected] et l’adresse qui nous occupe. Les neuf autres relèvent de l’usurpation de marques privées, dont deux adresses au nom d’une grande banque britannique et plusieurs noms de courtiers.
Cette coïncidence de date ne prouve pas un exploitant unique : un régulateur publie par lots, et plusieurs campagnes distinctes peuvent être traitées le même jour. Elle dit autre chose, et c’est déjà beaucoup : la contrefaçon du gendarme est devenue une spécialité assez courante pour représenter près de la moitié d’un relevé. Deux dossiers voisins du même fichier sont déjà documentés sur ce site : l’adresse construite sur le sigle de l’autorité, analysée dans notre enquête sur support-financial.com, et celle qui emprunte le nom du régulateur sur un domaine en .email, étudiée dans le dossier elliptic-lab.email. Les deux suivent le même schéma : un nom technique, une boîte, aucune vitrine.
Ce qui distingue suport.vip de ses voisins tient à l’infrastructure, pas au discours. Les adresses de la même famille conservent souvent un hébergement, une page d’attente, un formulaire ou une adresse IP que l’on peut interroger. Ici, l’apex n’a rien : le nom a été dépouillé de tout ce qui pourrait ressembler à un site, y compris de l’enregistrement minimal qui permettrait d’en afficher un. C’est la version la plus pauvre de la fraude, et sans doute la plus rentable à produire.
Un dernier repère, public et daté : le service indépendant qui note les noms de domaine lui attribue une note de fiabilité de 25 %, établie dès le 12 novembre, le jour même de l’inscription au fichier. La fiche ScamDoc de suport.vip relève en particulier l’ancienneté du nom et la brièveté de son échéance.
Les pièces à garder quand un courriel de ce nom a précédé un versement
Si un message portant cette adresse vous a conduit à engager de l’argent, l’ordre des gestes compte plus que leur nombre. Gardez le message d’origine avec ses en-têtes complets, et non une capture d’écran seule : l’en-tête porte l’adresse réelle d’expédition, la chaîne des serveurs traversés et l’horodatage, trois éléments qu’aucune image ne restitue. Notez la date du premier contact, le nom sous lequel l’expéditeur s’est présenté et, si un virement a été demandé, l’identifiant bancaire communiqué. Si les fonds sont partis, prévenez le service des fraudes de votre banque le jour même : les délais de rappel dépendent de la rapidité de ce signalement.
Le dépôt d’une plainte est l’autre volet. Il fixe les faits dans un document daté et ouvre les voies de recours civils qui s’y rattachent. Le volet pénal de notre site expose la chronologie d’une procédure et les pièces qu’un dossier doit contenir, depuis le courriel jusqu’au relevé de compte.
Le mécanisme lui-même est celui que décrit Me Anne Bernard-Dussaulx, avocate au barreau de Paris, dans l’entretien qu’elle a accordé sur la fraude au faux RIB, où un acheteur immobilier a vu 200 000 euros détournés par la seule substitution de coordonnées bancaires. Sa fiche professionnelle est accessible depuis la page qui lui est consacrée.
Trois questions que l’on nous pose sur suport.vip
Non. L’Autorité écrit depuis son domaine historique, et une adresse qui se termine par .vip ne peut appartenir à une autorité publique française. Surtout, l’autorité a elle-même inscrit cette adresse sur son fichier le 12 novembre 2026 sous la qualification « Usurpation AMF » : une adresse que le régulateur signale comme usurpant son nom n’est pas le régulateur. La notation publique du domaine va dans le même sens, à 25 %, ouverte le jour même de l’inscription.
Gardez le courriel dans son état d’origine, en-têtes compris, sans le modifier ni le retransférer. Ne répondez plus et n’envoyez aucune pièce d’identité, aucun justificatif de revenus, aucun relevé. Si des coordonnées bancaires vous ont été communiquées, prévenez immédiatement le service des fraudes de votre banque, même sans mouvement constaté, et gardez la trace de cet appel. Enfin, si un virement est parti, déposez plainte : le récépissé est la pièce sans laquelle aucune demande de restitution ne peut être instruite.
Non, et ce n’est pas une panne. Le nom ne rend aucune adresse pour lui-même, sa forme www ne résout pas, et deux tentatives de connexion sur les ports web s’arrêtent avant d’atteindre le réseau. Aucun service public de copie du web ne conserve de capture de ce domaine. Seuls les serveurs de courrier répondent, ce qui est cohérent avec l’usage du nom : une boîte de réception pour une campagne d’adresses, sans rien à afficher.
Un courriel venu de ce nom a précédé un versement ?
Notre service d’aide aux victimes examine les messages reçus, les coordonnées bancaires utilisées et les pièces du paiement, puis indique les démarches encore ouvertes selon la date des faits et la banque concernée. Le formulaire de contact est accessible ici : demander une assistance.
