ncsc-support.pro est au cœur d’une série de courriels particulièrement inquiétants transmis à notre rédaction par une victime. Des individus se présentant comme le National Cyber Security Centre britannique (NCSC) lui annoncent que 152 ETH, soit environ 260 000 euros, auraient été retrouvés et enregistrés à son nom. Selon ses interlocuteurs, ces cryptomonnaies auraient été identifiées à la suite d’une enquête internationale, placées sous la supervision du HM Treasury et de la High Court of England and Wales et constitueraient désormais une mystérieuse « dette souveraine du Royaume-Uni » envers elle.
Pour récupérer cette somme considérable, il lui suffirait dans un premier temps de répondre :
« Oui, je souhaite réclamer les actifs enregistrés à mon nom. »
L’expéditeur se présente comme le National Cyber Security Centre britannique, le véritable organisme chargé de la cybersécurité du Royaume-Uni. Problème : le NCSC n’a rien à voir avec ces messages. Nous avons remonté le scénario et effectué plusieurs vérifications. Ce que nous avons découvert correspond très précisément à une forme d’escroquerie déjà documentée par plusieurs autorités : le « recovery scam », ou arnaque à la récupération de fonds.
Tout commence par un mail qui ne promet rien
Le premier message est envoyé le 10 août 2026. L’expéditeur apparaît sous le nom de « Steven Simpson », mais utilise une adresse Gmail sans rapport apparent avec cette identité. À ce stade, il n’est encore question ni du NCSC, ni du gouvernement britannique, ni de cryptomonnaies. Le courriel se présente simplement comme un « Aperçu de votre dossier Juin 2026 ».
Le premier message ne parle encore ni du NCSC ni de cryptomonnaies. Il présente de mystérieuses « mentions conservées » et invite simplement son destinataire à répondre.
Une structure baptisée « Aberdeen & Co. Gestion des données », prétendument installée Friedrichstraße 100 à Berlin, indique détenir plusieurs « mentions » associées au nom du destinataire. Trois sommes sont énumérées : 1 280 euros, 2 450 euros et 890 euros. Le message reste volontairement très vague :
« Les entrées mentionnées sont en tant que “en stock”. Il n’est question d’aucune obligation vous concernant. »
Le destinataire est simplement invité à indiquer si les informations lui semblent compréhensibles. C’est probablement là que se trouve le véritable objectif de ce premier message : obtenir une réponse. Intriguée, la victime demande effectivement de quoi il s’agit. À partir de cet instant, le scénario change complètement.
Deux jours plus tard, 152 ETH apparaissent
Le 12 août, les interlocuteurs ne se présentent plus comme un obscur service allemand. Cette fois, ils signent « Customer Assistance Department – National Cyber Security Centre (NCSC) » et expliquent qu’une « vaste enquête internationale » aurait été menée en collaboration avec des autorités européennes de renseignement financier.
Au cours de cette enquête, des fonds liés aux données personnelles de la victime auraient été découverts. Montant annoncé : 152 ETH, soit environ 260 000 euros. Les auteurs affirment alors :
Le 12 août 2026, les auteurs se présentent comme le NCSC britannique et affirment que 152 ETH seraient détenus sous la supervision du HM Treasury et de la High Court of England and Wales.
« Ces fonds constituent une dette souveraine du Royaume-Uni envers vous – une obligation légale de l’État de restituer ces actifs à leur propriétaire légitime. »
L’histoire est impressionnante. Elle est surtout truffée d’éléments destinés à lui donner une apparence officielle.
[email protected] : une adresse qui n’est pas celle du NCSC
Les messages sont notamment envoyés depuis [email protected]. Or le véritable National Cyber Security Centre britannique est particulièrement clair sur ce point : ses adresses électroniques officielles se terminent par @ncsc.gov.uk. Le NCSC dispose même d’un service permettant de vérifier si une personne prétendant travailler pour lui appartient réellement à ses services.
L’organisme précise également que lorsqu’il contacte une personne, il ne lui demande jamais de paiement ni de coordonnées financières. Le domaine ncsc-support.pro ne doit donc surtout pas être confondu avec le domaine officiel ncsc.gov.uk.
Une mystérieuse ordonnance « CRP-2116 »
Pour donner une dimension judiciaire à l’opération, les auteurs citent également une prétendue décision exécutoire : « ordonnance CRP-2116 de la High Court of England and Wales ». Nous avons recherché cette référence dans les sources publiques disponibles et nous n’avons retrouvé aucune décision de la High Court britannique correspondant à l’affaire décrite dans ces courriels.
L’utilisation d’un numéro d’ordonnance remplit néanmoins parfaitement son rôle : donner l’impression qu’il existe un véritable dossier judiciaire que la victime aura beaucoup de difficultés à vérifier elle-même.
Le Royaume-Uni peut réellement saisir des cryptomonnaies
C’est précisément ce qui rend cette histoire relativement crédible. Le droit britannique permet effectivement aux autorités de saisir, geler et confisquer des cryptoactifs provenant d’activités criminelles. Les pouvoirs des autorités en la matière ont notamment été renforcés par l’Economic Crime and Corporate Transparency Act.
Mais la procédure réelle n’a rien à voir avec celle décrite dans ces courriels. La documentation officielle du gouvernement britannique prévoit notamment que des cryptoactifs peuvent être restitués à leur véritable propriétaire lorsqu’une juridiction compétente estime qu’il en était le propriétaire légitime et qu’il en a été privé par une activité illégale.
On est donc très loin d’un « service client » envoyant un ultimatum par email et demandant au bénéficiaire de recopier une phrase pré-écrite.
Une « dette souveraine du Royaume-Uni » ?
L’expression employée dans les courriels mérite aussi de s’y arrêter. Affirmer que ces 152 ETH constitueraient une « dette souveraine du Royaume-Uni » envers la victime donne une dimension juridique impressionnante au dossier, mais ne correspond pas au mécanisme officiel de restitution de cryptoactifs saisis décrit par les autorités britanniques.
Les auteurs semblent ici mélanger plusieurs notions juridiques réelles pour fabriquer une procédure qui paraît crédible à une personne peu familière du droit britannique.
Puis vient l’ultimatum
Le 17 août, la victime reçoit un nouveau message et doit une nouvelle fois confirmer : « Oui, je souhaite réclamer les actifs enregistrés à mon nom.
Le 17 août 2026, les auteurs relancent leur cible et lui demandent de confirmer « sans délai » qu’elle souhaite réclamer les prétendus 152 ETH.
» Puis arrive le message du 20 août 2026. Cette fois, les auteurs fixent une date limite : le 24 août 2026.
Ils affirment qu’en l’absence de réponse, les 152 ETH seront « confisqués et définitivement transférés au Trésor britannique » et qu’aucun recours ne sera ensuite possible. Le message se termine par : « Ceci est votre dernier avertissement. »
Le 20 août, le ton monte encore d’un cran : quatre jours sont laissés à la victime pour réclamer les prétendus 152 ETH, sous peine de les voir, selon les auteurs du message, « définitivement transférés au Trésor britannique ».
Nous retrouvons ici un mécanisme classique de l’ingénierie sociale : créer artificiellement une urgence. La victime doit agir rapidement, avant d’avoir le temps de vérifier l’histoire auprès d’un proche, d’un avocat, d’une banque ou directement auprès de l’autorité dont l’identité est usurpée.
Le NCSC a déjà été usurpé dans des arnaques similaires
C’est l’un des éléments les plus intéressants de cette enquête. Le scénario reçu par cette victime n’est pas inédit. En septembre 2025, le Centre national pour la cybersécurité suisse a documenté une campagne dans laquelle un faux agent du NCSC prétendait aider des victimes à récupérer des fonds.
Le mode opératoire présente d’importantes similitudes. Les escrocs expliquaient que le nom de leur victime avait été retrouvé dans les fichiers d’un courtier frauduleux, prétendaient collaborer avec différentes autorités étrangères, notamment la Financial Conduct Authority britannique (FCA), et annonçaient avoir retrouvé une importante somme en cryptomonnaies.
Dans l’un des exemples documentés par les autorités suisses : 220 600 USDT. Le NCSC suisse explique que le prétendu agent n’existait pas et que de faux documents officiels étaient utilisés pour donner de la crédibilité au scénario. Consulter l’alerte du NCSC suisse.
Les « recovery scams » progressent fortement
Le phénomène n’est pas marginal. Dans son rapport consacré au second semestre 2025, le NCSC suisse indique que les signalements de recovery scams sont passés de 145 au premier semestre 2025 à 325 au second semestre. Les fraudeurs utilisent notamment de faux documents et usurpent l’identité d’autorités comme Europol, Interpol, des régulateurs financiers ou des organismes nationaux de cybersécurité.
La Financial Conduct Authority britannique met elle aussi en garde contre les « recovery room scams ». Le principe est simple : une personne ayant déjà perdu de l’argent est recontactée par quelqu’un qui prétend pouvoir récupérer ses fonds. Les fraudeurs peuvent se présenter comme une autorité ou affirmer collaborer avec le gouvernement, la police ou un régulateur. Des frais, taxes ou honoraires apparaissent ensuite pour permettre la prétendue restitution.
Un faux « National Cyber Security Centre » déjà signalé
La rédaction a retrouvé un autre élément intéressant. La Financial Markets Authority de Nouvelle-Zélande répertorie dans ses alertes consacrées aux arnaques à la récupération de cryptomonnaies un « National Cyber Security Centre (Imposter) », autrement dit un faux National Cyber Security Centre.
Cette entrée a été ajoutée le 28 novembre 2025. Consulter l’alerte de la Financial Markets Authority.
Nous ne disposons actuellement d’aucun élément permettant d’affirmer que cette précédente campagne et ncsc-support.pro sont exploités par les mêmes personnes. En revanche, cela démontre que l’identité du National Cyber Security Centre a déjà été utilisée dans des campagnes de récupération frauduleuse de cryptomonnaies.
Un détail étonnant dans le premier mail
Le premier courriel prétend provenir d’une structure appelée Aberdeen & Co. Gestion des données, située Friedrichstraße 100 à Berlin. Mais un détail situé tout en bas du message a retenu notre attention : les liens « Se désabonner » et « Confidentialité » ne dirigent pas vers cette prétendue société allemande. Ils renvoient vers nsandi.com.
Or NS&I, pour National Savings and Investments, est un véritable organisme britannique soutenu par le gouvernement britannique, dont les produits sont garantis par HM Treasury. Le véritable site de NS&I explique son statut ici.
Ce détail est particulièrement intéressant : le premier message introduit discrètement un véritable organisme britannique lié au HM Treasury avant même que les auteurs ne commencent à parler du NCSC, de la High Court et du Trésor britannique. Il pourrait s’agir d’un moyen supplémentaire de crédibiliser le message auprès d’un destinataire qui déciderait de cliquer sur ces liens.
Pourquoi demandent-ils simplement de répondre « oui » ?
Dans les courriels que nous avons pu consulter, aucune demande directe de paiement n’a encore été formulée. Il serait donc prématuré d’affirmer quel paiement aurait été demandé à cette victime si elle avait poursuivi la procédure. En revanche, le déroulement correspond à la mécanique décrite par les autorités dans les arnaques à la récupération de fonds.
La victime est progressivement engagée dans le scénario : elle répond d’abord à un message anodin, apprend ensuite que des fonds considérables existent, puis doit confirmer qu’elle souhaite les récupérer. Ce n’est généralement qu’ensuite qu’apparaissent les frais prétendument indispensables : taxe, frais administratifs, frais de transaction, frais juridiques ou somme nécessaire au déblocage des cryptomonnaies.
Pourquoi connaissent-ils les coordonnées de la victime ?
Le premier message contenait déjà plusieurs informations personnelles concernant son destinataire. Ces données peuvent provenir de multiples sources : bases commerciales, fuites de données, anciennes campagnes frauduleuses ou fichiers circulant entre différents réseaux.
La FCA britannique avertit justement que les coordonnées d’une personne ayant déjà été victime d’une fraude peuvent être conservées ou revendues à d’autres fraudeurs qui tenteront ensuite une arnaque à la récupération de fonds. C’est ce qui rend ces campagnes particulièrement dangereuses : elles s’adressent parfois à des personnes qui ont déjà perdu de l’argent et qui espèrent depuis des mois ou des années pouvoir le récupérer.
ncsc-support.pro : ce que nous pouvons établir à ce stade
À la date de publication de cette enquête, nos recherches n’ont permis d’identifier aucune alerte officielle spécifiquement consacrée au domaine ncsc-support.pro. Nous ne lui attribuons donc pas un opérateur ou un réseau déterminé sans preuve.
En revanche, plusieurs éléments peuvent être établis : [email protected] n’est pas une adresse officielle du NCSC britannique, le véritable NCSC utilise des adresses se terminant par @ncsc.gov.uk, le scénario correspond à une catégorie d’escroquerie documentée par plusieurs autorités et l’identité du NCSC a déjà été usurpée dans des campagnes de récupération de cryptomonnaies.
Les courriels utilisent également plusieurs véritables institutions britanniques pour donner une apparence officielle au récit. Enfin, nous n’avons retrouvé aucune décision britannique correspondant à la prétendue ordonnance « CRP-2116 » décrite dans les messages.
La rédaction va continuer à surveiller ncsc-support.pro ainsi que les éventuels domaines, adresses électroniques ou infrastructures susceptibles d’être associés à cette campagne.
Vous avez été contacté par ncsc-support.pro ?
Si vous avez reçu un message provenant de ncsc-support.pro, ne versez aucune somme et ne transmettez aucun document d’identité ou information bancaire avant d’avoir vérifié directement l’identité de votre interlocuteur auprès de l’organisme officiel concerné.
Conservez surtout les courriels originaux et leurs en-têtes complets, les documents reçus, les numéros de téléphone utilisés, les adresses de portefeuilles crypto et les coordonnées bancaires qui pourraient vous être communiquées.
Si vous avez reçu le même type de message, ou si une personne prétendant travailler pour le NCSC, la FCA, HM Treasury ou une juridiction britannique vous promet de récupérer des cryptomonnaies, contactez Warning Trading et transmettez-nous les éléments reçus. Le rapprochement de plusieurs témoignages peut permettre d’identifier d’autres domaines, adresses électroniques, portefeuilles de cryptomonnaies ou infrastructures utilisés dans cette campagne.
