Votre société vient d'être immatriculée. Une semaine plus tard, une lettre arrive : en-tête officiel, numéro SIREN exact, montant à régler « sous sept jours sous peine de radiation », et un QR code pour payer. Le 6 août 2026, l'INPI a publié une alerte sur ce type de courrier, avec une phrase à retenir : « Ces demandes sont frauduleuses, l'INPI n'envoyant jamais de courrier avec demande de paiement via QR code » (INPI).
Ce n'est pas un cas isolé. Dès 2019, le gouvernement constatait que « de nombreuses entreprises, souvent nouvellement créées, sont la cible de pratiques frauduleuses » (Assemblée nationale).
Pourquoi ces courriers vous trouvent-ils si vite ?
Parce que l'immatriculation est publique, par principe. Dès que la société existe, sa dénomination, son SIREN, son adresse, la date de création et le nom du dirigeant sont consultables gratuitement, et l'annonce légale les a déjà publiés (voir l'épisode sur les statuts). Les escrocs n'ont rien à pirater : ils lisent les nouvelles immatriculations et envoient leurs courriers aux adresses qu'elles indiquent. Un site spécialisé observe que ces lettres arrivent entre 7 et 30 jours après l'immatriculation (Jedeclaremonmeuble).
C'est aussi ce qui les rend crédibles : le courrier connaît votre numéro, votre date de création, parfois votre activité. Mais ces informations sont publiques ; les connaître ne prouve rien.
À quoi ressemblent-ils ?
Le faux avis de l'INPI. Courrier papier, en-tête INPI, QR code, demande de paiement « dans les sept jours sous peine de radiation » (INPI). Les frais de formalité se paient en ligne au moment du dépôt sur le guichet unique, pas après, par courrier.
Le faux registre. Un « Registre des sociétés et des indépendants » a réclamé 890 euros sous sept jours, avec un QR code menant vers une page de paiement ; « ce registre n'existe pas et personne ne vous doit rien », conclut une plateforme spécialisée (Superindep). Un « Registre numérique des entreprises » réclame 195,18 euros sous huit jours « pour finaliser votre immatriculation », avec un faux numéro Cerfa (Jedeclaremonmeuble). Infogreffe recense plus de 120 sites et courriers de ce type dans un répertoire mis à jour le 8 septembre 2026 : RSCI, E-siren, CNRCS, ANRCS, « Identification légale », « Registre TVA Intracommunautaire »… (Infogreffe). LegalPlace en cite d'autres et rappelle que « l'URSSAF ne vous demandera jamais de payer autre chose que vos cotisations sociales » (LegalPlace).
L'annuaire professionnel. Un formulaire présenté comme une simple « mise à jour de vos coordonnées » est en réalité un bon de commande pour une insertion payante dans un annuaire, souvent sur plusieurs années. La DGCCRF note que les entreprises nouvellement immatriculées sont des cibles privilégiées, et conseille : « Ne signez jamais dans la précipitation » (DGCCRF).
La fausse facture de marque. Si vous avez déposé une marque, des sociétés proposent de la « publier » ou de la « renouveler » dans des registres privés. L'INPI rappelle que seule la publication au Bulletin officiel de la propriété industrielle produit un effet juridique : « Toute autre insertion est dépourvue d'effet juridique » (INPI, avertissement téléchargeable sur cette page).
Attention aux noms : l'European Business Register était un réseau légitime de registres officiels européens, qui a cessé ses services le 31 mars 2026 (registre estonien). Les arnaques jouent sur des noms voisins de ceux d'organismes réels.
Comment reconnaître un faux courrier ?
Aucun signe n'est décisif à lui seul, mais leur accumulation l'est :
- l'urgence : sept ou huit jours pour payer, sous menace de radiation ou de sanction ;
- un mode de paiement inhabituel : QR code, IBAN étranger, page de paiement en ligne générique ;
- un nom qui ressemble à un organisme officiel sans en être un : « registre », « répertoire », « national », « officiel », Marianne approximative ;
- des petites lignes qui révèlent une offre commerciale facultative, souvent au verso ;
- un organisme que vous ne connaissez pas et avec lequel vous n'avez jamais eu de relation.
Rappelez-vous ce que vous avez réellement payé, au moment du dépôt : pour une société, les frais de greffe et l'annonce légale ; pour une micro-entreprise, rien, l'immatriculation étant gratuite. Il n'existe pas de frais d'inscription supplémentaire à régler par courrier après l'immatriculation.
Que faire en cas de doute, ou si l'on a payé ?
Ne scannez pas le QR code et n'appelez pas le numéro du courrier. Allez vous-même sur le site officiel, en tapant l'adresse : formalites.entreprises.gouv.fr pour vos formalités, inpi.fr pour une marque, votre espace Urssaf ou impots.gouv.fr. Un QR code ne montre pas où il mène avant d'être scanné : c'est ce qui en fait l'outil favori de ces courriers, comme nous l'expliquons dans Les QR codes piégés se cachent dans les PDF. Si le courrier arrive en PDF par e-mail, ne l'ouvrez pas à l'aveugle : Analyser PDF signale, sans transmettre le fichier à un serveur, la présence de liens et de mécanismes actifs (JavaScript, action automatique à l'ouverture, fichier joint, envoi de formulaire). Il n'affiche pas l'adresse des liens et ne lit pas les QR codes.
Si vous avez payé : prévenez immédiatement votre banque, qui pourra parfois bloquer ou contester le paiement ; conservez le courrier et les preuves de paiement ; signalez les faits sur SignalConso et portez plainte. Pour un bon de commande d'annuaire signé, la DGCCRF conseille d'abord un recours amiable par lettre recommandée avec accusé de réception, puis, sans réponse, de saisir la direction départementale de la protection des populations ; si la société est à l'étranger, elle recommande de porter plainte pour escroquerie. Elle prévient aussi que, lorsque le contrat a été régulièrement signé, le caractère frauduleux « est difficile à démontrer » (DGCCRF). Cybermalveillance.gouv.fr accompagne les victimes : en 2025, l'hameçonnage y figurait « au premier rang des menaces, tous publics confondus », en hausse de 70 % (Cybermalveillance.gouv.fr).
Gardez une trace. Classez vos vrais justificatifs de formalité (récépissé du guichet unique, facture de l'annonce légale) dans un même dossier : face à un courrier douteux, il suffit de vérifier qu'il ne correspond à rien que vous ayez réellement commandé.
Lexique
Hameçonnage (phishing) : technique qui consiste à se faire passer pour un organisme de confiance pour obtenir un paiement ou des informations.
BOPI : Bulletin officiel de la propriété industrielle, seule publication des marques qui produit un effet juridique.
SignalConso : service public de signalement des problèmes rencontrés avec une entreprise.
DDPP : direction départementale de la protection des populations, relais local de la DGCCRF.
Pratique commerciale trompeuse : pratique qui induit en erreur sur la nature d'un service ou sur l'identité de celui qui le propose ; c'est un délit.
Vérifier un PDF suspect sans l'envoyer à personne : PDFKami, dans votre navigateur.