Ложные SMS о возврате налогов: волна смишинга DGFiP, нацеленная на 12,6 миллиона домохозяйств этим летом

Каждое лето повторяется одна и та же схема: в преддверии выплат возврата налогов мошенники массово рассылают SMS, имитирующие DGFiP, чтобы поймать в ловушку налогоплательщиков. В 2026 году кампания достигла беспрецедентного масштаба: 12,6 миллиона домохозяйств получат перевод от Казначейства Франции между 24 июля (первая волна) и 31 июля (вторая волна), и киберпреступники приурочивают свои сообщения именно к этому календарю. Для SMS-сервиса, такого как Texto SMS Gratuit, это повод напомнить, почему доверие к короткому номеру и критическое чтение каждой ссылки остаются вашей лучшей защитой.

Как работает мошенничество

Схема, описанная Cybermalveillance.gouv.fr в предупреждении от 15 июля 2026 года, уже отлажена. Вы получаете SMS — иногда электронное письмо или звонок, — которое выглядит как официальное сообщение Главного управления государственных финансов (Direction générale des Finances publiques). В сообщении говорится о возврате налога на точную сумму (часто от 187 до 262 евро, иногда больше), с обратным отсчётом в 48 часов для «подтверждения» перевода. Встроенная ссылка ведёт на поддельный сайт, имитирующий impots.gouv.fr, который побуждает пользователя ввести свои банковские реквизиты или налоговые учётные данные.

Три признака должны немедленно насторожить:

• Номер отправителя: настоящее SMS от DGFiP никогда не отправляется с обычного французского мобильного номера. Официальные каналы — это личный кабинет на impots.gouv.fr, защищённая система сообщений сайта, или электронная почта, оканчивающаяся на @dgfip.finances.gouv.fr.
• URL ссылки: он имитирует официальный адрес, но использует экзотический домен (impots-gouv-remboursement.com, dgfip-fr.net и т. д.). Строчная h, заменённая на заглавную H, лишний дефис, суффикс .top или .click — типичные признаки.
• Запрос банковских данных: DGFiP никогда не запрашивает ваш IBAN, номер карты или учётные данные по SMS. Реальный возврат приходит автоматически на уже известный налоговой службе счёт.

Фото: Unsplash — одного SMS на экране достаточно, чтобы запустить банковское мошенничество на несколько сотен евро.

Почему эта волна особенно опасна

Три причины объясняют остроту кампании 2026 года. Во-первых, налоговый календарь идеально совпадает: налогоплательщики действительно ждут перевода, что снижает бдительность. Когда сообщение приходит в нужный момент с нужной суммой, закрадывается сомнение. Во-вторых, мошенники теперь сопоставляют несколько баз данных из прошлых утечек: имя, адрес, оператор, иногда даже IBAN — именно это произошло во время утечки данных Free в 2024 году, за которую CNIL наложила штраф. В-третьих, качество SMS растёт: нет грубых орфографических ошибок, скопирован логотип, безупречный административный тон, даже юридическая оговорка внизу сообщения. Одним словом, ловушка технически хорошо сделана.

Arcep и операторы установили несколько барьеров, но они ловят не всё: фильтрация платных номеров, отправка жалоб на 33700, маркировка длинных SMS как «потенциального спама» на iPhone и Android. Эти средства защиты не заменяют человеческой бдительности.

Правильное поведение в трёх действиях

Получив SMS о возврате, применяйте правило трёх нулевых кликов:

1. Ноль кликов по ссылке. Введите impots.gouv.fr сами в адресной строке браузера. Если возврат действительно идёт, он появится в вашем личном кабинете, в разделе «Состояние счёта».
2. Ноль обратных звонков на указанный номер. Мошенники иногда оставляют номер для перезвона: это иностранная VoIP-линия, тарифицируемая по высокой цене, чтобы удержать вас на линии. Немедленно положите трубку.
3. Ноль передачи данных. Ни IBAN, ни пароля, ни кода, полученного по SMS. Ни одна государственная служба не запросит эти данные по SMS — это безошибочный признак мошенничества.

Если вы получили такое SMS, перешлите его на 33700 (бесплатная платформа для жалоб на SMS-спам, управляемая операторами под контролем Arcep). Вы также можете сообщить о мошенническом сайте в Signal-Spam и на Phishing Initiative.

Вы перешли по ссылке? Вот порядок действий

Даже самые осторожные могут попасться в уставший день. Если вы перешли по ссылке и ввели данные, действуйте в следующем порядке:

• В первый час: немедленно заблокируйте банковскую карту через ваш банк. Каждая минута на счету: большинство мошенничеств инициируют онлайн-платёж через несколько минут после ввода данных.
• В течение 24 часов: подайте заявление на платформе Perceval (perceval.interieur.gouv.fr) Министерства внутренних дел Франции. Perceval превращает ваше заявление в дело, передаваемое напрямую в полицию или жандармерию.
• В течение 48 часов: смените пароли ваших чувствительных аккаунтов (онлайн-банк, основная электронная почта, impots.gouv.fr). Если вы использовали тот же пароль для другого сервиса, смените и его — это принцип credential stuffing, который мы описывали в нашей статье о защите конфиденциальности ваших SMS.
• В течение недели: подайте жалобу в полицейский участок или жандармерию, либо через онлайн-форму предварительного заявления. Статья 226-4-1 Уголовного кодекса Франции наказывает цифровое присвоение личности лишением свободы на один год и штрафом в 15 000 евро.

Фото: Unsplash — самостоятельная проверка своих счетов через браузер остаётся самой эффективной защитой.

Институциональная сеть за предупреждением

Борьба с этими мошенничествами сегодня мобилизует целую экосистему, и это хорошая новость. Cybermalveillance.gouv.fr публикует предупреждения и поддерживает руководство «Осведомлённость и передовые практики»; DGFiP напоминает в своих официальных соцсетях, что никогда не запрашивает банковские данные по SMS или электронной почте; операторы фильтруют платные номера и блокируют определённые домены на сетевом уровне; а 33700, которому в 2026 году исполняется 18 лет, помог закрыть несколько тысяч мошеннических номеров. Наконец, Arcep напомнила в своём последнем отчёте об удовлетворённости операторами во Франции, что борьба со спуфингом (подменой номера) остаётся приоритетом на 2026-2027 годы, с системой аутентификации коротких номеров, которая сейчас внедряется.

Что нужно запомнить

• 12,6 миллиона домохозяйств затронуты возвратами налогов 24 и 31 июля 2026 года: это и есть цель.
• DGFiP никогда не запрашивает ваш IBAN, банковскую карту или учётные данные по SMS.
• Три рефлекса: не кликайте, не перезванивайте, ничего не передавайте.
• В случае клика: блокировка карты → Perceval → смена паролей → подача жалобы.
• Сообщайте о любом подозрительном SMS на 33700, а о мошеннических страницах — на Phishing Initiative.

Чтобы отправить бесплатное SMS, не передавая свой номер третьим лицам и не оставляя следов, наша форма отправки доступна всем без регистрации. По любым вопросам о конфиденциальности ваших сообщений вы можете обратиться к нашим FAQ, юридическим уведомлениям или связаться с нами.