Un e-mail ou un SMS vous annonce un remboursement d’impôt, un trop-perçu ou une somme à récupérer. Le message reprend le logo des Finances publiques, affiche parfois un montant précis et vous demande de cliquer rapidement pour « confirmer » vos informations.
Ne passez pas par le lien reçu. Pour vérifier un remboursement, ouvrez vous-même impots.gouv.fr ou l’application officielle et consultez votre espace particulier.
L’essentiel en 30 secondes
- Ne cliquez pas sur le lien contenu dans le mail ou le SMS.
- Ouvrez vous-même impots.gouv.fr ou l’application officielle.
- Vérifiez votre espace particulier et sa messagerie sécurisée.
- Un remboursement fiscal légitime n’exige pas de paiement de frais ni de validation par carte bancaire.
- La DGFiP ne demande pas votre numéro de carte bancaire pour verser un remboursement.
- Un logo, votre nom ou un montant très précis ne prouvent pas que le message est authentique.
- Si vous avez transmis un mot de passe ou des données bancaires, réagissez immédiatement.
Comment fonctionne l’arnaque au faux remboursement ?
Le scénario est conçu pour donner envie d’agir vite : le message affirme qu’après un calcul de votre situation fiscale, vous devez recevoir plusieurs dizaines ou centaines d’euros.
Pour rendre l’annonce crédible, les escrocs peuvent :
- reprendre les couleurs et logos de la Direction générale des Finances publiques ;
- afficher un montant précis, par exemple 218,80 € plutôt qu’un chiffre rond ;
- utiliser votre nom ou d’autres informations déjà connues ;
- annoncer une date limite très courte ;
- imiter une adresse ou un nom d’expéditeur officiel ;
- envoyer un lien vers un site qui ressemble fortement à impots.gouv.fr.
Le faux site demande ensuite des informations personnelles, vos identifiants fiscaux ou les données de votre carte bancaire. Dans certains cas, il réclame également un code reçu par SMS afin de permettre une opération bancaire frauduleuse.
Comment se déroule un vrai remboursement d’impôt ?
Lorsqu’un remboursement est réellement dû, il est normalement versé automatiquement sur le compte bancaire enregistré auprès de l’administration fiscale.
Vous n’avez pas à :
- payer quelques euros de « frais de dossier » ;
- saisir votre carte bancaire pour recevoir la somme ;
- communiquer un cryptogramme ;
- donner un code de validation reçu par SMS ;
- utiliser un lien reçu dans un message pour « débloquer » le remboursement.
Si une démarche est réellement attendue de votre part, vérifiez-la directement dans votre espace particulier sur le site officiel.
Comment vérifier le message sans prendre de risque ?
1. Ne répondez pas au message
Ne confirmez pas que votre adresse e-mail ou votre numéro de téléphone est actif et ne demandez pas d’explications à l’expéditeur.
2. N’utilisez pas le bouton ou le lien reçu
Même si l’adresse affichée contient les mots « impôts », « finances » ou « gouv », ouvrez un nouvel onglet et saisissez vous-même impots.gouv.fr.
3. Consultez votre espace particulier
Regardez votre situation et votre messagerie sécurisée. Si le remboursement ou la démarche annoncée n’y apparaît pas, ne poursuivez pas depuis le message reçu.
4. Contactez les impôts par un canal trouvé indépendamment
Utilisez les coordonnées présentes sur vos documents officiels, dans votre espace particulier ou dans la rubrique de contact du site impots.gouv.fr.
Ne rappelez pas un numéro indiqué uniquement dans le message suspect.
Les signes qui doivent vous alerter
Un seul indice ne suffit pas toujours, mais plusieurs de ces éléments doivent vous faire interrompre la démarche :
- remboursement que vous n’attendiez pas ;
- pression pour agir dans les heures qui suivent ;
- bouton « recevoir mon remboursement » ou « confirmer mes coordonnées » ;
- demande de carte bancaire ;
- demande d’identifiant fiscal et de mot de passe depuis une page ouverte par un lien reçu ;
- demande d’un code bancaire ou d’un code reçu par SMS ;
- faute dans le nom de domaine ;
- adresse très longue ou ressemblant seulement à impots.gouv.fr ;
- pièce jointe inattendue ;
- message menaçant de perdre le remboursement si vous ne répondez pas immédiatement.
La présence du logo de la République française, d’un tampon, d’une signature ou du nom d’un véritable service ne constitue pas une preuve : ces éléments peuvent être copiés.
Et si l’adresse e-mail semble officielle ?
La DGFiP indique utiliser des adresses relevant du domaine @dgfip.finances.gouv.fr. Une autre terminaison est donc un signal d’alerte.
Mais une adresse qui paraît correcte ne suffit pas à garantir l’authenticité : le nom affiché de l’expéditeur peut être maquillé ou usurpé. En cas de doute, vérifiez toujours depuis votre espace fiscal ou contactez directement votre service des impôts.
Vous avez seulement ouvert le message ou cliqué sur le lien
Si vous n’avez saisi aucune information, validé aucun paiement et téléchargé aucun fichier :
- fermez la page ;
- ne la rouvrez pas pour « vérifier » ;
- ne téléchargez aucune pièce ou application proposée ;
- contrôlez les téléchargements récents de votre navigateur ;
- conservez éventuellement une capture du message pour le signaler ;
- supprimez ensuite le message frauduleux.
Le simple fait d’avoir ouvert une page ne signifie pas automatiquement que votre compte fiscal ou votre compte bancaire a été piraté. Le risque augmente surtout si vous avez transmis des informations, installé un fichier ou accordé une autorisation.
Vous avez saisi votre numéro fiscal ou votre mot de passe
Depuis une nouvelle fenêtre, ouvrez directement le véritable site impots.gouv.fr puis :
- changez immédiatement le mot de passe compromis ;
- changez-le également sur les autres services où vous utilisiez le même mot de passe ;
- vérifiez les informations présentes dans votre espace fiscal ;
- contrôlez votre messagerie sécurisée et les opérations récentes ;
- sécurisez aussi votre adresse e-mail si le même mot de passe y était utilisé ;
- contactez votre service des impôts par ses coordonnées officielles si vous constatez une modification ou une action que vous n’avez pas effectuée.
Votre messagerie est particulièrement importante : si elle est compromise, elle peut être utilisée pour réinitialiser d’autres comptes.
Vous avez communiqué votre carte bancaire
Contactez immédiatement votre banque avec un numéro obtenu depuis son application officielle, son site ou le dos de votre carte.
Indiquez précisément ce que vous avez transmis :
- numéro de carte ;
- date d’expiration ;
- cryptogramme ;
- identité du titulaire ;
- code reçu par SMS ;
- validation réalisée dans l’application bancaire ;
- éventuelle opération déjà visible.
La banque vous indiquera les mesures à prendre, notamment l’opposition si elle est nécessaire. Surveillez ensuite votre compte.
Si des paiements frauduleux par carte apparaissent et que les conditions sont remplies, le signalement Perceval peut être utilisé. Conservez les preuves et suivez les indications de votre banque pour contester les opérations.
Vous avez envoyé une pièce d’identité ou d’autres documents
Conservez la liste exacte des documents transmis et les échanges avec l’escroc. Ces informations peuvent être réutilisées pour d’autres tentatives de fraude ou d’usurpation d’identité.
Signalez le compte ou le message, sécurisez vos accès et surveillez toute démarche ou souscription inconnue. Si vos documents sont utilisés frauduleusement, conservez les preuves et déposez plainte.
Consultez également notre guide consacré à la pièce d’identité envoyée à un escroc.
Comment signaler le faux message ?
Avant de supprimer le message, gardez si possible une capture, l’adresse du site et les informations utiles au signalement sans retourner sur la page frauduleuse.
- SMS frauduleux : signalez-le via la plateforme 33700.
- E-mail frauduleux : vous pouvez le signaler à Signal Spam.
- Site d’hameçonnage : Cybermalveillance.gouv.fr recommande également Phishing Initiative.
- Besoin d’être guidé : utilisez le diagnostic officiel 17Cyber.
Vous pouvez aussi prévenir la DGFiP en utilisant exclusivement ses coordonnées officielles.
À retenir
Un vrai remboursement d’impôt ne devient pas plus crédible parce que le message connaît votre nom, affiche un logo officiel ou annonce un montant précis.
Le réflexe le plus sûr reste toujours le même : quittez le message et vérifiez vous-même dans votre espace sur impots.gouv.fr.
Sources officielles vérifiées
- Impots.gouv.fr — Courriels et SMS frauduleux (hameçonnage ou phishing)
- Impots.gouv.fr — Courriel et SMS : soyez vigilants
- Cybermalveillance.gouv.fr — Remboursement d’impôt : attention aux tentatives d’hameçonnage
- Cybermalveillance.gouv.fr — L’hameçonnage aux couleurs des impôts
- Cybermalveillance.gouv.fr — Que faire en cas de phishing ou hameçonnage ?
- 33700 — Plateforme de lutte contre les SMS indésirables
- 17Cyber — Assistance officielle aux victimes
Sources vérifiées le 24 septembre 2026. Les procédures peuvent évoluer : utilisez toujours les applications et sites officiels.