Tu reçois un SMS qui dit que tes impôts ont détecté une anomalie sur ta dernière déclaration, ou qu’un remboursement attend ta validation. Un lien suit, qui ressemble à une URL officielle. Le message est court, urgent, professionnel. C’est la campagne d’arnaque la plus active en France en 2026, et elle continue de fonctionner parce qu’elle joue sur un réflexe rationnel : on traite ses obligations fiscales vite.
L’administration fiscale française ne communique jamais par SMS sur ce type de sujet. Cet article résume ce qu’il faut savoir pour reconnaître l’arnaque, ce qu’il faut faire si tu as cliqué, et comment éviter de tomber dans le prochain message du même genre.
L’essentiel
L’administration fiscale ne demande jamais de paiement par SMS et n’envoie pas de lien direct vers un formulaire de saisie de coordonnées bancaires. Tout SMS qui le fait est une arnaque, sans exception.
Si tu as cliqué et donné des informations bancaires : appelle ta banque tout de suite (numéro au dos de ta carte), fais opposition, dépose plainte sur cybermalveillance.gouv.fr.
Pour signaler le SMS sans avoir cliqué : transfère-le au 33 700 (gratuit), service officiel de signalement géré par l’Association française du multimédia mobile.
Comment l’arnaque fonctionne
Le SMS imite le ton administratif officiel. Le contenu varie d’une vague à l’autre, mais s’articule toujours autour d’un déclencheur urgent : remboursement à valider, anomalie sur la déclaration, somme due, contrôle prochain. Le lien redirige vers une page qui copie l’aspect graphique du site impots.gouv.fr, parfois très à l’identique, avec un nom de domaine un peu modifié (impots-gouv.tld, impots.com, impotsfrance.org, etc.).
Sur cette page, on te demande de saisir : ton numéro fiscal, ton mot de passe du portail, parfois ton numéro de carte bancaire complet (numéro, date d’expiration, cryptogramme à trois chiffres). Les données vont tout droit à l’attaquant. La somme soi-disant à rembourser n’arrivera jamais. À la place, ta carte sera utilisée pour des achats à distance ou revendue sur les marchés du dark web. Ton compte fiscal peut servir à des manipulations futures (changements d’adresse, fausses déclarations).
Les cinq signaux qui doivent t’alerter
- Un canal SMS pour une question fiscale. L’administration utilise le courrier postal en priorité, et le portail impots.gouv.fr (avec une notification dans ta messagerie sur ce portail) en second. Aucun SMS direct ne contient de demande de paiement ni de lien vers un formulaire.
- Un lien dans le SMS. Les vrais messages institutionnels te demandent de te connecter à ton espace personnel, sans cliquer sur un lien fourni. Si un lien est joint et te demande d’agir, c’est presque toujours une arnaque.
- Un sentiment d’urgence. « Sous 48 heures, vous perdrez votre remboursement », « Une majoration s’applique si vous ne validez pas avant minuit ». L’urgence est un levier psychologique classique pour empêcher la vérification.
- Le nom de domaine du lien. Le seul site officiel est impots.gouv.fr (avec un point entre gouv et fr, pas de tiret). Toute autre variation est suspecte : impots-gouv.fr, impotsgouv.com, impots.gouv-france.fr, etc.
- Une demande de carte bancaire complète. L’administration ne te demande jamais ton numéro de carte sur une page web. Un remboursement va sur le compte associé à ta déclaration, déjà connu de l’administration.
Si tu as cliqué ou donné des informations
Tu as juste cliqué sur le lien
Pas de panique majeure si tu n’as rien saisi. Un simple clic sur un lien ne donne pas automatiquement accès à tes comptes. En revanche, tes informations techniques (modèle de téléphone, opérateur, parfois géolocalisation approximative) ont pu être collectées, et tu seras peut-être ciblé par d’autres campagnes plus poussées. Ferme l’onglet, ne saisis rien.
Tu as saisi tes coordonnées bancaires
Appelle ta banque tout de suite via le numéro au dos de ta carte (ou sur ton appli officielle, pas celui qu’on t’aurait communiqué). Demande l’opposition immédiate sur la carte. La banque peut aussi mettre une surveillance renforcée sur le compte. Fais ça avant de prévenir qui que ce soit d’autre : le temps de réaction conditionne la possibilité de bloquer les premières transactions frauduleuses.
Ensuite, dépose plainte en ligne sur cybermalveillance.gouv.fr ou au commissariat. Conserve une copie du SMS et de la page frauduleuse (capture d’écran). Si des prélèvements suspects apparaissent, la banque peut être tenue de te rembourser, mais le dossier va plus vite avec une plainte formalisée.
Tu as saisi tes identifiants du portail fiscal
Connecte-toi au vrai site impots.gouv.fr (tape l’adresse dans le navigateur, ne cherche pas via Google), change ton mot de passe tout de suite. Vérifie qu’aucune modification n’a été faite : adresse, IBAN de remboursement, déclaration en cours. Signale l’incident à ta direction des finances publiques via la messagerie du portail.
Comment t’en protéger sans devenir paranoïaque
La règle de base tient en une phrase : ne clique jamais sur un lien dans un SMS qui prétend venir d’une institution. Quel que soit le sujet (impôts, sécurité sociale, banque, opérateur), passe par leur application officielle ou par leur site, en tapant l’adresse à la main. Cette habitude unique te protège contre la quasi-totalité des arnaques par SMS.
Un gestionnaire de mots de passe aide à la base. Il ne remplira pas automatiquement tes identifiants sur un domaine frauduleux, parce qu’il sait que ton compte impots.gouv.fr est associé au vrai domaine impots.gouv.fr, et pas à impots-gouv.com. Cette friction te sauve, parce que si tes identifiants ne se remplissent pas tout seuls, tu te poses la bonne question : « tiens, c’est bizarre ».
Activer la double authentification sur ton compte impots.gouv.fr (FranceConnect+, code SMS additionnel) rajoute une barrière utile : même si un attaquant capture ton mot de passe, il lui manquera le second facteur pour se connecter. C’est gratuit, ça prend cinq minutes à activer, et ça change la donne pour la plupart des scénarios d’attaque.
Questions fréquentes
Comment signaler le SMS sans avoir cliqué ?
Transfère le message au 33 700 (gratuit). C’est le service officiel d’alerte géré par l’Association française du multimédia mobile, en lien avec les opérateurs et les autorités. Tu peux aussi signaler le SMS sur la plateforme PHAROS du ministère de l’Intérieur, mais le 33 700 reste le canal le plus simple pour les SMS.
Mon antivirus me protège-t-il de ces SMS ?
Pas de l’arrivée du SMS lui-même, qui est un message texte traité par l’application messagerie de ton téléphone. En revanche, certains antivirus mobiles bloquent l’ouverture du lien frauduleux quand tu cliques dessus, en reconnaissant le domaine comme malveillant. Cf. notre comparatif antivirus 2026 sur ce sujet pour le côté PC.
L’opérateur peut-il bloquer ces SMS à la source ?
Les opérateurs français filtrent une partie de ces campagnes (les expéditeurs identifiés sont coupés), mais les attaquants changent en permanence de numéros et de plateformes d’envoi à l’étranger. La détection a un temps de retard. C’est pour ça que ta vigilance reste la meilleure défense.
Le SMS m’a envoyé un appel après le clic, c’est aussi une arnaque ?
Oui. La technique « phishing + appel » enchaîne souvent les deux pour rassurer la victime (« un conseiller va vous appeler pour finaliser »). L’interlocuteur prétend appartenir à la DGFiP ou à ta banque, et te demande de lui dicter des codes de validation reçus par SMS. Ne dicte jamais un code SMS à un interlocuteur, quel qu’il soit. Raccroche et rappelle directement l’institution concernée via son numéro officiel.
