E-mail frauduleuxAutre arnaqueSe fait passer pour : Senador Canedo
Camille Dupont, Votre année se poursuit
Reçu le 3 novembre 2026
En bref
Risque élevé. Ce message cherche à voler de l’argent, des coordonnées bancaires ou l’accès à vos comptes.
Faux avis de renouvellement annuel de 69,90 € avec un lien vers un espace personnel qui n'appartient pas à l'organisme émetteur.
Comment reconnaître l’arnaque
Le message annonce qu'un abonnement annuel de 69,90 € vient d'être renouvelé et invite à consulter « Mon espace ». Le but est de vous faire cliquer sur le lien pour vous inciter à saisir vos coordonnées ou vos données bancaires afin de « contester » ou d'annuler ce prétendu paiement. Plusieurs indices trahissent l'arnaque : le lien pointe vers une adresse aléatoire sur cloudfront.net, un service d'hébergement générique, et non vers un site officiel. L'expéditeur est une adresse d'une collectivité brésilienne, sans lien avec votre vie quotidienne. Enfin, le message crée une impression de fatalité (« votre année se poursuit ») pour vous faire agir sans réfléchir. Ne cliquez pas sur le lien et ne communiquez aucune information de paiement. En cas de doute, contactez directement le service concerné par le site ou l'application officiels que vous connaissez déjà.
Que faire si vous recevez ce message ?
Vous l’avez seulement reçu
- Ne cliquez sur aucun lien et n’ouvrez aucune pièce jointe.
- Ne répondez pas et n’appelez aucun numéro indiqué.
- Signalez-le sur signal-spam.fr (nouvel onglet), puis supprimez-le.
Vous avez cliqué ou donné des informations
- Changez tout de suite le mot de passe du compte concerné, et partout où vous l’utilisez.
- Si vous avez donné vos coordonnées bancaires, appelez votre banque pour faire opposition.
- Faites-vous aider gratuitement sur cybermalveillance.gouv.fr (nouvel onglet).
Le message tel qu’il a été reçu
À des fins pédagogiques, chaque lien du message est suivi de son URL d’origine, telle que l’arnaqueur l’a écrite. Seules d’éventuelles données personnelles du destinataire y sont masquées.
Les liens sont désactivés. Ne copiez pas ces adresses et ne les collez jamais dans votre navigateur : elles mènent à de vrais sites frauduleux.
Les images de l’arnaqueur sont bloquées. Pour une lecture vocale, choisissez « Texte brut ».
Détails techniques
Générés automatiquement à partir du message : des indices, pas des certitudes
Verdict
Arnaque (hameçonnage) : le message usurpe probablement une collectivité brésilienne et redirige vers un sous-domaine CloudFront aléatoire réclamant 69,90 € pour une période non demandée. Aucun élément ne permet de considérer l'envoi comme légitime ; il doit être bloqué et signalé.
Vecteur d’attaque
Hameçonnage par lien vers une page de paiement ou de collecte de données. Le message usurpe l'identité d'une administration (domaine gouvernemental brésilien) et annonce un renouvellement annuel facturé 69,90 € TTC, pour inciter le destinataire à cliquer sur « Voir mon espace ». Le corps du message reprend un format de notification automatique (« Message généré automatiquement ») afin de paraître routinier. L'objectif probable est la capture de coordonnées bancaires ou d'identifiants, ou un paiement frauduleux. La pression créée (« votre nouvelle période annuelle a pris effet ce jour ») vise à court-circuiter la vérification par le destinataire.
Infrastructure
Le domaine d'expédition senadorcanedo.go.gov.br est un domaine de la collectivité de Senador Canedo (État de Goiás, Brésil), en .gov.br. Ce domaine n'est pas contrôlé par l'attaquant à ce stade et n'est pas nécessairement compromis : son utilisation peut relever d'une usurpation d'en-tête From ou d'une boîte compromise, sans que l'on puisse trancher sans en-têtes d'origine. Le lien pointe vers d107i66sf77mzk.cloudfront.net, sous-domaine aléatoire d'une distribution Amazon CloudFront. CloudFront est un service légitime, mais l'emploi d'un sous-domaine généré aléatoirement, sans rapport avec la collectivité, est typique d'une infrastructure jetable ou d'une page de phishing hébergée sur un CDN pour échapper au filtrage par réputation. Aucun lien de l'organisation vers ce domaine n'est établi.
Signaux techniques
- Lien vers un sous-domaine CloudFront aléatoire (format d107i66sf77mzk) sans lien avec le domaine de la collectivité, alors que le message se prétend émis par celle-ci
- Incohérence de domaine : l'expéditeur est une collectivité brésilienne, le message est rédigé en français et facturé en euros pour une « période annuelle » sans contrat connu du destinataire
- Demande de paiement non sollicitée présentée comme un renouvellement automatique
- Bouton « Voir mon espace » pointant vers une URL externe, et non vers le domaine officiel
- Mise en forme de notification automatique (« Message généré automatiquement ») sans identifiant de dossier, de référence de contrat ni coordonnées vérifiables
- Champ « Titulaire » tronqué et non identifiable, signe d'un gabarit de publipostage mal rempli
- Pression temporelle : effet immédiat et invitation à conserver le message comme justificatif
- Le message est une réexpédition pour signalement : les en-têtes d'origine ne sont pas disponibles pour vérifier le chemin SMTP réel
Expéditeur et authentification
- Adresse expéditrice
- notificacao@senadorcanedo[.]go[.]gov[.]br
- Domaine expéditeur
- senadorcanedo[.]go[.]gov[.]br
- Domaine principal des liens
- d107i66sf77mzk[.]cloudfront[.]net
- SPF
- réussi (pass)
- DKIM
- réussi (pass)
- DMARC
- réussi (pass)
Non disponible (message transféré).
Indicateurs de compromission
Neutralisés (hxxp, [.]) pour éviter tout clic accidentel.
- Domaine d'URL : d107i66sf77mzk[.]cloudfront[.]net
- URL : https://d107i66sf77mzk[.]cloudfront[.]net
- Domaine d'expédition usurpé ou potentiellement compromis : senadorcanedo[.]go[.]gov[.]br
- Adresse expéditeur : notificacao@senadorcanedo[.]go[.]gov[.]br
- Montant réclamé : 69,90 € TTC (période 3 novembre 2026 — 3 novembre 2027)
- Objet : « Camille Dupont, Votre année se poursuit »
- hxxps://d107i66sf77mzk[.]cloudfront[.]net
Réputation des liens
- URLhaus : aucune menace connue
- AlienVault OTX : aucun indicateur connu
Recommandations techniques
1) Ne cliquer sur aucun lien et ne saisir aucune donnée ni moyen de paiement. 2) Bloquer d107i66sf77mzk.cloudfront.net et l'URL associée au niveau proxy, DNS et passerelle de messagerie. 3) Rechercher dans les journaux de messagerie et de proxy toute occurrence de ce sous-domaine ou de l'expéditeur notificacao@senadorcanedo.go.gov.br, puis purger les messages identiques de toutes les boîtes. 4) Demander les en-têtes complets (Received, Authentication-Results, DKIM-Signature, Message-ID) du message d'origine afin de vérifier SPF, DKIM et DMARC de senadorcanedo.go.gov.br et de déterminer si l'usurpation ou la compromission est réelle. 5) Signaler le message au CERT/CSIRT interne, à la collectivité concernée (contact officiel de la commune) et, si la compromission est avérée, au CERT.br. 6) Ajouter une règle de filtrage pour les messages présentant un lien vers un sous-domaine CloudFront aléatoire combiné à une demande de paiement. 7) Sensibiliser les utilisateurs : toute demande de paiement d'un organisme public doit être validée via le site officiel saisi manuellement.