« DGFiP : suite au recalcul de votre avis d'imposition, un trop-perçu de 284,17 € vous est dû. Renseignez vos coordonnées avant le 18/09 : impots-remboursement-gouv[.]net »
Il n'y a rien à craindre dans ce message. Aucune menace, aucun colis bloqué, aucune amende qui double, aucun conseiller bancaire affolé au bout du fil. Juste une somme d'argent qui vous appartient et qu'on vous propose de récupérer. Et c'est précisément pour ça qu'il est redoutable.
L'immense majorité des campagnes de prévention contre le smishing s'attaque au registre de la peur : le faux colis, la fausse amende, le faux découvert. On apprend au public à se méfier de l'urgence anxiogène. Personne, ou presque, n'apprend à se méfier d'une bonne nouvelle. Les escrocs, eux, l'ont compris depuis longtemps.
L'appât du remboursement : une mécanique psychologique inversée
Les arnaques classiques provoquent une réaction de stress. Le stress fait cliquer vite, mais il déclenche aussi, chez beaucoup de gens, un réflexe de vérification : on appelle son conjoint, on cherche sur internet, on regarde le suivi de colis officiel. La peur est mauvaise conseillère, mais elle est bruyante — elle alerte l'entourage.
La perspective d'un remboursement produit l'effet inverse. Elle installe un climat de confiance et de discrétion. On ne téléphone pas à sa fille pour lui annoncer qu'on va toucher 284 €. On ne demande pas au collègue « t'as reçu ça, toi aussi ? ». On se dit simplement : tiens, c'est logique, j'avais bien changé de situation cette année.
Trois biais bien documentés en psychologie de la décision se combinent ici :
- Le biais de confirmation : la plupart des foyers français ont, à un moment ou un autre, le sentiment vague d'avoir trop payé quelque chose. Le message vient confirmer une intuition préexistante, il ne la crée pas.
- La réciprocité : un organisme qui vous rend de l'argent se présente comme bienveillant. On répugne à soupçonner un bienfaiteur.
- La faible vigilance sur les montants moyens : 284 €, ce n'est ni assez pour paraître trop beau pour être vrai, ni assez peu pour qu'on renonce à la démarche. Les escrocs calibrent très soigneusement ce chiffre.
Cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes, classe l'hameçonnage en tête des motifs de consultation des particuliers depuis plusieurs années consécutives, tous supports confondus. Et parmi les prétextes utilisés, le remboursement occupe une place structurellement forte parce qu'il se recycle indéfiniment : impôts, mutuelle, CAF, Urssaf, fournisseur d'énergie, opérateur téléphonique, compagnie aérienne, péage.
Le calendrier fiscal et social, agenda de travail des escrocs
Une arnaque au remboursement ne tombe jamais au hasard. Elle épouse le calendrier administratif français, parce qu'un message crédible est un message qui arrive au bon moment.
| Période | Prétexte le plus utilisé | Pourquoi ça marche |
|---|---|---|
| Juillet – septembre | Avis d'imposition, trop-perçu DGFiP | Les avis réels arrivent, les régularisations aussi |
| Septembre – octobre | Rentrée : CAF, allocations, bourses | Multiplication des démarches familiales |
| Novembre – janvier | Régularisation de facture d'énergie | Relevés annuels et changements de tarifs |
| Toute l'année | Remboursement mutuelle / santé | Flux permanent de décomptes |
| Après un déménagement | Trop-perçu opérateur ou assurance | Résiliations et prorata bien réels |
La règle est simple : si vous attendez un courrier d'un organisme, ce mois-ci, un escroc le sait aussi. Il ne vous cible pas personnellement, il cible statistiquement des millions de personnes dont une fraction est effectivement en attente de ce type de nouvelle. Sur un envoi de masse, quelques pour cent de coïncidences suffisent à rentabiliser l'opération.
Le piège technique : pourquoi vous « payez » pour être remboursé
Ici intervient la partie la plus contre-intuitive du scénario, et celle qui piège même des gens attentifs. La page frauduleuse ne demande pas d'argent. Elle demande où envoyer l'argent. C'est-à-dire vos coordonnées bancaires — et, très souvent, bien plus.
Le parcours-type se déroule en quatre écrans :
- Identification : nom, prénom, date de naissance, adresse, parfois numéro fiscal ou numéro de sécurité sociale. Rien d'alarmant en apparence, l'organisme est censé vous connaître.
- Coordonnées bancaires : IBAN, puis « pour un virement instantané », le numéro de carte, la date d'expiration et le cryptogramme au dos. C'est le moment charnière : aucun organisme public ne rembourse jamais sur une carte bancaire.
- Numéro de téléphone : présenté comme nécessaire à la confirmation. En réalité, il permettra à l'escroc de vous appeler ensuite, en se faisant passer pour votre banque.
- Validation : un petit débit de « vérification » de 1 € ou 2 €, censé « tester » la carte. Ce paiement déclenche en réalité l'enrôlement de votre carte dans le portefeuille numérique de l'escroc.
Cette dernière étape est la plus moderne et la moins connue. Depuis la généralisation de l'authentification forte imposée par la directive européenne DSP2, un simple numéro de carte ne suffit plus à débiter un compte : il faut valider dans l'application bancaire. Les escrocs ont donc déplacé leur objectif. Ils ne cherchent plus à payer directement avec votre carte, mais à l'ajouter à un téléphone qui leur appartient, pour ensuite payer sans contact en magasin, en toute discrétion, jusqu'à ce que vous vous en aperceviez.
D'où l'appel téléphonique qui suit souvent le formulaire de quelques minutes ou de quelques heures : une voix calme, professionnelle, qui vous demande de « valider la notification que vous venez de recevoir ». Vous validez. Vous venez d'autoriser l'enrôlement.
Sept signaux qui trahissent un faux SMS de remboursement
Aucun de ces indices n'est décisif seul. Deux d'entre eux réunis suffisent à classer le message.
- Un lien qui n'est pas en
.gouv.fr. Les sites de l'administration française se terminent toujours par.gouv.fr, jamais par-gouv.net,gouv-fr.comouimpots-service.info. Le tiret est le déguisement préféré du faux domaine. - Un montant précis avec des centimes. Il vise à imiter le réalisme comptable. Les vraies notifications de la DGFiP ne communiquent d'ailleurs pas de montant par SMS.
- Une demande de coordonnées bancaires. L'administration fiscale, la CAF, l'Assurance maladie et l'Urssaf connaissent déjà votre RIB : vous le leur avez fourni lors de vos démarches. On ne vous le redemande pas par SMS.
- Une date limite courte. Un remboursement légitime ne se périme pas en 72 heures. C'est de l'urgence artificielle, transposée du registre de la peur.
- Le mot « cryptogramme », « CVV » ou « les 3 chiffres au dos ». Ce code sert exclusivement à payer, jamais à recevoir.
- Un expéditeur alphanumérique imité. Un message frauduleux peut s'afficher sous un nom d'expéditeur crédible, et parfois se glisser dans le fil de conversation d'un organisme réel. Le fil de discussion n'est donc pas une preuve d'authenticité.
- Une orthographe presque parfaite. Les fautes grossières ont disparu. Ne cherchez plus la faute d'accord : cherchez le domaine.
Règle de survie, valable pour tout SMS administratif : on ne clique jamais dans le message, on retourne toujours par ses propres moyens sur le site officiel — impots.gouv.fr, caf.fr, ameli.fr, urssaf.fr — ou dans l'application déjà installée sur son téléphone. Si le remboursement existe, il y figure. S'il n'y figure pas, il n'existe pas.
Les publics les plus exposés, et pourquoi
Les retraités et les personnes peu à l'aise avec le numérique
Le prélèvement à la source a rendu la fiscalité plus opaque pour beaucoup de foyers : on ne sait plus toujours ce qu'on paie, ni pourquoi. L'annonce d'une régularisation paraît donc plausible. S'ajoute un facteur pratique : lire une adresse web tronquée sur un petit écran est objectivement difficile. Beaucoup de familles règlent une partie du problème en agrandissant durablement la police d'affichage du téléphone, ou en installant un support de téléphone réglable près du fauteuil pour que l'écran soit lu à bonne distance plutôt qu'à bout de bras. Voir clairement un nom de domaine, c'est déjà la moitié de la vigilance.
Les étudiants et jeunes actifs
Bourses, APL, aides à la mobilité, remboursements de transport : cette population cumule les flux administratifs de petit montant et une forte habitude du tout-mobile. Un virement annoncé de 120 € y semble parfaitement banal.
Les indépendants et micro-entrepreneurs
Ils reçoivent réellement des messages de l'Urssaf, échangent réellement des RIB, et gèrent leur trésorerie au jour le jour. Un faux « trop-perçu de cotisations » y trouve un terrain idéal. Pour eux, séparer les usages est un vrai gain de sécurité : un second téléphone dédié à l'activité professionnelle, ou au minimum une carte SIM prépayée réservée aux contacts administratifs, réduit mécaniquement la surface d'exposition.
Que faire si vous avez déjà cliqué, ou saisi vos données
Le temps compte davantage que la honte. Voici l'ordre des priorités.
- Faites opposition immédiatement auprès de votre banque, via l'application ou le numéro figurant au dos de votre carte — jamais un numéro reçu par SMS. En France, le service interbancaire de blocage des cartes est joignable en permanence au 0 892 705 705.
- Vérifiez les appareils enrôlés dans votre espace bancaire : la plupart des banques listent désormais les téléphones associés à votre carte pour le paiement mobile. Supprimez tout appareil inconnu.
- Changez les mots de passe des comptes concernés si vous avez réutilisé le même ailleurs. Un carnet de mots de passe papier rangé chez soi reste, pour beaucoup de foyers, une solution plus réaliste qu'une mémorisation approximative — à condition de ne jamais le photographier ni le transporter.
- Signalez le message. Le numéro 33700 est le service officiel de signalement des SMS indésirables et frauduleux en France : transférez le message au 33700, puis envoyez le numéro de l'expéditeur quand le service vous le demande. Vous pouvez aussi signaler l'adresse frauduleuse sur la plateforme Phishing Initiative et déclarer les faits sur le portail officiel de signalement du ministère de l'Intérieur.
- Déposez plainte en commissariat ou en gendarmerie si un débit a eu lieu. C'est une condition souvent exigée pour obtenir le remboursement.
- Demandez le remboursement. Le code monétaire et financier prévoit qu'en cas d'opération de paiement non autorisée, la banque rembourse le titulaire, sauf négligence grave de sa part. La Banque de France et l'Autorité de contrôle prudentiel et de résolution ont rappelé à plusieurs reprises que le seul fait d'avoir été victime d'une manipulation ne caractérise pas automatiquement cette négligence grave. Si votre banque refuse, saisissez son médiateur.
Réduire durablement le risque, sans devenir paranoïaque
L'objectif n'est pas de se méfier de tout, mais de rendre le doute facile. Quelques habitudes suffisent.
- Installer les applications officielles (impots.gouv, ameli, CAF – Mon Compte) et prendre le réflexe de vérifier dedans plutôt que dans un lien. C'est le geste qui neutralise à lui seul 90 % de ces campagnes.
- Activer les notifications bancaires en temps réel pour chaque opération, y compris les petits montants : c'est le débit de 1 € qui trahit l'enrôlement frauduleux.
- Tenir le téléphone à jour, système comme navigateur. Les filtres anti-hameçonnage intégrés bloquent une partie des domaines signalés.
- Ne pas laisser la batterie dicter les décisions. Une part non négligeable des clics impulsifs survient quand on veut « régler ça vite » avant que le téléphone ne s'éteigne. Une batterie externe compacte dans le sac, c'est aussi du temps de réflexion gagné.
- Parler des tentatives reçues. Le principal facteur de protection, dans toutes les études sur la fraude, reste le fait d'en avoir discuté avec quelqu'un. Un ouvrage grand public sur la cybersécurité au quotidien, laissé sur la table du salon, ouvre plus de conversations familiales qu'un long sermon.
Enfin, une phrase à retenir et à transmettre, notamment aux parents et grands-parents : aucun organisme public français ne vous demandera jamais votre numéro de carte bancaire pour vous verser de l'argent. Un remboursement se fait par virement, sur un RIB déjà connu, sans que vous n'ayez rien à faire. Tout message qui s'écarte de cette règle est une arnaque, quel que soit le logo, le ton ou le montant annoncé.
La bonne nouvelle, la vraie, c'est que cette arnaque s'effondre dès qu'on la nomme. Elle ne repose sur aucune prouesse technique : juste sur le fait qu'on nous a appris à nous méfier des menaces, et jamais des cadeaux.
