« DGFiP : votre espace Particulier sera cloture le 09/10 faute de verification d'identite. Un remboursement de 326,41 EUR reste en attente de validation : https://impots-espace-verification.net/particulier »
Celui-là ne vous accuse de rien. Il ne vous menace pas d'une saisie, ne parle pas de contrôle fiscal, n'évoque aucune amende. Il vous annonce deux choses à la fois : une petite formalité administrative à régler, et de l'argent qui vous attend. C'est une combinaison redoutablement efficace, parce qu'elle neutralise la méfiance par l'appât du gain tout en imposant une échéance.
Et surtout, ce SMS arrive au bon moment. Pas en plein mois de février, quand personne ne pense à sa déclaration. Mais à l'automne, quand les avis d'impôt sont dans les boîtes aux lettres, quand les prélèvements du solde tombent, quand certains foyers attendent effectivement un virement du Trésor public. Les escrocs ne devinent pas votre situation fiscale : ils jouent sur un calendrier public que tout le monde subit en même temps.
Pourquoi le calendrier fiscal est le meilleur complice des escrocs
Le smishing fonctionne quand le message tombe dans une fenêtre où il devient plausible. Or la fiscalité française offre des fenêtres très larges et parfaitement prévisibles :
- avril-juin : campagne déclarative, tout le monde se connecte à son espace particulier ;
- juillet-août : mise en ligne des avis d'impôt sur le revenu, et versement des remboursements pour les foyers qui ont trop été prélevés à la source ;
- septembre : prélèvement du solde pour ceux qui doivent de l'argent, parfois étalé jusqu'en décembre ;
- octobre-novembre : avis de taxe foncière, puis échéances de paiement, et pour les contribuables concernés, la modulation du taux de prélèvement à la source pour l'année suivante.
Autrement dit, il n'existe presque aucun mois de l'année où un SMS mentionnant un remboursement, un avis ou une vérification ne pourrait pas tomber juste. L'escroc n'a pas besoin de savoir si vous êtes concerné : sur 100 000 numéros arrosés, plusieurs milliers de personnes attendent réellement quelque chose de l'administration fiscale.
La Direction générale des Finances publiques (DGFiP) alerte régulièrement sur ces campagnes sur son site impots.gouv.fr, et Cybermalveillance.gouv.fr classe l'usurpation d'administration parmi les scénarios de hameçonnage les plus fréquents. Le point commun de toutes ces alertes est toujours le même : l'administration ne demande jamais vos coordonnées bancaires ni vos identifiants par SMS ou par courriel.
Les quatre variantes qui circulent en 2026
1. Le remboursement en attente
La plus répandue. Un montant précis, souvent entre 150 et 800 euros — assez crédible pour un trop-versé de prélèvement à la source, jamais assez gros pour éveiller les soupçons. Le lien mène à un faux formulaire reprenant les couleurs de impots.gouv.fr, qui demande votre numéro fiscal, votre date de naissance, puis votre IBAN et souvent votre numéro de carte bancaire « pour vérifier l'identité du titulaire ».
Le point de bascule est là : un remboursement se fait par virement, et un virement n'a jamais besoin d'un numéro de carte. Si on vous demande les 16 chiffres de votre carte pour recevoir de l'argent, vous êtes sur un site frauduleux, point final.
2. La clôture ou suspension de l'espace particulier
Variante « peur douce ». On vous explique que votre compte sera désactivé faute de vérification. L'objectif est de récupérer le couple numéro fiscal + mot de passe, qui ouvre l'accès à des informations d'une valeur considérable : revenus, composition du foyer, adresse, avis d'imposition téléchargeables. Ces avis sont ensuite réutilisés pour monter des dossiers de crédit, des locations fictives ou des usurpations d'identité complètes.
3. Le solde impayé avec menace de majoration
Celle-ci imite l'avis de mise en demeure. « Solde de 712 EUR non regle, majoration de 10 % appliquee sous 48h. » Le lien conduit à une page de paiement en ligne. L'argent partant directement vers un compte contrôlé par les escrocs, souvent via des cartes prépayées ou des comptes de monnaie électronique ouverts avec de faux papiers.
4. Le faux conseiller qui rappelle
La plus coûteuse. Après un premier SMS, un appel suit, parfois avec un numéro affiché en 09 ou en 01 qui ressemble à celui d'un centre des finances publiques. Un interlocuteur très calme explique qu'une fraude a été détectée sur votre compte fiscal et qu'il faut « sécuriser » vos fonds. La Banque de France constatait d'ailleurs en 2026 une progression des escroqueries dites « par manipulation », celles où la victime effectue elle-même le virement, convaincue d'agir pour se protéger.
Les sept signaux qui trahissent le faux SMS fiscal
| Signal | Ce que fait la vraie DGFiP | Ce que fait le faux SMS |
|---|---|---|
| Lien dans le message | Jamais de lien vers un formulaire de saisie bancaire | Lien raccourci ou domaine approchant |
| Domaine | impots.gouv.fr uniquement | impots-verification.net, dgfip-particulier.com… |
| Demande d'IBAN | Se fait depuis votre espace authentifié | Demandé dans un formulaire ouvert |
| Carte bancaire | Jamais pour un remboursement | Systématiquement demandée |
| Délai | Dates d'échéance annoncées des semaines à l'avance | « 24h », « 48h », « ce soir » |
| Orthographe et accents | Textes relus, accents présents | Accents absents, majuscules erratiques |
| Expéditeur | Souvent un nom d'expéditeur, jamais un numéro mobile personnel | Numéro mobile en 06/07, ou expéditeur usurpé |
L'absence d'accents mérite une précision : elle n'est plus un critère fiable à elle seule. Les campagnes générées avec des outils d'IA produisent désormais des textes en français impeccable, avec accents, syntaxe correcte et même le vocabulaire administratif adéquat. Plusieurs médias spécialisés ont documenté en 2026 cette montée en qualité sur les arnaques au colis ; elle s'applique exactement de la même façon à la fiscalité. Le seul critère qui ne vieillit pas reste l'adresse du lien et la nature de l'information demandée.
Le réflexe en trente secondes : ne jamais partir du SMS
La règle tient en une phrase : on ne vérifie jamais une information dans le canal qui l'a apportée. Si un SMS vous parle d'un remboursement, vous n'avez aucune raison de cliquer sur son lien, ni d'appeler le numéro qu'il indique.
La procédure propre :
- Fermez le SMS. Ne cliquez pas, même « pour voir ».
- Tapez vous-même
impots.gouv.frdans votre navigateur, ou ouvrez l'application officielle « impots.gouv » que vous avez installée depuis la boutique d'applications de votre téléphone. - Connectez-vous à votre espace particulier. Tout remboursement, tout avis, toute échéance y figure. S'il n'y a rien, il n'y a rien.
- Signalez le message au 33700, le dispositif national de signalement des SMS indésirables, en transférant simplement le SMS. Vous pouvez aussi déposer un signalement sur la plateforme Phishing Initiative ou sur cybermalveillance.gouv.fr.
Si vous consultez souvent vos comptes et vos documents administratifs sur écran, un simple support pour smartphone posé sur le bureau change beaucoup de choses : il vous oblige à regarder l'écran bien en face, au lieu de lire un SMS en biais, debout, en marchant — exactement les conditions dans lesquelles on clique sans réfléchir.
Pourquoi tant de gens cliquent quand même
Il serait confortable de croire que seuls les plus crédules tombent dans le piège. Les faits disent autre chose : le facteur décisif est le contexte, pas l'intelligence.
- Vous attendez vraiment un remboursement. Un couple qui a modulé son taux de prélèvement à la source sait qu'un virement doit arriver. Le SMS ne crée pas l'attente, il la confirme.
- Vous venez de vous connecter au site réel. Les campagnes sont souvent envoyées en masse pendant les pics de connexion. Recevoir un SMS « DGFiP » une heure après être allé sur impots.gouv.fr crée une illusion de causalité très puissante.
- Le fil de discussion est pollué. Si un vrai message d'un service public est déjà arrivé dans un fil nommé, un SMS frauduleux usurpant le même nom d'expéditeur peut s'y glisser et apparaître à la suite des vrais. C'est l'un des effets pervers des noms d'expéditeur alphanumériques, que l'Arcep et les opérateurs tentent d'encadrer par un mécanisme d'authentification des expéditeurs.
- Vous lisez sur un petit écran. Un lien tronqué, une barre d'adresse masquée, et le domaine frauduleux devient invisible. Pour les personnes qui plissent les yeux sur leur téléphone, une paire de lunettes de lecture à portée de main n'est pas un détail de confort : c'est ce qui permet de lire l'URL complète avant de la toucher du doigt.
Si vous avez cliqué : la liste des gestes utiles, dans l'ordre
Avoir cliqué n'est pas avoir tout perdu. Ce qui compte, c'est ce que vous avez saisi et la rapidité de la réaction.
- Vous n'avez rien saisi, juste ouvert la page. Le risque est faible sur un téléphone à jour. Fermez l'onglet, effacez l'historique de ce site, et vérifiez que votre système est bien à jour.
- Vous avez saisi votre numéro fiscal et votre mot de passe. Connectez-vous immédiatement au vrai site et changez le mot de passe. Utilisez un mot de passe unique, long, qui ne ressemble à aucun autre. Si vous avez du mal à en retenir plusieurs, un carnet de mots de passe papier rangé chez vous reste une solution largement plus sûre qu'un mot de passe réutilisé partout.
- Vous avez donné vos coordonnées bancaires. Appelez votre banque sans attendre, faites opposition sur la carte, demandez une surveillance du compte. L'opposition et la contestation d'opération sont des droits : l'article L. 133-18 du code monétaire et financier prévoit le remboursement des opérations non autorisées, sauf négligence grave caractérisée.
- Vous avez effectué un virement. Contactez la banque dans l'heure si possible : un virement peut parfois être rappelé avant exécution définitive. Puis déposez plainte.
- Dans tous les cas, signalez l'escroquerie sur la plateforme Thésée du ministère de l'Intérieur, et conservez des captures d'écran du SMS et du site.
Un détail souvent oublié : si vous avez téléchargé un fichier depuis la page frauduleuse, ne l'ouvrez pas. Les faux formulaires fiscaux servent parfois de porte d'entrée à des applications malveillantes, en particulier sur Android lorsque l'installation de sources inconnues a été autorisée. Vérifiez ce réglage et laissez-le désactivé.
Protéger les proches qui reçoivent ces SMS sans comprendre le circuit
Le vrai public vulnérable, ici, ce ne sont pas les contribuables inattentifs : ce sont les personnes qui n'ont jamais utilisé leur espace particulier. Un retraité non imposable, une personne qui a toujours déclaré sur papier, un jeune qui vient de faire sa première déclaration — tous ont en commun de ne pas savoir à quoi ressemble une vraie communication fiscale.
Trois conversations utiles à avoir avec eux :
- « L'administration ne te demandera jamais ta carte bancaire par SMS. » Formulée ainsi, sans nuance, c'est une règle mémorisable et toujours vraie.
- « Si un message te presse, c'est un faux. » La DGFiP annonce ses dates des semaines à l'avance, sur les avis papier comme en ligne.
- « Tu m'appelles avant de cliquer, jamais après. » Désigner un référent familial coupe net la dynamique d'urgence.
Pour les personnes âgées qui veulent rester joignables sans naviguer sur internet, un téléphone portable à grosses touches, sans navigateur, règle mécaniquement le problème : un SMS frauduleux arrive peut-être, mais le lien n'a nulle part où s'ouvrir. Et pour ceux qui tiennent à leur smartphone, un guide papier sur la sécurité numérique des seniors, posé près du téléphone, fait souvent mieux qu'un long discours.
À retenir
Un SMS fiscal qui vous presse, vous promet un remboursement et vous demande une carte bancaire cumule les trois signaux d'alerte à lui seul. Aucun de ces trois éléments n'existe dans une communication réelle de la DGFiP.
Le faux SMS des impôts n'est pas une arnaque sophistiquée. C'est une arnaque bien synchronisée, qui emprunte au calendrier fiscal une crédibilité qu'elle n'a pas, et qui compte sur le fait que personne ne sait vraiment comment l'administration communique. La réponse est toujours la même, et elle est gratuite : fermer le message, aller soi-même sur impots.gouv.fr, et transférer le SMS au 33700. Trente secondes, et la campagne tombe à l'eau — pour vous, et pour les suivants, puisque chaque signalement alimente le blocage des numéros émetteurs.
