Faux SMS de remboursement d'impôts : la vague de smishing DGFiP qui cible 12,6 millions de foyers cet été

Chaque été, la même mécanique se réactive : à l'approche des virements de remboursement du fisc, des escrocs envoient en masse des SMS imitant la DGFiP pour piéger les contribuables. En 2026, la campagne a pris une ampleur inédite : 12,6 millions de foyers vont recevoir un virement du Trésor public entre le 24 juillet (première vague) et le 31 juillet (seconde vague), et les cybercriminels calquent leurs messages sur ce calendrier. Pour un service de SMS comme Texto SMS Gratuit, c'est l'occasion de rappeler pourquoi la confiance dans un numéro court et la lecture critique du moindre lien restent vos meilleures défenses.

Comment fonctionne l'arnaque

Le mode opératoire, documenté par Cybermalveillance.gouv.fr dans son alerte du 15 juillet 2026, est désormais bien rodé. Vous recevez un SMS, parfois un courriel ou un appel, qui ressemble trait pour trait à une communication officielle de la Direction générale des Finances publiques. Le message annonce un remboursement d'impôt d'un montant précis (souvent entre 187 € et 262 €, parfois plus), assorti d'un compte à rebours de 48 heures pour « valider » le virement. Le lien intégré renvoie vers un faux site imitant impots.gouv.fr, qui pousse l'internaute à saisir ses coordonnées bancaires ou ses identifiants fiscaux.

Trois indices doivent immédiatement alerter :

• Le numéro émetteur : un SMS de la DGFiP n'est jamais envoyé depuis un numéro mobile français classique. Les vrais canaux sont l'espace particulier sur impots.gouv.fr, la messagerie sécurisée du site, ou un courriel se terminant par @dgfip.finances.gouv.fr.
• L'URL du lien : elle imite l'adresse officielle mais utilise un domaine exotique (impots-gouv-remboursement.com, dgfip-fr.net, etc.). Un h minuscule remplacé par un H majuscule, un tiret en trop, un suffixe en .top ou .click sont typiques.
• La demande de coordonnées bancaires : la DGFiP ne demande jamais votre RIB, votre numéro de carte ou vos identifiants par SMS. Un vrai remboursement arrive automatiquement sur le compte déjà connu du fisc.

Photo : Unsplash — un simple SMS sur un écran suffit à déclencher une fraude bancaire de plusieurs centaines d'euros.

Pourquoi cette vague est particulièrement dangereuse

Trois raisons expliquent la virulence de la campagne 2026. Premièrement, le calendrier fiscal tombe à pic : les contribuables attendent effectivement un virement, ce qui réduit la vigilance. Quand un message arrive au bon moment, avec le bon montant, le doute s'installe. Deuxièmement, les pirates croisent désormais plusieurs bases de données issues de fuites passées : nom, adresse, opérateur, parfois même IBAN — c'est précisément ce qui s'est produit lors de la fuite de données Free de 2024 sanctionnée par la CNIL. Troisièmement, la qualité des SMS envoyés est en hausse : pas de fautes d'orthographe grossières, un logo copié, un ton administratif impeccable, jusqu'à une mention légale en bas du message. Bref, le piège est techniquement bien fait.

L'Arcep et les opérateurs ont mis en place un certain nombre de barrières, mais elles n'arrêtent pas tout : filtrage des numéros surtaxés, signalement au 33700, marquage des SMS longs comme « potentiel spam » sur iPhone et Android. Ces protections ne remplacent pas la vigilance humaine.

La bonne attitude à adopter en trois gestes

Face à un SMS qui annonce un remboursement, appliquez la règle des trois clics zéro :

1. Zéro clic sur le lien. Tapez vous-même impots.gouv.fr dans la barre d'adresse de votre navigateur. Si un remboursement est réellement en cours, il apparaîtra sur votre espace particulier, dans la rubrique « Situations de compte ».
2. Zéro rappel du numéro. Les fraudeurs laissent parfois un numéro à rappeler : c'est une voix sur IP étrangère, facturée au prix fort, qui pousse à rester en ligne. Raccrochez immédiatement.
3. Zéro transmission de données. Ni RIB, ni mot de passe, ni code reçu par SMS. Aucun service public ne vous demandera ces éléments par SMS — c'est un marqueur infaillible de fraude.

Si vous avez reçu un SMS de ce type, transférez-le au 33700 (plateforme gratuite de signalement des spams SMS, opérée par les opérateurs sous le contrôle de l'Arcep). Vous pouvez aussi signaler le site frauduleux sur Signal-Spam et sur Phishing Initiative.

Vous avez cliqué ? Voici l'ordre des actions

Même les plus prudents peuvent se laisser prendre un jour de fatigue. Si vous avez cliqué sur le lien et saisi des informations, agissez dans l'ordre suivant :

• Dans la première heure : faites immédiatement opposition sur votre carte bancaire auprès de votre banque. Chaque minute compte : la plupart des arnaques préparent un paiement en ligne quelques minutes après la saisie.
• Dans les 24 heures : déposez un signalement sur la plateforme Perceval (perceval.interieur.gouv.fr) du ministère de l'Intérieur. Perceval transforme votre dépôt en dossier directement transmis à la police ou la gendarmerie.
• Dans les 48 heures : changez les mots de passe de vos comptes sensibles (banque en ligne, e-mail principal, impots.gouv.fr). Si vous avez saisi le même mot de passe que sur un autre service, changez-le aussi — c'est le principe du credential stuffing que nous décrivions dans notre article sur la protection de la vie privée de vos SMS.
• Dans la semaine : déposez plainte en commissariat ou en gendarmerie, ou via le formulaire de pré-plainte en ligne. L'article 226-4-1 du Code pénal punit l'usurpation d'identité numérique d'un an de prison et de 15 000 € d'amende.

Photo : Unsplash — vérifier ses comptes en ligne soi-même, depuis le navigateur, reste la parade la plus efficace.

Le maillage institutionnel derrière l'alerte

La lutte contre ces arnaques mobilise aujourd'hui un écosystème complet, et c'est une bonne nouvelle. Cybermalveillance.gouv.fr publie les alertes et tient à jour un guide « Sensibilisation et bonnes pratiques » ; la DGFiP rappelle sur ses réseaux officiels qu'elle ne demande jamais de coordonnées bancaires par SMS ou courriel ; les opérateurs filtrent les numéros surtaxés et bloquent certains domaines au niveau du réseau ; et le 33700, qui fête ses 18 ans en 2026, a permis de fermer plusieurs milliers de numéros frauduleux. Enfin, l'Arcep a rappelé dans son dernier rapport sur la satisfaction des opérateurs en France que la lutte contre le spoofing (l'usurpation de numéro) reste une priorité pour 2026-2027, avec un système d'authentification des numéros courts en cours de généralisation.

Ce qu'il faut retenir

• 12,6 millions de foyers sont concernés par les remboursements d'impôts du 24 et 31 juillet 2026 : c'est la cible.
• La DGFiP ne demande jamais de RIB, de carte bancaire ou d'identifiants par SMS.
• Trois réflexes : ne cliquez pas, ne rappelez pas, ne transmettez rien.
• En cas de clic : opposition carte bancaire → Perceval → changement de mots de passe → plainte.
• Signalez tout SMS suspect au 33700 et toute page frauduleuse à Phishing Initiative.

Pour envoyer un SMS gratuit sans transmettre votre numéro à un tiers et sans laisser de trace, notre formulaire d'envoi reste accessible à tous, sans inscription. Pour toute question sur la confidentialité de vos échanges, vous pouvez consulter notre FAQ, nos mentions légales ou nous contacter.