Un courriel qui annonce un remboursement d’impôt, un logo qui ressemble à celui de l’administration fiscale, un lien sur lequel il faudrait cliquer vite pour recevoir la somme promise : la mécanique est connue et elle fait de nouvelles victimes chaque semaine. D’après Le Temps du 19 octobre 2026, l’administration fiscale genevoise vient d’alerter sur de faux courriels promettant un remboursement d’impôt pour capter les coordonnées bancaires des destinataires, et les recherches des internautes français sur le remboursement explosent au même moment. La France connaît la même vague sous des habits tricolores : faux avis de remboursement, faux messages de la Direction générale des finances publiques, faux SMS qui renvoient vers une copie du site officiel. Cet article explique le droit applicable à cette situation précise : comment vérifier si un message de remboursement est vrai, que faire dans l’heure qui suit quand on a cliqué et transmis ses coordonnées, comment obtenir de sa banque le remboursement des sommes parties, et comment déposer une plainte utile. Il s’adresse aussi bien au particulier qu’au dirigeant ou au comptable d’une petite entreprise qui reçoit ce type de message sur la messagerie professionnelle, car les faux remboursements visent aussi les comptes des sociétés.

I. Remboursement impôt 2026 : comment vérifier si le mail est vrai

A. Fausse annonce de remboursement : les signaux qui trahissent le phishing

L’hameçonnage, ou phishing, est une technique frauduleuse qui consiste à leurrer l’internaute pour l’inciter à communiquer des données personnelles et bancaires en se faisant passer pour un tiers de confiance, comme une banque, une administration ou un site de commerce en ligne. La fiche réflexe de Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes d’actes de cybermalveillance, retient cette définition et recommande, face à un message douteux, de faire opposition, de déposer plainte et de signaler le message. Le site Service-public.fr range pour sa part la fausse annonce de remboursement parmi les procédés les plus courants des hameçonneurs, aux côtés de la demande urgente de règlement d’un impayé, du faux renforcement de la sécurité d’un compte et du faux problème d’acheminement d’un colis. Autrement dit, le thème du remboursement n’est pas choisi au hasard par les escrocs : c’est l’un des appâts les plus rentables, parce qu’il promet de l’argent au lieu d’en réclamer.

Plusieurs signaux doivent alerter avant tout clic. Cybermalveillance.gouv.fr (fiche réflexe hameçonnage) invite à se méfier d’une offre alléchante, d’une apparence suspecte, d’une pièce jointe inattendue ou d’une adresse d’expédition fantaisiste. Concrètement, un message qui promet un remboursement d’un montant rond sans rappeler aucun dossier, qui affiche le nom de l’expéditeur mais une adresse réelle sans rapport avec l’administration, qui réclame une réponse dans les vingt-quatre ou quarante-huit heures sous peine de perdre le bénéfice du remboursement, ou qui joint un formulaire à renvoyer avec les coordonnées bancaires, cumule les marqueurs d’une tentative d’escroquerie. Avant de cliquer sur un lien douteux, la même fiche recommande de positionner le curseur de la souris sur le lien sans cliquer, afin de lire l’adresse vers laquelle il pointe réellement, puis de vérifier dans le navigateur que l’adresse du site affiché correspond exactement au site officiel, car un seul caractère modifié suffit à fabriquer un site frauduleux convaincant. Au moindre doute, la consigne est de ne fournir aucune information et de fermer immédiatement la page.

Une règle simple tranche la plupart des cas : aucune administration ni aucune société commerciale sérieuse ne demande des données bancaires ou des mots de passe par message électronique ou par téléphone. C’est l’avertissement central de Cybermalveillance.gouv.fr, et il vaut pour la Direction générale des finances publiques comme pour les banques, les caisses d’assurance maladie et les opérateurs. Un message qui conditionne le versement d’un remboursement à la saisie en ligne d’un numéro de carte bancaire, d’un code reçu par SMS ou d’identifiants de connexion est donc, par construction, suspect. En cas de doute persistant, le réflexe exact consiste à contacter directement l’organisme concerné par un canal indépendant du message reçu, par exemple en appelant le service des impôts dont on dépend ou sa banque au numéro habituel, pour confirmer le message avant toute action. Ce court-circuit, passer par un canal que l’on a choisi soi-même plutôt que par le lien imposé, neutralise l’essentiel des faux sites qui imitent les portails officiels.

Pour une entreprise, la vigilance doit être organisée et pas seulement individuelle. Le faux avis de remboursement arrive souvent sur une adresse générique comme la comptabilité ou le secrétariat, à une période où les échéances fiscales rendent la promesse crédible, et il suffit qu’un salarié saisisse les identifiants de la banque en ligne de la société pour que le compte professionnel soit exposé. La règle interne à poser est binaire : aucun identifiant bancaire professionnel n’est jamais saisi depuis un lien reçu par courriel ou par SMS, et toute annonce de remboursement d’impôt de société, de TVA ou de cotisations se vérifie dans l’espace professionnel dédié, rejoint en tapant soi-même l’adresse du site officiel. Cette discipline protège aussi la preuve ultérieure, car la banque examinera de près les circonstances dans lesquelles les données de sécurité ont été remises à des tiers avant de statuer sur le remboursement des opérations contestées.

B. Le vrai remboursement : où le vérifier sans jamais cliquer

Le vrai remboursement d’impôt existe et il suit un circuit fermé qui ne passe jamais par un lien cliquable. Pour l’impôt sur le revenu, le trop-versé est restitué par virement sur le compte bancaire dont l’administration connaît déjà les coordonnées grâce au mandat de prélèvement ou à la déclaration, ou imputé sur les échéances suivantes, et son montant figure dans l’espace particulier du contribuable. La vérification exacte consiste donc à ouvrir soi-même son navigateur, à taper l’adresse du portail officiel sans passer par le message, puis à consulter l’avis d’impôt et le calendrier des versements dans l’espace authentifié. Si aucun remboursement n’y figure, le message promettant une somme est un faux. Si un remboursement y figure mais que le message demande quand même de saisir des coordonnées bancaires ou des codes, c’est également un faux, puisque l’administration utilise les coordonnées qu’elle détient déjà et ne réclame pas d’identifiants par courriel pour verser ce qu’elle doit.

Cette méthode vaut pour tous les organismes : caisses d’assurance maladie, caisses de retraite, fournisseurs d’énergie, opérateurs de téléphonie. Le bon réflexe est toujours le même, rejoindre le site par un lien favori que l’on a créé soi-même ou en saisissant l’adresse officielle, puis vérifier la date et l’heure de la dernière connexion à son compte afin de repérer d’éventuels accès illégitimes, et activer la double authentification quand le site la propose. Ces deux gestes figurent parmi les recommandations permanentes de Cybermalveillance.gouv.fr et ils prennent tout leur sens après une vague de phishing, car les données captées par un premier message servent souvent à une seconde attaque mieux ciblée, quelques jours plus tard, avec des informations personnelles déjà en partie correctes pour gagner la confiance de la victime.

Signaler le message fait partie de la vérification utile, pour soi et pour les autres. Un SMS frauduleux se signale au 33700, le dispositif national contre les spams vocaux et par SMS, qui transmet le signalement à l’opérateur de l’émetteur et à l’opérateur de la victime afin qu’ils puissent mener leurs investigations. Un courriel frauduleux se signale sur la plateforme Signal Spam, qui centralise les signalements et aide à faire fermer les sites frauduleux, et les contenus les plus graves, comme un site qui imite à l’identique un portail officiel pour voler des données, se signalent sur internet-signalement, la plateforme Pharos de la police judiciaire. Ces signalements ne remplacent pas la plainte quand de l’argent a été dérobé, mais ils créent une trace datée qui servira plus tard et ils contribuent à faire disparaître l’infrastructure de l’escroquerie. La plateforme THESEE, dédiée aux arnaques sur internet, permet en outre de signaler l’escroquerie en ligne aux enquêteurs spécialisés.

II. J’ai cliqué et transmis mes coordonnées : opposition, remboursement et plainte

A. Faire opposition, contester et obtenir le remboursement de la banque

Dès que des coordonnées bancaires ont été transmises sur un site frauduleux, ou dès que des débits suspects apparaissent, la première mesure est l’opposition : il faut contacter sa banque sans attendre afin de faire opposition sur la carte ou le compte exposé, de contester les opérations effectuées et d’en obtenir le remboursement. Service-public.fr l’énonce comme la conduite à tenir quand l’auteur des faits détient des informations bancaires et que des débits ont eu lieu sur le compte. L’opposition se fait auprès du numéro dédié de sa banque, indiqué sur la convention de compte, l’espace client ou au dos de la carte, et elle doit être confirmée par écrit selon les instructions de l’établissement. En parallèle, les mots de passe des comptes dont les identifiants ont pu être captés doivent être changés depuis un appareil sain, en commençant par la messagerie électronique, car la prise de contrôle d’une boîte mail permet de réinitialiser la plupart des autres accès.

Le droit au remboursement des opérations non autorisées est posé par l’article L. 133-18 du code monétaire et financier, qui dispose : « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » Le texte ajoute que l’établissement rétablit alors le compte débité dans l’état où il se serait trouvé si l’opération non autorisée n’avait pas eu lieu. Concrètement, la victime d’un phishing qui a vu son compte débité par des virements ou des paiements qu’elle n’a pas autorisés doit donc signaler ces opérations à sa banque et exiger ce remboursement, sans accepter un refus verbal sommaire : un refus doit être motivé et, en cas de soupçon de fraude de l’utilisateur, notifié par écrit à la Banque de France.

Ce droit est enfermé dans un délai strict que la victime doit connaître : l’article L. 133-24 du code monétaire et financier prévoit que « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion ». Passé ce délai de treize mois, la contestation est forclose, sauf si la banque n’a pas fourni les informations sur l’opération qu’elle devait mettre à disposition. Pour un compte professionnel, la prudence est redoublée : le même article précise que, sauf quand l’utilisateur est une personne physique agissant pour des besoins non professionnels, les parties peuvent convenir d’un délai distinct. Le dirigeant ou le comptable d’une société doit donc vérifier sa convention de compte, car elle peut aménager ce point, et signaler dans tous les cas au plus vite, sans spéculer sur l’issue de l’enquête pénale qui n’a pas à être terminée pour que le remboursement soit dû.

La banque oppose souvent deux moyens pour refuser : la négligence grave de l’utilisateur et l’utilisation des données de sécurité personnalisées. Sur ces deux points, la Cour de cassation a fixé des garde-fous favorables aux victimes dans trois arrêts récents qu’il faut connaître avant toute discussion avec son établissement. D’abord, par arrêt du 5 mars 2025 (pourvoi n° 23-22.687, décision de la chambre commerciale), la Cour juge « qu’il incombe au prestataire de services de paiement de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à son obligation de prendre toute mesure raisonnable pour préserver la sécurité des données de sécurité personnalisées », et elle ajoute « que cette preuve de la négligence grave ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés ». Autrement dit, le seul fait que les escrocs aient utilisé les codes interceptés ne suffit pas à établir une négligence grave : c’est à la banque de prouver un manquement caractérisé, et non à la victime de prouver son innocence.

Ensuite, l’absence d’authentification forte exigée par la banque neutralise le refus même quand une négligence est établie. L’article L. 133-44 du code monétaire et financier impose au prestataire d’appliquer l’authentification forte du client « lorsque le payeur : 1° Accède à son compte de paiement en ligne ; 2° Initie une opération de paiement électronique ; 3° Exécute une opération par le biais d’un moyen de communication à distance, susceptible de comporter un risque de fraude ». Par deux arrêts, la chambre commerciale en a tiré la conséquence directe : le 30 août 2023 (pourvoi n° 22-11.707, décision de la chambre commerciale), elle juge que « sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur » ; le 22 octobre 2025 (pourvoi n° 24-19.749, décision de la chambre commerciale), elle confirme que « le prestataire de service de paiement doit appliquer l’authentification forte du client définie au f) de l’article L. 133-4 du même code en cas d’opération de paiement à distance et qu’à défaut, il doit rembourser au payeur le montant de l’opération non autorisée, sauf agissement frauduleux du payeur », alors même que la victime avait répondu à un courriel présentant des anomalies grossières et communiqué ses codes. Ces décisions concernent exactement le scénario du phishing au faux remboursement : courriel piégé, codes remis aux escrocs, virement vers un compte inconnu. La victime qui se voit opposer sa propre imprudence doit donc demander à sa banque si l’authentification forte a été exigée pour l’opération litigieuse, car la réponse négative fait tomber le refus.

Reste l’hypothèse où la négligence grave est réellement démontrée par la banque. L’article L. 133-19 du code monétaire et financier prévoit que « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 », c’est-à-dire l’obligation de préserver la sécurité de ses données et de signaler sans tarder la perte, le vol ou le détournement. Avant l’information donnée à la banque, les pertes liées à la perte ou au vol de l’instrument restent en outre plafonnées à 50 euros pour le payeur, sauf cas particuliers prévus par le même texte. Pour la victime d’un faux mail de remboursement, l’enjeu pratique est donc de documenter sa bonne foi et sa réactivité : message d’origine conservé avec ses en-têtes, captures du site frauduleux, relevés des débits, date et heure de l’opposition, copie de la contestation écrite adressée à la banque. Ce dossier servira à la fois dans la discussion avec l’établissement, devant le médiateur bancaire en cas de refus persistant, et devant le juge si un recours devient nécessaire.

B. Déposer plainte, signaler et protéger durablement ses données

L’hameçonnage au faux remboursement constitue plusieurs infractions pénales que la plainte permet de faire constater. L’article 313-1 du code pénal définit l’escroquerie comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge », et il punit ces faits de cinq ans d’emprisonnement et de 375 000 euros d’amende. Le faux courriel qui usurpe l’identité de l’administration fiscale pour obtenir des fonds réunit ces éléments : usage d’une fausse qualité, manoeuvre frauduleuse par la fabrication d’un site miroir, remise de fonds ou de moyens de paiement au préjudice de la victime. Quand le message usurpe l’identité d’une personne ou utilise ses données d’identification, l’article 226-4-1 du code pénal s’applique également : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende », peine encourue aussi quand les faits sont commis sur un réseau de communication au public en ligne. Enfin, la captation et l’exploitation des données sur le faux site relèvent des atteintes aux systèmes de traitement automatisé de données : l’article 323-1 du code pénal punit de trois ans d’emprisonnement et de 100 000 € d’amende « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données », et l’article 323-3 du même code punit de cinq ans d’emprisonnement et de 150 000 euros d’amende le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient.

La plainte se dépose au commissariat de police ou à la brigade de gendarmerie de son choix, y compris contre X quand l’auteur est inconnu, et les services sont obligés d’enregistrer la plainte de la victime d’une infraction. Il est également possible d’écrire au procureur de la République du lieu des faits. À l’issue du dépôt, la victime reçoit un récépissé et, si elle le demande, une copie de sa plainte, documents à conserver avec le dossier bancaire. Service-public.fr rappelle que la victime peut se constituer partie civile afin d’obtenir des dommages et intérêts en réparation de son préjudice, ce qui suppose de chiffrer précisément les sommes débitées, les frais engagés et, le cas échéant, le préjudice lié à l’utilisation frauduleuse des données personnelles. Pour une société victime par l’intermédiaire de son comptable, la plainte est déposée par le représentant légal, et la constitution de partie civile suit les mêmes règles, avec un chiffrage qui intègre les virements détournés et les coûts de sécurisation du système d’information.

La protection des données volées ne s’arrête pas à la banque. Les informations transmises sur le faux site, état civil, adresse, numéro de téléphone, copie de pièce d’identité parfois réclamée pour « vérifier le dossier de remboursement », exposent à des usages frauduleux différés : ouverture de lignes téléphoniques, souscription de crédits, nouvelles tentatives d’escroquerie ciblées. Les mesures exactes consistent à changer les mots de passe depuis un appareil sain en commençant par la messagerie, à activer la double authentification partout où elle existe, à surveiller les relevés bancaires et les notifications de l’espace fiscal pendant plusieurs semaines, et à conserver toute nouvelle sollicitation suspecte pour l’ajouter au dossier de plainte. Si des données sensibles ont été remises et qu’un risque sérieux d’usurpation d’identité est identifié, un dépôt de plainte dédié à l’usurpation et une vigilance sur les fichiers d’incidents de paiement complètent le dispositif. Pour les dirigeants, l’incident doit aussi déclencher une revue interne proportionnée : qui a reçu le message, qui a cliqué, quels accès ont été exposés, et quelle consigne écrite est diffusée pour que la prochaine vague, car il y en aura une, s’arrête à la boîte de réception.

Conclusion

Un message qui promet un remboursement d’impôt n’est jamais une aubaine à saisir en cliquant : c’est soit une information administrative qui se vérifie dans l’espace officiel rejoint par ses propres moyens, soit une tentative d’escroquerie qui se signale et se conserve comme preuve. La victime qui a transmis ses coordonnées ne perd aucun de ses droits si elle agit vite : opposition auprès de sa banque, contestation écrite des opérations dans le délai de treize mois prévu par l’article L. 133-24 du code monétaire et financier, exigence du remboursement au plus tard à la fin du premier jour ouvrable suivant en application de l’article L. 133-18, et refus de tout raisonnement qui déduirait une négligence grave du seul usage des codes interceptés, comme l’interdit la Cour de cassation. L’absence d’authentification forte exigée par l’établissement au moment de l’opération fait tomber le refus de rembourser, même quand la victime a commis une imprudence, et seule une fraude prouvée du payeur lui-même écarte ce remboursement. Sur le plan pénal, l’escroquerie, l’usurpation d’identité et les atteintes aux systèmes de traitement automatisé de données encadrent les faits et fondent une plainte contre X avec constitution de partie civile, tandis que les signalements au 33700, à Signal Spam et à la plateforme Pharos contribuent à faire disparaître les sites frauduleux. Face à la vague actuelle, la méthode tient en une phrase : vérifier le vrai dans l’espace officiel, ne jamais payer avec ses données pour recevoir un remboursement, et transformer chaque message suspect en preuve plutôt qu’en perte.