L’adresse [email protected] se présente comme l’Autorité des marchés financiers elle-même, et elle repose sur un nom déposé le 9 octobre 2026, soit trente-quatre jours avant la ligne que le régulateur lui a consacrée. Ce qui la sépare des autres entrées du même relevé tient à un détail d’horodatage : deux certificats joker au nom du domaine ont été délivrés avant que le registre n’inscrive le dépôt dans ses écritures.
Sommaire
Deux certificats joker délivrés avant même le dépôt du nom
Le fichier central des noms en .com situe l’enregistrement de finances-support.com au 9 octobre 2026 à 17 h 14 min 52 s, son échéance au 9 octobre 2027, et sa dernière écriture à 17 h 16 min 03 s, soit soixante-onze secondes plus tard. Le titulaire n’est pas diffusé, la signature DNSSEC est absente, le transfert est bloqué, et deux serveurs de noms du même réseau assurent la résolution. Rien, dans ces lignes, ne désigne une société : c’est un nom acheté par une personne ou une entité qui a choisi de rester invisible.
Les journaux publics de certificats racontent une autre histoire, plus précise. Ils recensent seize entrées pour ce nom, correspondant à neuf délivrances distinctes depuis août 2020. Les deux dernières portent la même date, celle du dépôt : un certificat joker émis à 16 h 23 min 23 s par une autorité de l’écosystème Let’s Encrypt, puis un second à 17 h 14 min 13 s par l’autorité interne d’un grand réseau de diffusion. Tous deux couvrent le domaine et l’ensemble de ses sous-domaines, et tous deux arrivent avant l’horodatage que le registre donne au dépôt : cinquante-et-une minutes pour le premier, trente-neuf secondes pour le second.
Un certificat joker ne s’obtient pas par hasard : il suppose un compte déjà ouvert chez le diffuseur, une zone déjà déléguée, une demande déposée. Autrement dit, l’équipement existait avant que le nom ne soit officiellement au nom de son nouveau détenteur. C’est le premier indice que ce domaine n’a pas été acheté pour être développé, mais pour être branché. Les caractéristiques d’enregistrement du nom, ses dates et son bureau figurent dans la fiche WHOIS complète sur DomainTools, consultable librement.
Dernière mise à jour : 14/11/2026
Ce que la fiche du 12 novembre dit, et ce qu’elle ne dit pas
L’avis nominatif publié par l’Autorité des marchés financiers porte la date du 12 novembre 2026 et le libellé « Usurpation AMF ». Son texte tient en une phrase : l’acteur nommé n’est pas habilité par l’autorité à commercialiser des services ou des placements financiers auprès du public français. La page ne comporte que trois rubriques, le nom, le libellé et la date. Elle ne cite aucune société, aucun dirigeant, aucun numéro d’immatriculation, et c’est cohérent : ce que le régulateur vise ici n’est pas une entreprise, c’est une adresse de courriel qui emprunte son nom.
La nuance a son importance pour qui cherche à se plaindre. Une adresse électronique ne s’immatricule pas, ne se sanctionne pas, ne se ferme pas par décision administrative : elle se signale. Le régulateur a donc fait exactement ce qu’il pouvait faire, il a rendu publique l’existence du vecteur. La suite lui échappe, et c’est précisément la difficulté de ce dossier.
Cette ligne n’est pas isolée. Le même relevé du 12 novembre comportait d’autres entrées construites autour du sigle de l’autorité, dont celle que nous avons décrite le matin même, [email protected]. Nous ne présentons pas ces inscriptions comme un réseau : une même parution au fichier ne prouve pas un opérateur commun, elle prouve seulement que la campagne du moment exploite le même angle. Un précédent de la même famille, plus ancien, montre d’ailleurs que la formule se répète sans que l’infrastructure suive : pgroup-client.com avait déjà été construit sur cette idée d’une adresse bancaire sans site derrière elle.
Une zone sans adresse web, et une boîte chez un prestataire grand public
Interrogeons maintenant la zone elle-même. Pour l’apex, le résolveur public ne rend aucune adresse : pas un enregistrement, pas même une valeur obsolète. Pour la forme avec www, le résolveur est plus net encore : le nom n’existe pas. Nos essais d’ouverture de session sur les deux ports web échouent de la même façon, le système répondant qu’aucune adresse n’est associée à ce nom. Il n’y a donc rien à visiter, rien à photographier, et aucun contenu de vitrine dont on pourrait discuter la qualité.
Ce que la zone contient, en revanche, c’est une messagerie. Trois serveurs de courrier, tous hébergés chez le même prestataire grand public, avec la vérification de propriété du domaine et une déclaration d’authentification d’envoi qui renvoie vers ce prestataire. Tout le service réel du nom tient là : une boîte aux lettres capable de recevoir, y compris les réponses et les avis de non-remise. C’est un fait mesurable et il commande la lecture du dossier : le nom n’a jamais eu pour fonction d’afficher quoi que ce soit, il a eu pour fonction d’émettre et de recevoir.
Cette absence de page n’est pas un accident de collecte de notre part. Sur un dossier de cette nature, aucune image de page ne peut être produite, et nous préférons l’écrire que de laisser croire à une pièce manquante : les outils qui parcourent les sites n’ont rien à parcourir quand la racine ne résout vers aucun serveur.
Un SPF qui délègue, aucune consigne DMARC
La déclaration d’authentification d’envoi de ce domaine dit, en substance, que le courrier légitime part par le prestataire de messagerie retenu, et que tout le reste doit être considéré avec réserve, sans être rejeté pour autant. C’est un réglage souple, pensé pour ne pas perdre de messages, et il ne protège de rien face à quelqu’un qui écrit depuis une autre infrastructure en affichant le nom de l’expéditeur.
Surtout, il n’existe aucune consigne DMARC sous ce nom : pas d’enregistrement du tout, donc aucune instruction donnée aux serveurs qui reçoivent un message prétendant venir de ce domaine. Ni surveillance, ni quarantaine, ni rejet. Une adresse peut donc circuler avec ce domaine en partie locale sans que la zone ait dit un mot sur ce qu’il faut en faire. Ce n’est pas une faute technique en soi, beaucoup de domaines modestes vivent ainsi, mais dans un dossier où le nom sert à se faire passer pour une autorité, le silence du réglage prend un autre sens.
Le service d’évaluation indépendant que nous consultons pour ce type de vérification place le domaine à 25 % d’indice de confiance, et son intitulé parle d’un indice faible. Le chiffre n’a rien d’une preuve, il indique seulement qu’un outil tiers, alimenté par des signalements, est arrivé au même constat que nous : ce nom ne rassure personne.
Le nom avant : un site de démonstration, puis un écran d’attente
Un nom n’est jamais vierge. Les copies de pages que gardent les services publics de sauvegarde du web en comptent cent neuf pour ce domaine, réparties sur quatre-vingt-treize adresses distinctes. La première remonte au 4 décembre 2021 et ne rend qu’une redirection. À partir du 4 janvier 2022, la racine affiche une page de dix-sept kilo-octets, et les adresses conservées cette année-là disent tout : « à propos », « blog », « contactez-nous », et des billets intitulés « nous sommes une jeune agence », « thème WordPress polyvalent », « comment nous écrivons du code de qualité ». C’était un site de démonstration de thème, avec ses articles factices et son billet de bienvenue daté du 22 août 2020, la même semaine que le premier certificat du nom.
Puis le nom change d’usage. Le 6 mars 2025, la racine ne rend plus qu’une page de 548 octets, et le lendemain c’est la variante avec préfixe qui répond, sur neuf kilo-octets, avec un lien vers l’écran d’attente d’un courtier en noms de domaine. La dernière copie conservée date du 11 juillet 2025. Entre-temps, trois certificats sont délivrés en février et mars 2026, dont un joker, ce qui suppose une activité réelle à cette période, sous un autre détenteur que celui d’aujourd’hui.
Cette chronologie ne sert pas à accabler le nom, elle sert à dater proprement. Entre l’été 2025 et le 9 octobre 2026, le domaine a cessé d’être conservé, puis a été repris, et la reprise a été immédiatement équipée. Le passé du nom, blog de démonstration hier, écran d’attente ensuite, n’explique rien du courrier qui circule aujourd’hui sous son nom : il rappelle seulement qu’une adresse peut changer de main et de fonction sans que rien, à la lecture du nom seul, ne le laisse deviner.
Ce que l’adresse permet de faire croire à celui qui la reçoit
Dans une boîte de réception, la ligne d’expéditeur est ce qu’on lit en premier, et l’adresse complète ce qu’on lit en second, souvent après avoir ouvert. Ici les deux se répondent : le régulateur en partie locale, les mots « finances » et « support » du côté du domaine, de quoi évoquer un service de conformité ou un service de vérification. Le destinataire qui veut contrôler se retrouve devant un nom sans page : il n’a aucun moyen de vérifier par lui-même ce que représente son interlocuteur, puisque le seul service configuré est la réception du courrier.
Or une autorité publique ne demande jamais par courriel un virement, un code reçu par téléphone, la copie d’une pièce d’identité ou le règlement d’une somme présentée comme le prix d’un déblocage. L’Autorité des marchés financiers publie ses mises en garde sur son propre site et tient à jour la liste des acteurs qui ne sont pas autorisés ; c’est ce fichier, et non un message reçu, qui fait foi. Rappelons au passage que la loi ouvre aux personnes trompées des voies de droit propres à faire constater l’infraction et à discuter la responsabilité des intermédiaires financiers, et que notre guide sur la plainte pénale en détaille les étapes.
Notre rédaction a recueilli le témoignage de Maître Goce Novakov, avocat plaidant à Paris, qui revient sur une affaire jugée à Troyes : des victimes d’un faux placement ont obtenu la condamnation de l’auteur et fait reconnaître le manquement d’une banque à son devoir de vigilance. Le parallèle avec un courriel au nom du régulateur n’est pas rhétorique, il tient à la mécanique : dans les deux cas, c’est la confiance accordée à un signe extérieur qui déclenche le virement, et c’est cette confiance que les juges examinent.
Ce qu’un destinataire peut établir lui-même, en trois gestes
Non. Une autorité publique écrit depuis son propre domaine, et un nom qui se termine par finances-support.com n’a jamais été le sien. La démonstration la plus directe est fournie par l’autorité elle-même : elle a inscrit cette adresse à son fichier le 12 novembre 2026, en la plaçant sous le libellé « Usurpation AMF ». Une adresse que le régulateur désigne comme empruntant son nom n’est pas le régulateur.
Le nom n’a jamais porté de page : rien n’a donc été fermé. Il ne porte aucune adresse vers un serveur web, ni sur sa racine ni sur la forme avec www, et nos essais d’ouverture n’aboutissent pas, faute d’adresse à joindre. Le seul service configuré sous ce domaine est la messagerie. La formulation exacte est donc celle-ci : le nom n’a jamais servi de page, et c’est la boîte de réception qui constitue l’outil de la campagne.
Conserver le courriel tel qu’il est arrivé, en-têtes compris, sans le retoucher, puis cesser toute réponse. Ne transmettre ni pièce d’identité ni relevé de compte à cette adresse. Signaler le message au service public de signalement des fraudes et le porter à la connaissance de sa banque, en demandant par écrit un rappel des opérations et une position sur un éventuel rappel des fonds. La date du versement, la banque qui a reçu l’ordre et le mode de paiement, virement immédiat ou crypto-actif, commandent la liste des recours encore praticables, et c’est sous cet angle que nos juristes lisent un dossier.
Ce dossier laisse une impression étrange : tout ce qu’une arnaque financière demande en apparence de sérieux s’y trouve, une adresse au nom de l’autorité, un domaine qui porte le vocabulaire de la conformité, un certificat joker obtenu avant même le dépôt du nom. Et il n’y a rien derrière, pas une page, pas un formulaire, pas un espace client, seulement une boîte aux lettres. Celles que ce dossier rejoint sont les internautes ayant reçu un courrier portant ce nom d’expéditeur, souvent après avoir déjà placé de l’argent sur une plateforme dont elles cherchaient à sortir, et qui ont vu dans ce courriel la main tendue d’un régulateur. L’évaluation préalable menée par Broker Defense, pièces en main, permet de dire ce que ce courriel a réellement déclenché et ce qu’il est encore possible de faire constater.
Un paiement a suivi un message reçu sous ce nom ?
Notre équipe relit le message d’origine, les coordonnées de paiement utilisées et les échanges qui ont suivi, puis dit quels recours restent praticables au regard de la date et de l’établissement qui a exécuté l’ordre. La première prise de contact se fait ici : demander une assistance.
