Arnaque au remboursement d’impôts 2026 : gare aux mails et SMS usurpant l’identité de la DGFiP

La Direction générale des Finances publiques (DGFiP) verse les remboursements d’impôt sur le revenu les 24 et 31 juillet 2026. Dans une alerte publiée le 15 juillet, Cybermalveillance.gouv.fr, la plateforme publique d’assistance et de prévention en sécurité numérique, rappelle que cette échéance s’accompagne chaque année de campagnes d’hameçonnage (phishing en anglais) usurpant l’identité de l’administration fiscale. Les faux messages arrivent par e-mail, par SMS ou par téléphone, annoncent un soi-disant remboursement ou un trop-perçu et appellent à cliquer sur un lien pointant vers un faux site pour en bénéficier.

Faux montant, vrai logo : la mécanique du piège

Le scénario varie peu d’une campagne à l’autre. Généralement, les messages qui semblent provenir de l’administration fiscale affichent un montant précis « pour paraître crédibles », reprennent l’identité visuelle et le ton de l’administration, instaurent un « sentiment d’urgence » et contiennent un lien cliquable renvoyant vers un faux site. Sur cette page, il est demandé à l’internaute de laisser ses données personnelles, ses identifiants fiscaux ou ses coordonnées bancaires.

De son côté, La DGFiP recense, parmi les messages et appels frauduleux « les plus nombreux », des tentatives de fraude à la carte bancaire prétextant une restitution d’impôts.

Les réflexes qui coupent court à l’escroquerie

L’administration fiscale ne demande jamais de coordonnées bancaires ni d’informations personnelles par e-mail ou par téléphone et invite à ne pas répondre à ce type de sollicitations. L’octroi des remboursements étant automatique, aucun formulaire de demande n’est requis. « Aucun paiement de frais ni validation par carte bancaire ne vous sera demandé pour en bénéficier », précise Cybermalveillance.gouv.fr dans son alerte.

La plateforme rappelle que pour vérifier le montant du remboursement auquel on peut prétendre, il convient de se connecter à son espace Finances publiques en saisissant soi-même l’adresse officielle dans son navigateur. Elle invite à ne pas cliquer « sur les liens contenus dans un e-mail, un SMS ou un message annonçant un remboursement d’impôt ».

Autre précaution à prendre : ne « jamais » révéler ses identifiants ou ses coordonnées bancaires « à la suite d’un e-mail, d’un SMS ou d’un appel non sollicité ». Pour actualiser ses coordonnées bancaires, il faut se rendre sur son espace Finances publiques, dans l’espace « Gérer mon prélèvement à la source ».

Autre réflexe à adopter pour éviter les arnaques : examiner les adresses utilisées. L’administration fiscale n’utilise que des e-mails dont le domaine est @dgfip.finances.gouv.fr et des sites se terminant par .gouv.fr. Un message estampillé DGFiP expédié depuis un autre nom de domaine « est frauduleux », signale la Direction générale des finances publiques sur son site. Les leurres s’appuient sur des sites et des liens dont l’adresse ne contient pas .gouv.fr, parfois masqués derrière un lien raccourci.

La DGFiP rappelle que toute tentative d’escroquerie se signale au 0 805 805 817 (numéro vert gratuit). Si le contribuable a transmis par mégarde ses coordonnées bancaires ou des informations confidentielles pouvant servir à usurper son identité, il doit déposer plainte au commissariat de police ou à la brigade de gendarmerie dont il dépend.