Valse sms'jes over belastingteruggave: de smishing-golf van de DGFiP richt zich deze zomer op 12,6 miljoen huishoudens

Elke zomer wordt hetzelfde mechanisme opnieuw geactiveerd: in de aanloop naar de belastingteruggaven sturen oplic massa's sms'jes die de DGFiP imiteren om belastingplichtigen in de val te lokken. In 2026 heeft de campagne een ongekende omvang bereikt: 12,6 miljoen huishoudens ontvangen tussen 24 juli (eerste golf) en 31 juli (tweede golf) een overschrijving van de Franse schatkist, en de cybercriminelen stemmen hun berichten op deze kalender af. Voor een sms-dienst als Texto SMS Gratuit is dit het moment om eraan te herinneren waarom vertrouwen in een kort nummer en elk link kritisch lezen uw beste verdediging blijven.

Hoe de oplichting werkt

De werkwijze, gedocumenteerd door Cybermalveillance.gouv.fr in de waarschuwing van 15 juli 2026, is nu goed geolied. U ontvangt een sms — soms een e-mail of een telefoontje — die sprekend lijkt op een officiële mededeling van de Direction générale des Finances publiques. Het bericht kondigt een belastingteruggave aan voor een precies bedrag (vaak tussen €187 en €262, soms meer), met een aftelklok van 48 uur om de overschrijving te "bevestigen". De ingesloten link verwijst naar een nepwebsite die impots.gouv.fr nabootst, die de gebruiker aanspoort om zijn bankgegevens of fiscale inloggegevens in te voeren.

Drie aanwijzingen moeten u onmiddellijk alarmeren:

• Het nummer van de afzender: een sms van de DGFiP wordt nooit verstuurd vanaf een klassiek Frans mobiel nummer. De officiële kanalen zijn de persoonlijke ruimte op impots.gouv.fr, de beveiligde berichtendienst van de site, of een e-mail die eindigt op @dgfip.finances.gouv.fr.
• De URL van de link: deze bootst het officiële adres na, maar gebruikt een exotisch domein (impots-gouv-remboursement.com, dgfip-fr.net, enz.). Een kleine h die is vervangen door een hoofdletter H, een extra streepje, een suffix .top of .click zijn typisch.
• Het verzoek om bankgegevens: de DGFiP vraagt nooit om uw IBAN, kaartnummer of inloggegevens via sms. Een echte teruggave wordt automatisch gestort op de bij de belastingdienst al bekende rekening.

Foto: Unsplash — één enkel sms-bericht op een scherm is voldoende om een bankfraude van enkele honderden euro's te ontketenen.

Waarom deze golf extra gevaarlijk is

Drie redenen verklaren de hevigheid van de campagne 2026. Ten eerste valt de fiscale kalender perfect: de belastingplichtigen verwachten effectief een overschrijving, wat de waakzaamheid vermindert. Wanneer een bericht op het juiste moment binnenkomt, met het juiste bedrag, slaat de twijfel toe. Ten tweede kruisen de piraten nu meerdere databases van eerdere lekken: naam, adres, operator, soms zelfs de IBAN — precies wat er gebeurde bij het datalek bij Free in 2024 dat door de CNIL is bestraft. Ten derde stijgt de kwaliteit van de sms'jes: geen grove spelfouten, een gekopieerd logo, een onberispelijke administratieve toon, tot een juridische vermelding onderaan het bericht. Kortom, de valstrik is technisch goed gemaakt.

De Arcep en de operators hebben verschillende barrières opgeworpen, maar die houden niet alles tegen: filtering van betaalde servicenummers, melding bij 33700, markering van lange sms'jes als "mogelijke spam" op iPhone en Android. Deze beschermingen vervangen de menselijke waakzaamheid niet.

De juiste houding in drie gebaren

Bij een sms die een teruggave aankondigt, past u de "drie-nul-klikregel" toe:

1. Nul klik op de link. Tik zelf impots.gouv.fr in de adresbalk van uw browser. Als er werkelijk een teruggave loopt, verschijnt die in uw persoonlijke ruimte, onder de rubriek "Rekensituaties".
2. Nul terugbellen van het nummer. Oplichters laten soms een nummer achter om terug te bellen: het is een buitenlandse VoIP-lijn, die duur in rekening wordt gebracht, om u zo lang mogelijk aan de lijn te houden. Hang onmiddellijk op.
3. Nul gegevens doorgeven. Geen IBAN, geen wachtwoord, geen per sms ontvangen code. Geen enkele overheidsdienst zal u hier via sms om vragen — dat is een onfeilbare indicator van fraude.

Als u zo'n sms hebt ontvangen, stuur hem door naar 33700 (gratis meldplatform voor sms-spam, beheerd door de operators onder toezicht van de Arcep). U kunt de frauduleuze site ook melden bij Signal-Spam en bij Phishing Initiative.

Hebt u geklikt? Dit is de volgorde van de acties

Ook de voorzichtigsten kunnen op een vermoeide dag in de val lopen. Als u op de link hebt geklikt en gegevens hebt ingevoerd, handel dan in deze volgorde:

• Binnen het eerste uur: laat onmiddellijk uw bankkaart blokkeren. Elke minuut telt: de meeste oplichtingen activeren enkele minuten na de invoer van gegevens een online betaling.
• Binnen 24 uur: dien een aangifte in op het Perceval-platform (perceval.interieur.gouv.fr) van het Franse ministerie van Binnenlandse Zaken. Perceval maakt van uw melding een dossier dat rechtstreeks wordt doorgestuurd naar politie of gendarmerie.
• Binnen 48 uur: wijzig de wachtwoorden van uw gevoelige accounts (online bankieren, hoofdzakelijk e-mail, impots.gouv.fr). Als u hetzelfde wachtwoord voor een andere dienst hebt gebruikt, wijzig het dan ook — dat is het principe van credential stuffing dat we beschreven in ons artikel over het beschermen van de privacy van uw sms'jes.
• Binnen de week: dien een klacht in bij politie of gendarmerie, of via het online vooraangifteformulier. Artikel 226-4-1 van het Franse Wetboek van Strafrecht bestraft digitale identiteitsdiefstal met één jaar gevangenisstraf en €15.000 boete.

Foto: Unsplash — zelf uw online rekeningen controleren in de browser blijft de meest doeltreffende waarborg.

Het institutionele netwerk achter de waarschuwing

De strijd tegen deze oplichtingen mobiliseert vandaag een volledig ecosysteem, en dat is goed nieuws. Cybermalveillance.gouv.fr publiceert de waarschuwingen en houdt een gids "Bewustmaking en goede praktijken" up-to-date; de DGFiP herinnert eraan op haar officiële sociale netwerken dat ze nooit via sms of e-mail om bankgegevens vraagt; de operators filteren betaalde servicenummers en blokkeren bepaalde domeinen op netwerkniveau; en 33700, dat in 2026 18 jaar wordt, heeft al geleid tot de sluiting van enkele duizenden frauduleuze nummers. Ten slotte herinnerde de Arcep in haar laatste rapport over de tevredenheid van operators in Frankrijk eraan dat de strijd tegen spoofing (nummerimitatie) een prioriteit blijft voor 2026-2027, met een authenticatiesysteem voor korte nummers dat wordt uitgerold.

Wat u moet onthouden

• 12,6 miljoen huishoudens zijn betrokken bij de belastingteruggaven van 24 en 31 juli 2026: dat is het doelwit.
• De DGFiP vraagt nooit via sms om uw IBAN, bankkaart of inloggegevens.
• Drie reflexen: niet klikken, niet terugbellen, niets doorgeven.
• Bij klikken: kaartblokkering → Perceval → wachtwoorden wijzigen → aangifte.
• Meld elke verdachte sms aan 33700 en elke frauduleuze pagina aan Phishing Initiative.

Om een gratis sms te versturen zonder uw nummer aan een derde partij door te geven en zonder sporen na te laten, blijft ons verzendformulier voor iedereen toegankelijk, zonder registratie. Voor vragen over de vertrouwelijkheid van uw correspondentie kunt u onze FAQ, onze juridische vermeldingen raadplegen of contact met ons opnemen.