رسائل SMS احتيالية بشأن استرداد الضرائب: موجة smishing من DGFiP تستهدف 12.6 مليون أسرة هذا الصيف

في كل صيف، تعود الآلية نفسها إلى النشاط: مع اقتراب مدفوعات استرداد الضرائب، يرسل المحتالون بكميات كبيرة رسائل SMS تنتحل صلة بـ DGFiP للإيقاع بدافعي الضرائب. في عام 2026، وصلت الحملة إلى أبعاد غير مسبوقة: 12.6 مليون أسرة ستتلقى تحويلاً من الخزانة الفرنسية بين 24 يوليو (الموجة الأولى) و31 يوليو (الموجة الثانية)، ويقوم مجرمو الإنترنت بمواءمة رسائلهم مع هذا التقويم. بالنسبة لخدمة رسائل SMS مثل Texto SMS Gratuit، هذه فرصة لتذكيركم بأن الثقة في رقم قصير والقراءة النقدية لكل رابط تظلان أفضل دفاعاتكم.

كيف تعمل الحيلة

الطريقة الموثقة من قبل Cybermalveillance.gouv.fr في تنبيهها بتاريخ 15 يوليو 2026 أصبحت الآن محكمة. تتلقى رسالة SMS — أحيانًا بريدًا إلكترونيًا أو مكالمة هاتفية — تبدو مطابقة لإحدى المراسلات الرسمية الصادرة عن المديرية العامة للمالية العامة (Direction générale des Finances publiques). يعلن الرسالة عن استرداد ضريبي بمبلغ دقيق (غالبًا بين 187 و262 يورو، وأحيانًا أكثر)، مع عد تنازلي مدته 48 ساعة "لتحويل" المبلغ. يأخذك الرابط المضمن إلى موقع مزيف يقلد impots.gouv.fr، يدفع بالمستخدم إلى إدخال بياناته البنكية أو بياناته الضريبية.

ثلاث علامات يجب أن تنبهك فورًا:

• رقم المرسل: لا تُرسل رسالة SMS الحقيقية من DGFiP أبدًا من رقم هاتف محمول فرنسي عادي. القنوات الرسمية هي: المساحة الشخصية على impots.gouv.fr، نظام المراسلة الآمن للموقع، أو بريد إلكتروني ينتهي بـ @dgfip.finances.gouv.fr.
• عنوان URL للرابط: يقلد العنوان الرسمي لكنه يستخدم نطاقًا غريبًا (impots-gouv-remboursement.com، dgfip-fr.net، إلخ). استبدال h الصغيرة بحرف H كبير، أو واصلة إضافية، أو اللاحقة .top أو `.click** علامات نموذجية.
• طلب البيانات البنكية: DGFiP لا تطلب أبدًا رقم IBAN أو رقم البطاقة أو بيانات تسجيل الدخول عبر رسالة SMS. يأتي الاسترداد الحقيقي تلقائيًا إلى الحساب المعروف مسبقًا لدى مصلحة الضرائب.

صورة: Unsplash — رسالة SMS واحدة على الشاشة تكفي لإطلاق عملية احتيال مصرفي بمئات اليوروهات.

لماذا هذه الموجة خطيرة بشكل خاص

ثلاثة أسباب تفسر شراسة حملة 2026. أولاً، التقويم الضريبي يتزامن تمامًا: دافعو الضرائب يتوقعون فعلاً تحويلاً، مما يقلل اليقظة. عندما تصل الرسالة في الوقت المناسب، بالمبلغ المناسب، يتسلل الشك. ثانيًا، يقوم القراصنة الآن بربط عدة قواعد بيانات من تسريبات سابقة: الاسم والعنوان والمشغل وأحيانًا حتى رقم IBAN — وهذا بالضبط ما حدث في تسريب بيانات Free لعام 2024 الذي عاقبت عليه CNIL. ثالثًا، جودة رسائل SMS في تحسن: لا أخطاء إملائية جسيمة، شعار منسوخ، نبرة إدارية لا تشوبها شائبة، حتى إخلاء مسؤولية قانوني في أسفل الرسالة. باختصار، الفخ مبني بشكل جيد تقنيًا.

وضعت Arcep والمشغلون عدة حواجز، لكنها لا تعترض كل شيء: تصفية الأرقام المدفوعة بأثمان مرتفعة، الإبلاغ إلى 33700، وضع علامة على رسائل SMS الطويلة على أنها "بريد عشوائي محتمل" على iPhone وAndroid. هذه الحماية لا تحل محل اليقظة البشرية.

الموقف الصحيح في ثلاث إيماءات

أمام رسالة SMS تعلن عن استرداد، طبّق قاعدة النقرات الثلاث الصفرية:

1. صفر نقرات على الرابط. اكتب بنفسك impots.gouv.fr في شريط عنوان متصفحك. إذا كان الاسترداد جاريًا فعلاً، فسيظهر في مساحتك الشخصية، في قسم "حالة الحساب".
2. صفر مكالمات للرقم. يترك المحتالون أحيانًا رقمًا للاتصال به: إنه خط VoIP أجنبي، محسوب بسعر مرتفع، يهدف لإبقائك على الخط. ضع السماعة فورًا.
3. صفر نقل للبيانات. لا IBAN، لا كلمة مرور، لا رمز تم استلامه عبر SMS. لن تطلب منك أي خدمة عامة هذه العناصر عبر SMS — إنها علامة لا تخطئ على الاحتيال.

إذا تلقيت رسالة SMS من هذا النوع، أعد توجيهها إلى 33700 (منصة مجانية للإبلاغ عن البريد العشوائي عبر الرسائل القصيرة، يديرها المشغلون تحت إشراف Arcep). يمكنك أيضًا الإبلاغ عن الموقع الاحتيالي على Signal-Spam وعلى Phishing Initiative.

نقرت على الرابط؟ إليك ترتيب الإجراءات

حتى الأكثر حذرًا قد يقعون في الفخ في يوم متعب. إذا نقرت على الرابط وأدخلت معلومات، تصرف بالترتيب التالي:

• خلال الساعة الأولى: ضع حظرًا فوريًا على بطاقتك البنكية لدى مصرفك. كل دقيقة لها أهميتها: معظم عمليات الاحتيال تُعد دفعة إلكترونية بعد دقائق من إدخال البيانات.
• خلال 24 ساعة: قدّم بلاغًا على منصة Perceval (perceval.interieur.gouv.fr) التابعة لوزارة الداخلية الفرنسية. تحوّل Perceval بلاغك إلى ملف يُرسل مباشرة إلى الشرطة أو الدرك.
• خلال 48 ساعة: غيّر كلمات مرور حساباتك الحساسة (الخدمات البنكية الإلكترونية، البريد الإلكتروني الرئيسي، impots.gouv.fr). إذا كنت تستخدم نفس كلمة المرور في خدمة أخرى، غيّرها أيضًا — هذا هو مبدأ ملء بيانات الاعتماد (credential stuffing) الذي وصفناه في مقالنا حول حماية خصوصية رسائلك القصيرة.
• خلال الأسبوع: قدّم شكوى في مركز شرطة أو درك، أو عبر نموذج الشكوى المسبقة عبر الإنترنت. تعاقب المادة 226-4-1 من قانون العقوبات الفرنسي على سرقة الهوية الرقمية بالسجن لمدة عام وغرامة قدرها 15,000 يورو.

صورة: Unsplash — التحقق من حساباتك الإلكترونية بنفسك، من خلال المتصفح، يظل أكثر الضمانات فعالية.

الشبكة المؤسسية وراء التنبيه

تحشد مكافحة هذه الاحتيالات اليوم منظومة كاملة، وهذه أخبار جيدة. تنشر Cybermalveillance.gouv.fr التنبيهات وتحافظ على تحديث دليل "التوعية وأفضل الممارسات"؛ وتذكّر DGFiP على شبكاتها الاجتماعية الرسمية بأنها لا تطلب أبدًا بيانات بنكية عبر SMS أو بريد إلكتروني؛ ويقوم المشغلون بتصفية الأرقام المدفوعة بأثمان مرتفعة وحجب نطاقات معينة على مستوى الشبكة؛ أما 33700، الذي يبلغ 18 عامًا في 2026، فقد أدّى إلى إغلاق عدة آلاف من الأرقام الاحتيالية. أخيرًا، ذكرت Arcep في تقريرها الأخير حول رضا المشغلين في فرنسا أن مكافحة انتحال الأرقام (spoofing) تظل أولوية للفترة 2026-2027، مع نشر نظام مصادقة الأرقام القصيرة.

ما يجب تذكره

• 12.6 مليون أسرة معنية باسترداد الضرائب في 24 و31 يوليو 2026: هذا هو الهدف.
• DGFiP لا تطلب أبدًا رقم IBAN أو البطاقة البنكية أو بيانات تسجيل الدخول عبر SMS.
• ثلاثة ردود فعل: لا تنقر، لا تتصل، لا تنقل شيئًا.
• في حالة النقر: حظر البطاقة → Perceval → تغيير كلمات المرور → تقديم شكوى.
• أبلغ عن أي رسالة SMS مشبوهة إلى 33700 وعن أي صفحة احتيالية إلى Phishing Initiative.

لإرسال رسالة SMS مجانية دون نقل رقمك إلى طرف ثالث ودون ترك أي أثر، يظل نموذج الإرسال الخاص بنا متاحًا للجميع، دون تسجيل. لأي سؤال حول سرية رسائلك، يمكنك الاطلاع على الأسئلة الشائعة، الإشعارات القانونية أو الاتصال بنا.