E-mail frauduleuxFaux gain ou faux cadeauSe fait passer pour : Doctolib
Votre place est réservée – Kit Medicare offert (149 €)
Reçu le 25 octobre 2026
En bref
Risque élevé. Ce message cherche à voler de l’argent, des coordonnées bancaires ou l’accès à vos comptes.
Faux message de Doctolib promettant un kit Medicare gratuit (149 €) en échange d'un sondage, sous pression de rareté.
Comment reconnaître l’arnaque
Le message prétend que vous avez été sélectionné par Doctolib et Medicare pour recevoir un kit d'une valeur de 149 € après un court sondage. En réalité, le but est de collecter vos données personnelles ou bancaires, puis parfois de vous facturer des frais cachés. Plusieurs indices trahissent l'arnaque : l'adresse d'expédition provient d'un domaine sans lien avec Doctolib (mgs.lol.coomsat.net.co) et ressemble à un service de test, le lien pointe vers un stockage Google générique plutôt que vers le site officiel de Doctolib, et la phrase « seuls 58 utilisateurs ont été invités aujourd'hui » crée une fausse urgence. Une entreprise sérieuse ne vous offrirait jamais un cadeau contre un sondage. Ne cliquez pas, ne répondez pas et supprimez le message.
Que faire si vous recevez ce message ?
Vous l’avez seulement reçu
- Ne cliquez sur aucun lien et n’ouvrez aucune pièce jointe.
- Ne répondez pas et n’appelez aucun numéro indiqué.
- Signalez-le sur signal-spam.fr (nouvel onglet), puis supprimez-le.
Vous avez cliqué ou donné des informations
- Changez tout de suite le mot de passe du compte concerné, et partout où vous l’utilisez.
- Si vous avez donné vos coordonnées bancaires, appelez votre banque pour faire opposition.
- Faites-vous aider gratuitement sur cybermalveillance.gouv.fr (nouvel onglet).
Le message tel qu’il a été reçu
À des fins pédagogiques, chaque lien du message est suivi de son URL d’origine, telle que l’arnaqueur l’a écrite. Seules d’éventuelles données personnelles du destinataire y sont masquées.
Les liens sont désactivés. Ne copiez pas ces adresses et ne les collez jamais dans votre navigateur : elles mènent à de vrais sites frauduleux.
Les images de l’arnaqueur sont bloquées. Pour une lecture vocale, choisissez « Texte brut ».
Détails techniques
Générés automatiquement à partir du message : des indices, pas des certitudes
Verdict
Phishing à forte probabilité de collecte de données personnelles, de santé et bancaires, usurpant Doctolib avec un faux cadeau médical, hébergé sur un service cloud légitime (Google Cloud Storage) pour échapper aux filtres. Blocage immédiat du domaine expéditeur et des URLs recommandé.
Vecteur d’attaque
Hameçonnage par usurpation de marque (Doctolib, Medicare) avec appât promotionnel : faux kit médical offert (valeur 149 €) conditionné à la réponse à un sondage. Le lien renvoie vers une page HTML hébergée sur un bucket Google Cloud Storage, qui sert vraisemblablement de page de collecte de données personnelles ou bancaires, voire de relais vers une page de capture. L'urgence artificielle (« Seuls 58 utilisateurs… ») et la rareté simulée incitent à cliquer rapidement. L'utilisation d'un fragment d'URL (#...) fait exécuter la charge utile côté navigateur, ce qui limite la détection réseau et les scanners serveur.
Infrastructure
Domaine expéditeur : mgs.lol.coomsat.net.co, sous-domaine multi-niveaux sans lien vérifiable avec Doctolib ni avec un acteur de santé français. La structure « lol.coomsat.net.co » est atypique et typique d'une infrastructure jetable ou d'un sous-domaine de fournisseur DNS dynamique ; l'enregistrement, la date de création et le registrar doivent être vérifiés. Hébergement de la charge : storage.googleapis.com (service légitime de Google Cloud), bucket « sfagsfdgs », objet « akiujhda.html ». L'abus de services cloud de confiance contourne les filtres basés sur la réputation de domaine. Aucune infrastructure n'est directement attribuable à Doctolib ou à Medicare. Le nom « Medicare » désigne le programme d'assurance maladie américain/australien, sans rapport avec le système de santé français.
Signaux techniques
- Usurpation de la marque Doctolib dans le nom affiché et le contenu, sans correspondance avec le domaine expéditeur
- Adresse expéditeur malformée : caractère « & » dans la partie locale (no-reply&), non conforme aux pratiques d'un expéditeur légitime