Un mail vous annonce un remboursement des impôts et vous demande votre RIB pour le verser ? C’est le piège du moment : l’arnaque au faux mail remboursement impôts ne cherche pas votre carte bancaire, mais votre relevé d’identité bancaire, présenté comme une simple formalité pour recevoir de l’argent. Voici comment repérer le piège en quelques secondes et la marche à suivre si vous avez déjà cliqué.
Pourquoi ce mail vise votre RIB, pas votre carte bancaire
La plupart des fausses alertes bancaires demandent un numéro de carte pour débiter de l’argent. Celle-ci fonctionne à l’envers : elle promet un remboursement, donc une entrée d’argent, ce qui met naturellement moins en garde. Le mail imite la mise en page de la DGFiP, annonce un trop-perçu ou un crédit d’impôt à percevoir, et propose un lien pour « confirmer vos coordonnées bancaires ».
Une fois le RIB transmis sur le faux site, il ne sert pas à vous rembourser : il permet aux fraudeurs de lancer un prélèvement à votre nom, ou de revendre vos coordonnées bancaires à d’autres réseaux. Le RIB contient l’IBAN et le BIC, suffisants pour initier certains prélèvements SEPA si votre banque ne les bloque pas à temps.
Les 4 signaux qui trahissent le faux mail
Avant même de cliquer, quatre détails suffisent à démasquer l’arnaque remboursement fisc :
- L’adresse d’expéditeur : elle ressemble à impots.gouv.fr mais n’en fait jamais partie exactement (ex. « dgfip-remboursement.info », « impots-gouv-fr.net »). Un vrai mail de la DGFiP provient d’un domaine officiel, jamais d’une variante.
- L’urgence artificielle : « dossier bloqué sous 48h », « remboursement suspendu ». L’administration fiscale ne fixe jamais de compte à rebours pour un remboursement.
- Le lien qui ne mène pas sur impots.gouv.fr : en survolant le lien avec la souris (sans cliquer), l’adresse réelle s’affiche en bas de l’écran. Si elle ne contient pas « impots.gouv.fr », c’est une arnaque.
- La demande de RIB par simple clic : la DGFiP ne demande jamais de RIB par mail. Un remboursement réel se configure exclusivement dans votre espace personnel, en vous connectant vous-même sur impots.gouv.fr.
Les variantes de cette arnaque à connaître
Le faux mail « remboursement » n’est pas figé : les fraudeurs l’adaptent selon la période de l’année pour coller à l’actualité fiscale réelle, ce qui le rend plus crédible.
- Après la déclaration de revenus (mai-juin) : le mail annonce un « trop-perçu » lié à votre déclaration récente, un moment où beaucoup de contribuables attendent effectivement un ajustement.
- À l’automne, période de taxe d’habitation ou foncière : la version évoque un « dégrèvement » ou une « erreur de calcul » à votre avantage.
- Version SMS (« smishing ») : le même scénario existe par texto, avec un lien raccourci qui masque l’adresse réelle du site frauduleux. Le réflexe reste identique : ne jamais cliquer, se connecter soi-même sur impots.gouv.fr.
- Relance téléphonique : certains réseaux font suivre le mail d’un appel se présentant comme un « conseiller des impôts » qui insiste pour « finaliser le remboursement ». Aucun agent de la DGFiP ne demande de RIB ou de code de confirmation par téléphone.
Dans les trois cas, le point commun reste le même : une promesse d’argent à recevoir, une pression de temps, et une demande de coordonnées bancaires en dehors de votre espace personnel officiel.
Comment vérifier vous-même en 2 minutes
Le réflexe le plus sûr ne consiste pas à analyser le mail, mais à l’ignorer complètement et à vérifier par un autre chemin :
- Ouvrez votre navigateur et tapez vous-même impots.gouv.fr dans la barre d’adresse (jamais via le lien du mail).
- Connectez-vous à votre espace particulier avec vos identifiants habituels.
- Consultez la rubrique « Mes paiements » ou « Ma situation fiscale » : si un remboursement réel est en cours, il y apparaît, avec le RIB déjà enregistré dans votre dossier.
- Si rien n’apparaît, le mail reçu est un faux. Vous pouvez le supprimer en toute tranquillité.
Ce même réflexe — se connecter soi-même au site officiel plutôt que de suivre un lien reçu par mail — fonctionne pour la quasi-totalité des tentatives de phishing, quel que soit l’organisme visé. Il est détaillé pour d’autres cas de figure dans notre guide pour reconnaître un mail de phishing.
Que faire si vous avez déjà transmis votre RIB
Un clic de trop n’est pas irréversible si vous agissez vite :
- Contactez votre banque sans attendre pour signaler la transmission du RIB et faire surveiller votre compte ; elle peut mettre en place une opposition sur les prélèvements suspects.
- Signalez le mail en le transférant à signal-spam.fr et en le déclarant sur cybermalveillance.gouv.fr, qui recense ces campagnes et alerte les autres internautes.
- Contactez le centre des finances publiques de votre secteur (coordonnées sur impots.gouv.fr, rubrique « Contact ») pour vérifier qu’aucune démarche frauduleuse n’a été initiée sous votre identité.
- En cas de prélèvement non autorisé, vous disposez d’un délai de 13 mois pour en demander le remboursement à votre banque, un droit garanti pour tout prélèvement SEPA que vous n’avez pas autorisé.
- Déposez une plainte au commissariat, en gendarmerie, ou via la pré-plainte en ligne sur service-public.fr, en conservant une copie du mail frauduleux comme preuve.
Aucune de ces démarches n’est un aveu de « s’être fait avoir bêtement » : ces mails sont conçus par des réseaux professionnels et imitent de mieux en mieux les vrais services publics. Réagir vite et méthodiquement, dans l’ordre ci-dessus, suffit dans l’immense majorité des cas à limiter les dégâts avant qu’un prélèvement ne soit effectivement débité.
Ce cas particulier du RIB s’inscrit dans un phénomène plus large de faux mails se faisant passer pour l’administration fiscale ; la méthode complète pour les identifier tous est détaillée dans notre guide « Mail des impôts : arnaque ou pas ? ».
Foire aux questions
La DGFiP envoie-t-elle vraiment des mails de remboursement ?
Elle peut vous informer par mail qu’une opération est disponible dans votre espace personnel, mais elle ne demande jamais de RIB, de coordonnées bancaires ou de données personnelles directement par mail ou via un lien externe. Toute démarche se fait en se connectant soi-même sur impots.gouv.fr.
Comment reconnaître le vrai site impots.gouv.fr d’un faux ?
L’adresse doit commencer exactement par « https://www.impots.gouv.fr », sans mot ajouté avant ou après le nom de domaine. En cas de doute, ne cliquez jamais sur un lien reçu : retapez l’adresse vous-même dans le navigateur.
J’ai reçu ce mail mais je n’ai rien cliqué, dois-je m’inquiéter ?
Non. Un mail reçu et non ouvert ou ignoré ne présente aucun risque. Vous pouvez simplement le supprimer, ou le signaler sur signal-spam.fr si vous voulez aider à le faire bloquer pour d’autres.
Que faire si le mail contient déjà mon nom et mon adresse ?
Cela ne prouve pas qu’il vient de la DGFiP : ces informations circulent parfois après d’autres fuites de données et sont réutilisées pour rendre le message plus crédible. Le seul critère fiable reste l’adresse d’expéditeur et le lien réel, jamais le contenu du message.
Puis-je vérifier un remboursement par téléphone plutôt que sur internet ?
Oui : vous pouvez appeler le centre des finances publiques dont dépend votre domicile, dont le numéro figure sur vos avis d’imposition précédents ou sur impots.gouv.fr, jamais sur un numéro indiqué dans le mail suspect lui-même.
En résumé
Face à un faux mail remboursement impôts, le réflexe qui protège de tout est le même : on ne clique jamais sur le lien reçu, on se connecte soi-même sur impots.gouv.fr pour vérifier si un remboursement existe réellement. La DGFiP ne demande jamais de RIB par mail — c’est le signal qui doit systématiquement alerter. Partager ce réflexe autour de vous, c’est désamorcer l’arnaque avant qu’elle ne touche vos proches.
Sources : impots.gouv.fr · cybermalveillance.gouv.fr · signal-spam.fr · service-public.fr — droits en cas de prélèvement SEPA non autorisé.