Un mail annonce un remboursement d’impôts de 219 €, avec un lien pour « vérifier vos coordonnées bancaires ». L’expéditeur semble officiel, le logo ressemble à celui des impôts, le ton est administratif. Pourtant, cliquer sur ce lien expose votre compte bancaire à un vidage immédiat, et votre banque refusera tout remboursement si vous avez communiqué vos codes vous-même.
Cette arnaque au faux remboursement fiscal circule massivement depuis mars 2026. Elle exploite un réflexe : qui refuse de récupérer de l’argent ? Le procédé est rodé : un mail crédible, un montant plausible, une urgence fictive. L’objectif des escrocs n’est pas de vous convaincre de transférer de l’argent, ils veulent vos identifiants bancaires, que vous allez leur donner volontairement en pensant sécuriser un remboursement légitime. Une fois le formulaire rempli, ils ont accès à votre compte. Les prélèvements frauduleux commencent dans l’heure.
Les banques françaises ont reçu plus de 12 000 signalements de phishing fiscal au premier trimestre 2026, selon la Fédération bancaire française. Le préjudice moyen par victime atteint 1 870 €. La particularité de cette fraude : elle ne déclenche aucune alerte classique, pas de virement inhabituel, pas de connexion depuis l’étranger. Vous autorisez vous-même les opérations en communiquant vos codes.
Le scénario type du faux remboursement fiscal
Le mail arrive entre avril et septembre, période de régularisation des impôts. L’objet annonce « Remboursement en attente » ou « Crédit d’impôt à valider ». Le corps du message mentionne un montant précis (souvent entre 180 € et 350 €) et un délai court : « Ce remboursement expire dans 72 heures ». Un bouton vous invite à « Accéder à votre espace personnel » ou « Vérifier vos coordonnées bancaires ».
Qu’est-ce qu’un LBO ? Comprendre le leveraged buy-out et ses mécanismes
Le lien redirige vers une copie quasi parfaite du site impots.gouv.fr. L’URL ressemble à l’adresse officielle : impots-gouv-remboursement.fr, ou remboursement-dgfip.com. Le formulaire demande votre numéro fiscal, votre identifiant bancaire, parfois votre mot de passe de banque en ligne. Certaines versions réclament même un code de sécurité reçu par SMS, la technique du « reverse OTP » : vous recevez un vrai code de votre banque suite à une tentative de connexion frauduleuse, et vous le transmettez aux escrocs en pensant valider un remboursement.
Une fois ces informations saisies, le site affiche un message de confirmation : « Votre demande est en cours de traitement ». Pendant ce temps, les escrocs se connectent à votre banque en ligne avec vos identifiants. Ils programment des virements vers des comptes mules (souvent domiciliés en Europe de l’Est) ou lancent des prélèvements SEPA sur des commerçants en ligne complices. Le délai entre la saisie du formulaire et le premier prélèvement frauduleux peut descendre à 20 minutes.
Pourquoi les banques refusent de vous rembourser
Juridiquement, la banque n’est tenue de rembourser un virement frauduleux que si vous n’avez pas commis de « négligence grave ». Communiquer volontairement vos codes d’accès constitue cette négligence. L’article L. 133-19 du Code monétaire et financier limite la responsabilité du client à 50 € en cas d’opération non autorisée, sauf si ce dernier a agi « de manière frauduleuse ou avec négligence grave ».
Quand vous remplissez un formulaire de phishing, vous autorisez techniquement les opérations qui suivent. Les escrocs n’ont pas piraté votre compte, vous leur avez donné les clés. Les banques considèrent que vous avez violé l’obligation de confidentialité de vos codes personnels, mentionnée dans toutes les conventions de compte. Résultat : elles refusent le remboursement dans 85 % des cas de phishing avec saisie volontaire d’identifiants, selon une étude de l’Autorité de contrôle prudentiel et de résolution publiée en janvier 2026.
Assurance-vie 2026, faut-il arbitrer vers des fonds euros dynamiques ou sortir
Même si vous contestez les virements frauduleux dans les 13 mois suivant leur débit (délai légal de réclamation) la banque opposera votre propre négligence. Vous pouvez saisir le médiateur bancaire, mais les décisions penchent rarement en faveur du client quand il y a eu communication volontaire de codes. L’AMF a observé un taux de médiation favorable au client inférieur à 12 % dans les dossiers de phishing fiscal en 2025.
La seule option : porter plainte rapidement et espérer un blocage des fonds avant qu’ils ne quittent le territoire. Mais les réseaux d’escrocs utilisent des comptes mules qui vident les fonds reçus en quelques heures. Les chances de récupération tombent sous 8 % passé le premier jour ouvrable suivant la fraude.
Les signaux qui trahissent un faux mail fiscal
La direction générale des finances publiques ne demande jamais de coordonnées bancaires par mail. Le remboursement d’un trop-perçu d’impôt se fait automatiquement sur le compte que vous avez déclaré lors de votre dernière déclaration de revenus. Si ce compte a changé ou si l’administration n’a pas vos coordonnées, elle envoie un chèque du Trésor public par courrier postal, jamais un lien cliquable pour « mettre à jour vos informations ».
L’adresse mail de l’expéditeur est le premier indice. Les mails officiels de la DGFiP proviennent du domaine @dgfip.finances.gouv.fr. Tout autre domaine (même s’il contient « impots », « dgfip » ou « gouv ») est frauduleux. Les escrocs utilisent des adresses comme [email protected] ou [email protected]. Vérifiez l’adresse complète en cliquant sur le nom de l’expéditeur.
L’URL du lien est décisive. Survolez le bouton sans cliquer : l’adresse réelle apparaît en bas de votre navigateur. Le site officiel est toujours impots.gouv.fr, sans tiret, sans extension supplémentaire. Les variantes frauduleuses ajoutent un mot avant ou après : impots-remboursement.fr, remboursement-impots.com, impots.gouv-fr.net. Certaines utilisent des caractères Unicode qui ressemblent visuellement à des lettres latines (technique dite de l’homographe) pour créer des URL trompeuses.
Le ton du message trahit aussi l’arnaque. Les mails officiels de l’administration fiscale ne créent jamais d’urgence artificielle. Pas de « Votre remboursement expire dans 48 heures », pas de « Dernière chance de récupérer votre crédit d’impôt ». L’administration vous informe, elle ne vous presse pas. Un mail qui joue sur l’urgence et la peur de perdre de l’argent est systématiquement frauduleux.
Ce que vous devez faire si vous avez cliqué
Première action : ne fermez pas la fenêtre du site frauduleux. Prenez une capture d’écran complète, URL visible, formulaire affiché, heure système. Cette preuve sera utile pour votre plainte et votre contestation bancaire. Notez l’adresse exacte du site et l’heure à laquelle vous avez saisi vos codes.
Deuxième action immédiate : bloquez votre carte bancaire. Appelez le numéro d’opposition de votre banque, il figure au dos de votre carte ou dans votre application mobile. Expliquez que vous avez communiqué vos identifiants sur un site frauduleux. La banque bloquera votre carte et ouvrira une procédure de contestation. Faites-le dans l’heure qui suit la saisie du formulaire : passé ce délai, les premiers virements frauduleux peuvent déjà être partis.
Troisième action : changez tous vos mots de passe. Si vous avez saisi votre mot de passe de banque en ligne, les escrocs peuvent l’avoir testé sur d’autres services, messagerie, réseaux sociaux, plateformes de paiement. Utilisez des mots de passe différents pour chaque service. Activez l’authentification à deux facteurs partout où c’est possible.
Quatrième action : déposez plainte au commissariat ou en ligne sur le site du ministère de l’Intérieur. Mentionnez l’URL du site frauduleux, l’heure de la saisie, le montant du faux remboursement annoncé. La plainte servira de preuve auprès de votre banque et ouvrira une enquête. Signalez aussi le mail sur signal-spam.fr et sur Pharos, la plateforme officielle de signalement des contenus illicites. Ces signalements permettent le blocage rapide des sites frauduleux.
Si des virements ont déjà été effectués, demandez à votre banque un rappel de fonds, procédure qui tente de récupérer l’argent auprès de la banque destinataire avant qu’il ne soit retiré. Cette démarche n’a de chances de succès que si elle est lancée dans les 24 heures suivant le virement frauduleux. Passé ce délai, les fonds ont généralement quitté le compte mule.
Les variantes actuelles de l’arnaque en 2026
Les escrocs adaptent leurs techniques. Une version récente mentionne le crédit d’impôt pour la transition énergétique : « Suite à vos travaux de rénovation, un crédit de 520 € est disponible ». Le mail vise les propriétaires qui ont réellement fait des travaux et peuvent légitimement attendre un remboursement. Le montant annoncé correspond à des dépenses plausibles (pompe à chaleur, isolation, fenêtres) ce qui renforce la crédibilité.
Autre variante : le faux remboursement de taxe foncière. Le mail arrive en octobre-novembre, période de paiement de cet impôt. Il annonce « une erreur de calcul sur votre avis de taxe foncière 2026 » et propose un remboursement de 140 € à 280 €. Le lien redirige vers un faux espace personnel qui imite le design du site impots.gouv.fr avec une fidélité troublante, mêmes couleurs, même logo Marianne, même menu de navigation.
La technique du reverse OTP se généralise. Le site frauduleux vous demande d’abord votre identifiant de banque en ligne et votre mot de passe. Pendant que vous remplissez la suite du formulaire, les escrocs tentent une connexion à votre banque. Votre banque vous envoie alors un SMS avec un code de validation. Le site frauduleux affiche un champ « Entrez le code reçu par SMS pour valider votre remboursement ». Vous saisissez le code, et vous venez d’autoriser la connexion des escrocs à votre compte. Cette méthode contourne l’authentification forte imposée par la directive européenne DSP2.
Les escrocs exploitent aussi les périodes de réforme fiscale. En 2026, avec les ajustements du barème de l’impôt sur le revenu et les modifications de certains crédits d’impôt, les contribuables sont davantage susceptibles de croire à une régularisation. Un mail qui annonce « Mise à jour de votre situation fiscale suite à la réforme 2026 » joue sur cette actualité.
Comment l’administration fiscale communique réellement
La DGFiP utilise trois canaux pour informer les contribuables. Le courrier postal reste le canal principal pour les avis d’imposition, les demandes de justificatifs et les notifications de remboursement par chèque. Le mail est utilisé uniquement pour vous alerter qu’un nouveau document est disponible dans votre espace personnel, mais ce mail ne contient jamais de lien cliquable direct vers une page de saisie. Il vous invite à vous connecter vous-même sur impots.gouv.fr.
L’espace particulier sur impots.gouv.fr est le seul canal numérique officiel. Vous vous y connectez avec votre numéro fiscal et votre mot de passe, puis vous accédez à vos documents, avis d’imposition, échéancier de paiement, notifications de remboursement. Si un remboursement vous est dû, il apparaît dans la rubrique « Consulter mes paiements ». Aucun formulaire supplémentaire à remplir, l’administration a déjà vos coordonnées bancaires.
Les remboursements d’impôts se font par virement automatique sur le compte que vous avez déclaré. Si vous avez opté pour le prélèvement à la source, c’est ce même compte qui reçoit les éventuels trop-perçus. Le délai moyen de remboursement est de 15 jours ouvrables après la validation de votre déclaration. En cas de contrôle ou de demande de justificatif, ce délai peut s’allonger à 3 mois, mais vous recevez alors un courrier postal expliquant le motif du retard.
Si l’administration n’a pas vos coordonnées bancaires (cas rare, qui concerne surtout les primo-déclarants) elle vous envoie un chèque du Trésor public par courrier recommandé. Ce chèque est encaissable dans n’importe quelle banque. Jamais l’administration ne vous demandera de « mettre à jour vos coordonnées bancaires » via un lien envoyé par mail.
Protéger durablement votre identité numérique
Au-delà de la vigilance ponctuelle, quelques pratiques réduisent structurellement votre exposition au phishing. Utilisez un gestionnaire de mots de passe (Bitwarden, 1Password, Dashlane) qui génère et stocke des mots de passe uniques pour chaque service. Ces outils détectent automatiquement les faux sites : si vous êtes sur un site qui imite votre banque, le gestionnaire ne proposera pas de remplir vos identifiants, car l’URL ne correspond pas à celle enregistrée. C’est un filtre anti-phishing passif très efficace.
Activez l’authentification à deux facteurs partout où elle est proposée. Votre banque en ligne, votre messagerie, votre espace impots.gouv.fr, tous ces services proposent une double authentification par SMS, application mobile ou clé physique. Même si un escroc obtient votre mot de passe, il ne pourra pas se connecter sans le second facteur. Privilégiez les applications d’authentification (Google Authenticator, Microsoft Authenticator) plutôt que les SMS, qui peuvent être interceptés par SIM swapping.
Vérifiez régulièrement vos comptes bancaires. Consultez vos opérations au moins une fois par semaine. Un prélèvement frauduleux de 50 € ou 80 € peut passer inaperçu si vous ne regardez vos relevés qu’une fois par mois. Plus vous détectez tôt une opération suspecte, plus vous avez de chances de la contester avec succès. Paramétrez des alertes SMS ou push pour tout virement supérieur à un seuil que vous définissez, 100 €, 200 €, selon vos habitudes.
Méfiez-vous des mails non sollicités, même s’ils semblent provenir d’organismes officiels. Aucune administration (impôts, sécurité sociale, retraite, Pôle emploi) ne vous demandera de cliquer sur un lien pour valider des informations personnelles. Si vous recevez un mail qui annonce un remboursement ou une régularisation, ne cliquez pas. Ouvrez un nouvel onglet, tapez vous-même l’adresse officielle du service concerné, connectez-vous à votre espace personnel. Si le mail est légitime, l’information apparaîtra dans votre espace.
Enfin, formez votre entourage. Les personnes âgées sont des cibles privilégiées du phishing fiscal : elles sont moins familières des codes numériques, plus susceptibles de faire confiance à un mail qui semble officiel. Expliquez à vos parents ou grands-parents que l’administration fiscale ne demande jamais de coordonnées bancaires par mail. Montrez-leur comment vérifier l’adresse de l’expéditeur et l’URL d’un lien. Une conversation de 10 minutes peut leur éviter une perte de plusieurs milliers d’euros.
Les informations contenues dans cet article sont fournies à titre indicatif et ne constituent pas un conseil en investissement, fiscal ou juridique personnalisé. Consultez un professionnel qualifié (notaire, avocat fiscaliste, CGP) avant toute décision patrimoniale.
