Faux SMS ou email de remboursement d'impôts (DGFiP) : vous avez renseigné vos coordonnées bancaires, comment réagir ?
Un SMS ou un email vous annonce un remboursement d'impôts de 187 €, 219 € ou 262 €, avec un lien à ouvrir « sous 48 heures ». Vous cliquez, vous arrivez sur une page qui ressemble à celle de l'administration fiscale, vous saisissez votre numéro de carte bancaire pour « recevoir » la somme… puis un doute s'installe : ce message n'avait rien d'officiel. Si vous êtes dans cette situation, ce que vous faites dans les prochaines heures compte beaucoup, mais des solutions existent, y compris face à votre banque.
Cet article explique comment fonctionne cette arnaque d'hameçonnage (phishing) aux couleurs de la Direction générale des Finances publiques (DGFiP), quels sont les réflexes à avoir immédiatement, comment signaler et porter plainte, et surtout dans quelles conditions votre banque doit vous rembourser. Il complète notre page consacrée au phishing bancaire et notre guide de la fraude bancaire.
Comment fonctionne l'arnaque au faux remboursement d'impôts
Le message : un remboursement, une urgence, un lien
Le scénario est toujours le même. Vous recevez un SMS, un email, parfois un appel, qui prétend émaner des impôts. Il annonce un « trop-perçu » ou un remboursement en attente, avec un montant précis (quelques centaines d'euros au plus) pour paraître crédible, et vous demande d'agir vite : un compte à rebours de 24 ou 48 heures, la menace de perdre la somme, l'obligation de « confirmer vos informations ». Ces campagnes reviennent chaque année et s'intensifient aux périodes où les avis d'imposition sont mis en ligne et où de vrais remboursements arrivent sur les comptes, ce qui a été le cas cet été.
La fausse page : ce que les escrocs cherchent réellement
Le lien renvoie vers un faux site qui imite l'apparence de impots.gouv.fr : logo, couleurs, vocabulaire officiel. On vous y demande de « valider » le versement en indiquant le numéro de votre carte bancaire, sa date d'expiration et son cryptogramme, parfois votre identité complète ou vos identifiants d'accès à votre espace particulier. Selon les cas, une seconde étape apparaît : un code reçu par SMS de votre banque ou une validation dans votre application bancaire, présentés comme une simple « vérification ».
Cette seconde étape est la plus dangereuse. Ce code ou cette validation ne sert pas à recevoir un remboursement : il sert à autoriser un paiement ou à enregistrer la carte de l'escroc dans un portefeuille numérique. C'est ce qui permet ensuite de vider un compte en quelques minutes.
Et après ? Le risque d'un faux appel de la « banque »
Une fois vos données récupérées, certains fraudeurs rappellent la victime en se faisant passer pour son conseiller bancaire, en prétextant une opération suspecte à « annuler » : c'est le scénario du faux conseiller bancaire. Les fraudeurs se présentant alors comme des “sauveurs”. Si vous avez communiqué vos données à un faux site des impôts, restez donc vigilant face à tout appel ou message qui suivrait dans les jours à venir.
Les signaux qui trahissent un faux message des impôts
La DGFiP l'indique elle-même sur impots.gouv.fr : le numéro de carte bancaire ne vous est jamais demandé pour le paiement d'un impôt ou pour le remboursement d'un crédit d'impôt. En pratique, un remboursement est versé automatiquement sur le compte bancaire que vous avez déjà renseigné dans votre espace particulier. Plusieurs éléments doivent vous alerter :
Une demande de coordonnées bancaires, de numéro de carte ou de code reçu par SMS pour « recevoir » un remboursement : c'est le signal principal, et il suffit à lui seul à identifier la fraude.
Une adresse d'expéditeur qui ne correspond pas à un nom de domaine officiel de l'administration (les adresses de la DGFiP se terminent par dgfip.finances.gouv.fr) ou un numéro de téléphone mobile inconnu.
Un lien qui ne mène pas vers www.impots.gouv.fr, mais vers une adresse approximative, avec des mots ajoutés, un tiret, une extension inhabituelle ou un lien raccourci.
Une urgence artificielle : délai de quelques heures, menace de perdre le remboursement ou de pénalités.
Des fautes, un ton étrange ou un montant précis mais sans lien avec votre situation fiscale réelle.
Le bon réflexe, même face à un message très convaincant, est de ne pas cliquer et de vous connecter à votre espace personnel en saisissant vous-même l'adresse officielle dans votre navigateur. Si un remboursement existe réellement, vous le verrez là.
Vous avez renseigné vos coordonnées bancaires : les réflexes dans la première heure
Plus vous agissez vite, plus vous limitez les dégâts, et plus votre position est solide si la banque conteste ensuite votre bonne foi. Voici l'ordre des priorités.
1. Appelez votre banque tout de suite et faites opposition
Contactez immédiatement votre agence, le numéro d'urgence de votre banque ou faites-le depuis votre application : demandez le blocage de la carte compromise et son remplacement. Le Code monétaire et financier impose d'informer sa banque « sans tarder » de toute utilisation non autorisée d'un instrument de paiement (article L. 133-17). Précisez que vous êtes victime d'hameçonnage, indiquez l'heure approximative de la saisie et demandez si des opérations sont en cours. Faites confirmer l'opposition par écrit ou dans la messagerie de votre espace bancaire : ce sera votre première preuve.
2. Vérifiez vos comptes et contestez toute opération suspecte
Consultez vos dernières opérations, y compris celles « en attente » ou de petit montant : les fraudeurs testent parfois la carte par des débits de quelques euros avant de passer à des montants plus élevés. Vérifiez aussi que le plafond de vos paiements et de vos virements n'a pas été modifié et que vos appareils de confiance dans l'application bancaire sont bien les vôtres. Pour chaque opération que vous n'avez pas autorisée, demandez expressément le remboursement, par écrit.
3. Selon ce que vous avez communiqué
Numéro de carte, date d'expiration, cryptogramme, éventuellement code reçu par SMS : faites opposition, changez de carte et surveillez les opérations 3D Secure. Si vous avez saisi un code de validation, signalez-le à votre banque : c'est un élément déterminant pour la suite (voir plus bas).
Simple IBAN : il ne permet pas de vider un compte, mais peut servir à émettre des prélèvements non autorisés. Prévenez votre banque, surveillez les prélèvements et contestez sans délai tout prélèvement que vous n'avez pas autorisé.
Identifiants de votre espace impots.gouv.fr ou données d'identité : changez immédiatement votre mot de passe, vérifiez que le compte bancaire enregistré pour vos remboursements n'a pas été modifié et surveillez d'éventuelles tentatives d'usurpation d'identité.
4. Conservez toutes les preuves
Avant de supprimer quoi que ce soit, faites des captures d'écran du SMS ou de l'email (avec l'expéditeur, l'horaire et le lien complet), de la fausse page si vous l'avez conservée, de votre historique de navigation, de vos relevés et des messages de la banque. Notez la chronologie précise : heure de réception, heure de saisie, heure de l'appel à la banque. Notre article sur les preuves à rassembler en cas de fraude bancaire détaille comment constituer un dossier solide.
Signaler l'arnaque et porter plainte
Plusieurs démarches gratuites existent et se cumulent :
Transférez le SMS au 33700, la plateforme nationale de signalement des spams vocaux et SMS. Pour un email, utilisez Signal Spam.
Signalez le site frauduleux sur la plateforme Pharos (internet-signalement.gouv.fr) et, si vos données personnelles ont été compromises, effectuez un diagnostic et un signalement sur Cybermalveillance.gouv.fr.
Déposez plainte auprès d'un commissariat ou d'une gendarmerie, ou en ligne via la plateforme THESEE pour les escroqueries sur internet, en fournissant toutes vos preuves. La plainte pour escroquerie (article 313-1 du Code pénal) n'est pas seulement utile pour l'enquête : la banque la demandera presque systématiquement pour instruire votre demande de remboursement.
Contactez la DGFiP en cas de doute sur votre situation fiscale réelle. Le numéro vert gouvernemental 0 805 805 817 est également mis à disposition des victimes.
La banque doit-elle vous rembourser ?
C'est la question principale des victimes. La réponse dépend de la nature de l'opération et de ce que la banque peut démontrer. Le régime est fixé par les articles L. 133-18 et suivants du Code monétaire et financier.
Le principe : remboursement immédiat de l'opération non autorisée
Lorsqu'une opération de paiement n'a pas été autorisée par son titulaire, la banque doit en principe la rembourser sans tarder, au plus tard à la fin du premier jour ouvrable suivant la contestation (article L. 133-18), et rétablir le compte dans l'état où il se serait trouvé si l'opération n'avait pas eu lieu. Avant l'opposition, la perte peut être limitée à une franchise de 50 € ; après l'opposition, vous ne supportez plus de conséquence financière. Les pages Virement frauduleux et Refus de remboursement de notre site détaillent ce mécanisme.
En pratique, la banque oppose très souvent le raisonnement suivant : « vous avez saisi vos données sur un faux site, c'est donc une négligence grave, nous ne remboursons pas ». Cette position n'a rien d'automatique.
La négligence grave : à la banque de la démontrer
Seule une négligence grave, ou un agissement frauduleux, permet à la banque de vous laisser supporter la perte (article L. 133-19). La jurisprudence exige un manquement qualifié à l'obligation de prudence, et non une simple imprudence. Cliquer sur un faux message peut, dans certains cas, être retenu par les juges, notamment lorsque le message comportait des anomalies grossières. Mais la charge de la preuve pèse sur la banque : le simple fait que l'opération ait été validée avec vos données ne suffit pas à prouver que vous avez commis une faute (article L. 133-23). Nous détaillons ce point dans notre article sur pourquoi les banques invoquent presque toujours la négligence grave et sur notre page négligence grave et fraude bancaire.
L'authentification forte : un argument central
Depuis la directive européenne sur les services de paiement (DSP2), les banques doivent exiger une authentification forte du client pour la plupart des paiements en ligne et des virements. Lorsque la banque n'exige pas cette authentification, le payeur ne supporte, sauf agissement frauduleux de sa part, aucune conséquence financière, même s'il a commis une imprudence (article L. 133-19, V). Dans un arrêt du 22 octobre 2025 (n° 24-19.749), la chambre commerciale de la Cour de cassation a ainsi condamné une banque à rembourser un client victime d'hameçonnage, faute pour elle d'avoir prouvé que l'authentification forte avait bien été exigée lors de l'opération. Notre article sur la Cour de cassation et l'authentification revient sur cette logique.
C'est ici que le récit des faits compte : avez-vous seulement communiqué les numéros de votre carte, ou aussi validé un code reçu par SMS ou une notification dans votre application ? La réponse conditionne l'analyse juridique, et il faut la donner à la banque avec précision et sans rien déformer.
Le facteur temps : agir sans tarder
Vous disposez d'un délai maximum de treize mois à compter du débit pour contester une opération non autorisée (article L. 133-24), mais ce délai ne doit pas vous rassurer. Dans un arrêt du 4 février 2026 (n° 22-22.609), la Cour de cassation a validé le raisonnement selon lequel un signalement tardif, plus d'un mois après les débits, pouvait constituer un indice de négligence grave. Signaler dès que vous vous apercevez de la fraude protège donc vos droits.
Ces décisions illustrent un point important : chaque dossier se joue sur des détails précis (chronologie, nature de l'authentification, contenu du message, réactivité). C'est pourquoi le dossier de preuves constitué dès le départ est décisif.
Si la banque refuse de vous rembourser : que faire ?
Face à un refus, plusieurs étapes s'enchaînent. Contestez d'abord par écrit, en lettre recommandée, en demandant à la banque de justifier sa décision et de produire les preuves techniques de l'authentification. Saisissez ensuite le service réclamations, puis le médiateur bancaire si la réponse est insatisfaisante. Enfin, si le litige persiste, la voie judiciaire reste ouverte. Notre article Ma banque refuse de me rembourser une fraude bancaire : quels recours ? présente ces étapes en détail.
Le même mécanisme de piège se retrouve dans d'autres arnaques très répandues : le faux paiement Wero ou l'arnaque au faux paiement sécurisé sur Leboncoin. Si votre carte a servi à des paiements que vous n'avez pas faits, notre page sur la carte bancaire piratée peut aussi vous aider.
Le rôle de l'avocat en droit bancaire
Un avocat en droit bancaire intervient notamment pour analyser les éléments techniques que la banque oppose (journaux d'authentification, moment du débit, appareil utilisé), pour rédiger la contestation, pour échanger avec l'établissement et, si nécessaire, pour engager la procédure contre lui. Si votre banque refuse de vous rembourser après une arnaque au faux remboursement d'impôts, vous pouvez prendre contact avec le cabinet de Maître Camille Cohen, avocat en droit bancaire à Marseille, pour faire examiner votre dossier.
FAQ : faux remboursement d'impôts et coordonnées bancaires
La DGFiP peut-elle me demander mes coordonnées bancaires par SMS ou par email ?
Non. La DGFiP ne demande jamais votre numéro de carte bancaire pour un paiement d'impôt ou pour un remboursement, ni vos coordonnées bancaires par SMS, email ou téléphone. Tout message qui vous y invite est frauduleux.
J'ai cliqué sur le lien mais je n'ai rien saisi : que faire ?
Si vous n'avez saisi aucune donnée, le risque est limité. Fermez la page, ne recliquez pas, supprimez le message après en avoir fait une capture, transférez le SMS au 33700 et vérifiez que votre navigateur et votre téléphone sont à jour. Par prudence, surveillez vos comptes dans les jours qui suivent.
J'ai donné mon numéro de carte bancaire : dois-je faire opposition ?
Oui, immédiatement. Contactez votre banque, faites bloquer la carte et demandez-en une nouvelle. Le blocage empêche de nouveaux paiements et fixe le point de départ de votre protection : après l'opposition, vous ne supportez plus les opérations frauduleuses.
Ma banque peut-elle refuser de me rembourser parce que j'ai saisi mes données ?
Elle peut le tenter en invoquant une négligence grave, mais ce n'est pas automatique. C'est à la banque de prouver la négligence grave et, notamment, que l'opération a bien été authentifiée de façon forte. Un refus de principe n'est pas une décision définitive : il peut être contesté.
Combien de temps ai-je pour contester une opération frauduleuse ?
Le délai maximal est de treize mois à compter du débit. Il est cependant fortement recommandé d'alerter la banque immédiatement : un signalement tardif peut être retenu comme indice de négligence.
Faut-il déposer plainte pour être remboursé ?
Aucun texte ne subordonne le remboursement à une plainte, mais la banque la demande presque toujours et elle constitue un élément de preuve important. Déposez-la rapidement, au commissariat, à la gendarmerie ou en ligne via THESEE.
Comment savoir si j'ai vraiment un remboursement d'impôts à percevoir ?
Connectez-vous à votre espace particulier sur impots.gouv.fr en saisissant vous-même l'adresse dans votre navigateur, sans passer par un lien reçu. Un remboursement réel est versé automatiquement sur le compte bancaire enregistré et n'exige aucune démarche de paiement de votre part.