Arnaque DGFIP « remboursement d'impôt » diffusée massivement

Qu'est-ce qui se passe

387,12 €. Le montant (précis à deux décimales, ni trop rond ni trop suspect) est l'élément le plus travaillé de la nouvelle vague d'emails frauduleux DGFIP qui circule depuis le 18 mai 2026. Le calendrier n'est pas un hasard : la période de régularisation fiscale ouvre dans les semaines qui suivent, et l'attente d'un remboursement administratif devient un état mental ordinaire pour des millions de foyers.

L'email arrive avec un objet du type « Remboursement validé : référence #FR2026XXXXXX » et invite à percevoir la somme « sous 24 h » via un lien vers un faux portail.

Comment ça marche

Mécanisme fake-admin-site couplé à du phishing-credentials, avec un angle d'attaque qui dépasse le simple vol bancaire :

• Les noms de domaine utilisés imitent celui de la marque ou du service usurpé, et changent d'une salve à l'autre.
• Formulaire : IBAN, nom complet, date de naissance, parfois numéro fiscal
• Certaines variantes demandent une photo de la pièce d'identité « pour valider l'identité » : c'est là que l'attaque devient grave parce que ces données alimentent ensuite des usurpations d'identité (ouvertures de comptes, demandes de crédit conso)

L'IBAN seul ne permet pas un prélèvement non autorisé en France, mais combiné à nom + adresse + pièce d'identité, c'est le kit complet pour usurper. Variante administrative proche du même schéma : faux site Ameli carte Vitale qui collecte aussi numéro de Sécu + CB.

Comment reconnaître

La DGFIP ne demande jamais d'IBAN ni de pièce d'identité par email pour un remboursement. Les remboursements sont versés automatiquement sur le compte déjà déclaré au fisc.

• Domaine officiel : uniquement impots.gouv.fr (et son sous-domaine app)
• Le service vérifie qu'aucune action n'est en attente côté contribuable : connecte-toi directement sur impots.gouv.fr pour vérifier
• Aucun montant de remboursement n'est annoncé par email avec lien externe

Que faire si concerné

• Ne clique pas. Signale comme phishing dans Gmail / Outlook (le clic « Signaler le phishing » nourrit aussi les filtres globaux)
• Si IBAN saisi : surveille tes comptes ; un prélèvement frauduleux peut être tenté via mandat SEPA, contestable mais embêtant
• Si pièce d'identité transmise : dépôt de plainte au commissariat avec urgence, signalement à Cybermalveillance.gouv.fr, surveillance des courriers de banques inconnues pendant 6-12 mois
• Pour vérifier un vrai remboursement, va sur impots.gouv.fr uniquement en tapant l'URL dans la barre d'adresse

Organismes cités

Ces liens mènent à la page d'accueil de chaque organisme, pas au bulletin ni à l'article qui atteste cette campagne.

• Cybermalveillance.gouv.fr
• impots.gouv.fr
• Signal-Spam