Faux mail « remboursement impôts » : comment le reconnaître

« Vous êtes éligible à un remboursement de 312,45 € », « Dernier délai pour réclamer votre remboursement d'impôt »… Ces faux emails aux couleurs de la DGFiP (la Direction générale des Finances publiques) et d'impots.gouv reviennent chaque année. Ils promettent de l'argent pour vous faire baisser la garde. Leur vrai but : récupérer votre carte bancaire ou vos identifiants fiscaux.

Comment fonctionne l'arnaque

L'email annonce qu'un trop-payé d'impôt vous attend. Pour le recevoir, il faudrait « confirmer vos informations » avant une date limite, souvent très proche. Le lien mène à une copie soignée du site des impôts, avec le logo de la République et les bonnes couleurs. On vous y demande votre numéro fiscal, votre mot de passe, puis votre carte bancaire « pour créditer le remboursement ».

Avec ces informations, les escrocs font des achats sur votre carte. Ils peuvent aussi vous rappeler plus tard en se faisant passer pour votre banque, pour obtenir un code de validation.

Les signes qui doivent vous alerter

• On vous demande votre carte bancaire pour recevoir de l'argent. C'est le signe le plus sûr : un vrai remboursement arrive par virement, sans aucune saisie de carte.
• L'adresse de l'expéditeur n'appartient pas à l'administration, même si le nom affiché dit « Impots.gouv » ou « DGFiP ».
• Le lien mène vers un site dont l'adresse ne se termine pas par impots.gouv.fr. Méfiez-vous des adresses qui contiennent seulement « impots » ou « gouv » au milieu d'un autre nom.
• L'urgence : « sous 24 heures », « dernier rappel », « votre remboursement sera annulé ».
• Un montant précis au centime, pour faire vrai, alors que vous n'attendez rien.
• Une salutation vague (« Cher contribuable ») au lieu de votre nom.

Les bons réflexes

1. Ne cliquez pas sur le lien et ne donnez aucune information.
2. Pour vérifier, allez vous-même sur impots.gouv.fr (en tapant l'adresse) et connectez-vous à votre espace particulier.
3. Si vous avez saisi votre carte, appelez votre banque immédiatement pour faire opposition.
4. Si vous avez donné votre mot de passe, changez-le dans votre espace particulier, et sur les autres sites où vous utilisez le même.
5. Signalez l'email sur signal-spam.fr, ou au 33700 si vous l'avez reçu par SMS. Vous pouvez aussi signaler un faux site sur la plateforme Pharos (internet-signalement.gouv.fr).
6. En cas de perte d'argent, déposez plainte et faites-vous accompagner par cybermalveillance.gouv.fr.

Ce type de message ressemble beaucoup au faux mail Ameli « remboursement » : même promesse d'argent, même demande de carte. Pour les autres signes à connaître, lisez notre guide comment reconnaître un email de phishing.

Vérifiez l'email avec Fishi

Transférez le message suspect à check@fishi.email, de préférence en pièce jointe (voici comment faire). Fishi vérifie si l'expéditeur imite les impôts, où mène vraiment le lien et s'il figure sur des listes de sites de phishing, puis vous répond avec un verdict clair et quoi faire. C'est gratuit et sans compte.