E-mail frauduleuxFaux gain ou faux cadeauSe fait passer pour : Doctolib
➡️C’est le moment✅ - des économies exceptionnelles se terminent
Reçu le 24 octobre 2026
En bref
Risque élevé. Ce message cherche à voler de l’argent, des coordonnées bancaires ou l’accès à vos comptes.
Faux cadeau Doctolib proposé contre une prétendue enquête de deux minutes, qui sert en réalité à voler des données personnelles ou bancaires.
Comment reconnaître l’arnaque
Le message prétend que Doctolib vous offre un « Medicare Kit » à condition de répondre à une courte enquête, avec une fausse impression de promotion qui se termine vite. En réalité, l'objectif est de collecter vos informations personnelles et souvent vos coordonnées bancaires, qui peuvent ensuite être revendues ou utilisées pour de nouvelles fraudes. Plusieurs indices trahissent l'arnaque : l'adresse d'expédition (@zrrkw0hc.us) n'a aucun lien avec Doctolib, le lien pointe vers un stockage de fichiers générique et non vers le site officiel, et le texte contient des fautes (« récompnaissance ») ainsi qu'une urgence artificielle (« aujourd'hui ! »). Un organisme sérieux ne vous offre jamais de cadeau en échange de vos données : ne répondez pas et ne cliquez sur rien.
Que faire si vous recevez ce message ?
Vous l’avez seulement reçu
- Ne cliquez sur aucun lien et n’ouvrez aucune pièce jointe.
- Ne répondez pas et n’appelez aucun numéro indiqué.
- Signalez-le sur signal-spam.fr (nouvel onglet), puis supprimez-le.
Vous avez cliqué ou donné des informations
- Changez tout de suite le mot de passe du compte concerné, et partout où vous l’utilisez.
- Si vous avez donné vos coordonnées bancaires, appelez votre banque pour faire opposition.
- Faites-vous aider gratuitement sur cybermalveillance.gouv.fr (nouvel onglet).
Le message tel qu’il a été reçu
À des fins pédagogiques, chaque lien du message est suivi de son URL d’origine, telle que l’arnaqueur l’a écrite. Seules d’éventuelles données personnelles du destinataire y sont masquées.
Les liens sont désactivés. Ne copiez pas ces adresses et ne les collez jamais dans votre navigateur : elles mènent à de vrais sites frauduleux.
Les images de l’arnaqueur sont bloquées. Pour une lecture vocale, choisissez « Texte brut ».
Détails techniques
Générés automatiquement à partir du message : des indices, pas des certitudes
Verdict
Phishing confirmé à haute confiance : usurpation de Doctolib via un expéditeur à domaine aléatoire et une page hébergée sur Google Cloud Storage, avec suivi par destinataire. Blocage immédiat du domaine, de l'URL et signalement à l'hébergeur ainsi qu'au CERT-FR recommandés.
Vecteur d’attaque
Phishing par leurre promotionnel usurpant Doctolib (faux cadeau « Medicare Kit » à 49,99 € affiché barré, 0,00 € de frais de port). La victime est incitée à cliquer sur « RÉCLAMER MON KIT » puis à « répondre à une courte enquête » : collecte d'informations personnelles et de données de paiement, ou redirection vers une page de capture d'identifiants. Le lien pointe vers un objet hébergé sur Google Cloud Storage (bucket public), ce qui permet de contourner les filtres de réputation de domaine et de bénéficier de la confiance accordée à googleapis.com. Le fragment d'URL (après #) n'est pas transmis au serveur et ne figure pas dans les journaux serveur côté hébergeur, ce qui complique la détection et l'analyse a posteriori. Le contenu évoque des « utilisateurs privilégiés » et une « fidélité » pour créer un sentiment d'exclusivité, et une urgence (« des économies exceptionnelles se terminent aujourd'hui »).
Infrastructure
Expéditeur : domaine zrrkw0hc.us, label aléatoire typique d'une génération automatisée (alphanumérique, sans lien sémantique), TLD .us peu courant pour un service de santé français. Adresse locale AKvNmays, également aléatoire. Hébergement de la charge : storage.googleapis.com, bucket « lopez11 », objet « fermin.html ». L'abus de stockage cloud légitime indique une infrastructure jetable : le bucket peut être supprimé rapidement ou réutilisé. Le nom de bucket « lopez11 » et le nom de fichier « fermin.html » suggèrent un kit de phishing déployé à partir d'un compte compromis ou créé pour l'occasion. Aucun lien avec l'infrastructure réelle de Doctolib (doctolib.fr / doctolib.com).
Signaux techniques
- Domaine expéditeur à label aléatoire (zrrkw0hc.us), sans rapport avec la marque usurpée