Remboursements d’impôt 2026 : les arnaques qui cherchent à voler vos données

Les remboursements d’impôt versés cet été offrent un prétexte idéal aux escrocs. Courriels, SMS et appels imitent l’administration fiscale pour attirer les contribuables vers de faux sites et leur dérober des informations personnelles ou bancaires.

Une vraie campagne de remboursement détournée par les fraudeurs

À partir du 24 juillet 2026, 12,6 millions de foyers fiscaux doivent recevoir un remboursement, d’un montant moyen de 1 057 euros, selon le ministère de l’Économie. Les virements interviennent principalement les 24 et 31 juillet.

Ce remboursement peut notamment correspondre à un prélèvement à la source trop élevé en 2025 ou à la prise en compte de réductions et crédits d’impôt. Cette actualité très concrète rend les messages frauduleux plus crédibles : de nombreux contribuables savent qu’un versement peut arriver, sans toujours en connaître le montant ou la date exacte.

Comment fonctionne l’arnaque

Le scénario commence généralement par un courriel, un SMS ou un appel qui semble provenir de la Direction générale des Finances publiques (DGFiP). Le message annonce un remboursement ou un « trop-perçu », parfois avec une somme précise, puis invite la victime à agir rapidement.

Le lien conduit vers une imitation du site des impôts. Le formulaire cherche alors à collecter des données telles que le nom, l’adresse, le numéro fiscal, le mot de passe ou les coordonnées de carte bancaire. Certains fraudeurs demandent également un code reçu par SMS afin de valider une opération bancaire à l’insu de la victime.

Une adresse d’expéditeur familière, un logo officiel ou un site visuellement convaincant ne suffisent pas à prouver l’authenticité d’un message. Ces éléments peuvent être copiés ou usurpés.

Le remboursement officiel ne demande aucune validation par carte

Le repère le plus simple est aussi le plus important : un remboursement d’impôt est automatique. Il ne nécessite ni paiement de frais, ni saisie d’un numéro de carte bancaire, ni validation depuis un lien reçu par message.

Lorsque l’administration connaît les coordonnées bancaires du contribuable, le virement apparaît avec le libellé « REMB IMPOT REVENUS » et l’émetteur « DGFIP FINANCES PUBLIQUES ». À défaut de compte bancaire enregistré, un chèque peut être envoyé par courrier.

Pour vérifier sa situation, il faut ouvrir soi-même le site impots.gouv.fr ou l’application officielle, puis consulter son espace Finances publiques. Il est préférable de saisir directement l’adresse dans le navigateur plutôt que d’utiliser un lien reçu par courriel ou SMS.

Les bons réflexes face à un message suspect

ne cliquez pas sur le lien et n’ouvrez pas de pièce jointe inattendue ;
ne communiquez jamais identifiants fiscaux, mot de passe, coordonnées bancaires ou code reçu par SMS après une sollicitation non demandée ;
vérifiez l’information depuis votre espace officiel ou auprès de votre centre des Finances publiques ;
conservez le message comme preuve avant de le signaler ;
signalez les courriels frauduleux à Signal Spam et les SMS au 33700.

Que faire si des informations ont déjà été transmises ?

Si vous avez communiqué un mot de passe, changez-le immédiatement sur le véritable service, ainsi que sur les autres comptes où il aurait été réutilisé. Si des données de carte bancaire ont été saisies ou si un débit inhabituel apparaît, contactez sans attendre votre banque pour faire opposition.

Conservez les captures, messages, adresses de sites et justificatifs. En cas de fraude, ces éléments faciliteront le signalement et un éventuel dépôt de plainte. Le service public Cybermalveillance.gouv.fr propose également un diagnostic et des conseils adaptés à la situation rencontrée.