J’ai reçu un mail des impôts m’annonçant un remboursement : ce que j’ai failli taper sur le faux site avant qu’un détail m’arrête

Un mail tombe dans la boîte de réception. Expéditeur : la Direction générale des Finances publiques. Objet : "Remboursement fiscal disponible, action requise". Le montant annoncé est précis, le logo parfaitement reproduit, et un bouton bleu invite à "récupérer votre remboursement". La scène se répète en ce moment pour des centaines de milliers de contribuables français. Vous n'avez pas rêvé : ces messages circulent à grande échelle, et leur timing n'a rien d'un hasard.

Une arnaque qui surfe sur le calendrier fiscal

La vague d'envois ne doit rien au hasard. La campagne de déclaration des revenus 2025 s'est clôturée début juin 2026, et les contribuables se trouvent alors en attente d'un éventuel avis d'imposition ou d'un remboursement, ce qui les rend plus réceptifs à ce type de message. C'est précisément ce moment de flottement, entre la déclaration envoyée et la réponse de l'administration — que les escrocs ont appris à exploiter avec une précision redoutable.

Ces arnaques jouent toujours sur les mêmes leviers : l'urgence, la peur ou la promesse d'un remboursement. Mais ce qui a changé, c'est la qualité de l'exécution. Ces techniques de phishing sont désormais amplifiées par des courriels rédigés via intelligence artificielle, sans fautes, au ton professionnel et adaptés à chaque cible. Fini le mail bourré de coquilles qui trahissait immédiatement sa nature frauduleuse. Les nouveaux messages imitent à la perfection le style neutre et administratif de l'administration fiscale.

Le message annonce généralement un remboursement suite à un "recalcul de votre situation fiscale" ou à "l'application d'un nouveau dispositif". Un bouton coloré vous invite alors à "récupérer votre remboursement" ou à "finaliser votre dossier". Ce bouton constitue le cœur du piège : il redirige vers un site malveillant conçu pour ressembler trait pour trait au portail officiel impots.gouv.fr. Sur ce faux site, vous êtes invité à renseigner vos informations personnelles et, surtout, vos coordonnées bancaires.

Les détails qui trahissent le faux

Votre premier réflexe doit être de regarder l'adresse mail de l'expéditeur, pas seulement le nom affiché. L'administration fiscale n'utilise que des adresses se terminant en "@dgfip.finances.gouv.fr". Tout le reste, même si le nom affiché dit "Direction générale des Finances publiques" en toutes lettres — est un faux. Des exemples d'expéditeurs frauduleux montrent des adresses comme "direction.generale.finances.publiques@mailer.fr" : toute adresse de site ou lien dont l'adresse n'est pas en .gouv.fr cherche vraisemblablement à vous tromper.

Deuxième vérification, encore plus rapide : l'URL du site vers lequel le lien pointe. L'URL du faux site se termine par "-gouv-fr.com" et non par ".gouv.fr", seul domaine réservé à l'État français. La différence est d'un trait d'union. Un seul caractère. Il suffit parfois d'un seul caractère différent pour vous tromper. Ces imitations jouent sur la vitesse de lecture : notre cerveau lit "gouv" et valide mentalement la page comme officielle, sans aller au bout de l'adresse complète.

Troisième indice, le plus révélateur de tous : ne soyez pas trompés par de faux mails au prétexte qu'ils affichent le logo de la DGFiP et un tampon, voire une signature qui semble avoir été faite à la main. La présence d'éléments visuels officiels ne prouve strictement rien, ces images s'importent en deux clics depuis n'importe quelle page web.

Et si le doute persistait encore : le numéro de carte bancaire ne vous est jamais demandé pour le paiement d'un impôt ou le remboursement d'un crédit d'impôt, ni pour compléter vos coordonnées personnelles. C'est la règle d'or, posée noir sur blanc par la DGFiP elle-même. Dès qu'on vous demande un RIB ou un numéro de carte dans ce contexte, le diagnostic est sans appel.

Ce que les escrocs font de vos données

Les coordonnées saisies sont immédiatement dérobées par les cybercriminels qui les exploitent de multiples façons. L'usage le plus direct consiste à détourner de l'argent directement depuis le compte bancaire de la victime : virements, achats en ligne ou faux prélèvements pour vider progressivement les comptes. Mais le préjudice ne s'arrête pas là. Ces données sont également revendues sur le dark web à d'autres malfaiteurs, ce qui multiplie les chances de voir vos informations utilisées pour des fraudes répétées, plongeant les victimes dans un véritable cauchemar administratif et financier.

Un détail moins connu mérite d'être mentionné : certains escrocs se font même passer par téléphone pour des agents du fisc, des huissiers ou même des proches, en utilisant des voix synthétiques reproduisant à l'identique le timbre d'une personne réelle. Ce n'est plus de la science-fiction. L'appel téléphonique vient parfois en complément du mail pour "confirmer" l'opération et lever les derniers doutes de la victime. La sophistication de ces attaques a changé de dimension.

Le bon réflexe : la règle des trois non

Ne cliquez pas sur le lien. Ne renseignez aucun formulaire. Ne rappelez jamais un numéro fourni dans le message. Ces trois règles résument tout. L'administration fiscale n'adresse jamais de courriels vous invitant à vous rendre sur des formulaires en ligne pour obtenir un remboursement sans vous connecter à votre espace authentifié. Un vrai remboursement n'exige aucune action de votre part via un lien reçu par mail.

Au moindre doute, connectez-vous directement à votre espace privé sur le site impots.gouv.fr pour vérifier si une action est attendue de votre part. En tapant vous-même l'adresse dans la barre de navigation, pas en cliquant sur quoi que ce soit. Si vous n'obtenez pas cette confirmation sur votre espace personnel, considérez qu'il s'agit d'une tentative d'arnaque.

Si vous avez déjà cliqué, voire saisi des informations, agissez dans cet ordre précis : appelez votre banque en premier pour bloquer la carte ou les accès concernés, changez immédiatement vos mots de passe, conservez une copie du mail frauduleux, puis signalez-le. Les courriels frauduleux peuvent être signalés sur la plateforme Signal Spam, et toute tentative d'escroquerie déclarée sur le portail gouvernemental Pharos (internet-signalement.gouv.fr). Ces signalements alimentent les bases de données qui permettent de bloquer les campagnes en cours et de protéger d'autres contribuables.

Ce que peu de gens savent : la DGFiP dispose d'une page spécifiquement dédiée à ces tentatives de phishing sur impots.gouv.fr, mise à jour régulièrement avec des exemples de mails frauduleux en circulation. La consulter une fois suffit à comprendre à quel point ces imitations sont devenues bluffantes, et à ne plus jamais baisser la garde.

Sources : axens-audit.fr | ici.fr