Faux e-mails des impôts : les 11 signes qui doivent alerter le cabinet et ses clients
L'essentiel
- Depuis les accès illégitimes de juin et juillet 2026 (678 000 particuliers et professionnels concernés), un faux message peut citer de vrais chiffres : il se juge sur ce qu'il demande, jamais sur ce qu'il sait.
- Les impôts ne demandent jamais de carte bancaire, de RIB, de code ni de coordonnées bancaires par e-mail, SMS ou téléphone.
- Un courriel « DGFiP » qui ne vient pas de @dgfip.finances.gouv.fr, ou un lien qui ne mène pas à un site en .gouv.fr, est frauduleux.
- Le réflexe qui vaut les 11 signes : ne jamais cliquer, taper soi-même impots.gouv.fr et lire la messagerie sécurisée.
Depuis l'été, les faux messages au nom des impôts disposent d'un argument de plus. Le 14 août 2026, le ministère a annoncé que des accès illégitimes au système d'information de la DGFiP, intervenus en juin et juillet 2026 avec des identifiants usurpés, avaient permis de consulter et d'extraire des données concernant un total de 678 000 particuliers et professionnels : revenu fiscal de référence, quotient familial, taux de prélèvement à la source, raison sociale ou SIREN pour les entreprises, données cadastrales. Les espaces Finances publiques, les identifiants et les mots de passe n'ont pas été compromis, et la DGFiP informe elle-même, individuellement, les personnes concernées.
Conséquence pour le cabinet : un faux message peut désormais citer de vrais chiffres. Les collaborateurs, qui reçoivent chaque jour des e-mails liés aux impôts de leurs clients, sont les premiers visés ; les clients et leurs proches suivent.
La règle d'or : juger ce que le message demande
Un message qui connaît le revenu fiscal de référence ou le SIREN d'un client ne prouve rien. Il se juge sur ce qu'il demande de faire, jamais sur ce qu'il sait. La DGFiP le rappelle : ses services ne demandent jamais de coordonnées bancaires, d'informations personnelles ni de données sur les clients et les fournisseurs par courriel ou par téléphone.
Les 11 signes, en trois familles
| Famille | Les signes |
|---|---|
| L'expéditeur | 1. L'adresse ne se termine pas par @dgfip.finances.gouv.fr : un courriel marqué « DGFiP » envoyé depuis tout autre domaine est frauduleux. Le nom affiché s'invente, et une bonne adresse ne suffit pas, à elle seule, à prouver l'authenticité. |
| Ce que le message demande | 2. L'objet met la pression (« Dernier rappel », « Action requise sous 48 h »). 3. Il annonce de l'argent inattendu, comme un faux remboursement. 4. Il menace : pénalité, saisie, poursuites. 5. Il demande une carte bancaire, un RIB ou un code reçu par SMS. 6. Il propose de « vérifier si vous êtes concerné par la fuite ». 7. Il faut ouvrir une pièce jointe ou scanner un QR code. 8. Il faut rappeler un numéro ou répondre. |
| Le lien | 9. Il ne mène pas à un site en .gouv.fr. 10. Le domaine ressemble sans être le bon (impots-gouv-fr.com, lmpots.gouv.fr avec un « l » à la place du « i »). 11. Le lien est raccourci ou illisible. |
Un seul signe suffit pour ne pas cliquer. Et un réflexe vaut les onze : ne jamais cliquer, ouvrir soi-même le navigateur, taper impots.gouv.fr, se connecter et lire la messagerie sécurisée. Si le message est authentique, il s'y trouve aussi. Le cinquième signe est le plus fiable : les impôts ne demandent jamais une carte bancaire, un RIB ou un code par e-mail, SMS ou téléphone.
Quelqu'un a cliqué : que faire dans l'heure
| Situation | Ce qu'il faut faire |
|---|---|
| Dans tous les cas | Tout arrêter : fermer la page, ne plus rien saisir. Garder les preuves : ne pas supprimer le message, faire une capture, noter l'heure et ce qui a été saisi. |
| Carte bancaire saisie | Opposition tout de suite, puis surveillance des relevés pendant plusieurs semaines. |
| Code SMS saisi ou opération validée | Appeler la banque immédiatement : ce code sert souvent à valider un paiement ou à enregistrer un nouvel appareil. |
| Mot de passe impots.gouv saisi | Le changer via impots.gouv.fr tapé à la main, puis partout où le même était utilisé. |
| Pièce jointe ouverte | Couper Internet sur l'appareil, lancer l'antivirus ; au cabinet, prévenir aussitôt le référent informatique. |
| De l'argent a été perdu | Plainte au commissariat ou à la gendarmerie ; pour une fraude à la carte, signalement en ligne sur Perceval. |
Attention au deuxième appel : après une arnaque, un faux conseiller bancaire rappelle souvent pour « sécuriser le compte ». Il faut raccrocher, puis rappeler la banque au numéro que l'on connaît.
Au cabinet : une règle commune et des messages prêts
Une règle se partage avec toute l'équipe : aucune donnée bancaire, aucun code, aucun identifiant ne se transmet sur la foi d'un e-mail ou d'un appel, et l'espace professionnel impots.gouv s'ouvre en tapant l'adresse, jamais depuis un lien. Chacun peut être visé, dans sa boîte professionnelle comme personnelle.
Sur la plateforme Xpert-iA, la page Mon Coin Cyber (rubrique Ressources) réunit ces éléments pour toutes les personnes du cabinet, quel que soit leur profil d'accès : les 11 signes, la liste « Quelqu'un a cliqué » à cocher étape par étape, un message aux clients prêt à copier en « vous » ou en « tu », un SMS pour les proches, et un prompt pour faire analyser un message suspect par une IA. Une précaution s'impose alors : ne jamais coller de données d'un client dans un outil d'IA, et retirer numéro fiscal, adresse et téléphone avant toute analyse.
Pour les proches moins à l'aise avec ces messages, trois phrases suffisent : « Les impôts ne me demandent jamais ma carte bancaire. » « Je ne clique pas : je tape impots.gouv.fr moi-même. » « Au moindre doute, j'appelle avant de faire quoi que ce soit. »
Enfin, un message officiel lu à temps laisse moins de prise aux faux : le Robot Impôts Messages relève la messagerie professionnelle impots.gouv de chaque client, avec un niveau d'alerte (urgent, important, normal), pour qu'une mise en demeure ou une demande de pièces arrive au bon collaborateur.
Les bons contacts
- Vérifier un message : impots.gouv.fr, tapé à la main, et sa messagerie sécurisée.
- Se faire aider : 17Cyber, le service d'assistance aux victimes de cybermalveillance.
- Signaler un site : internet-signalement.gouv.fr (Pharos).
- Une question sur une arnaque : Info Escroqueries, numéro vert gratuit, 0 805 805 817.
- Se former : les fiches réflexes de Cybermalveillance.gouv.fr, à diffuser dans l'équipe.
Un message qui connaît vos chiffres ne prouve rien : jugez-le sur ce qu'il vous demande de faire, jamais sur ce qu'il sait de vous.
Pour aller plus loin. Pour ouvrir les espaces impots.gouv des clients sans jamais passer par un lien reçu, voir comment automatiser impots.gouv au cabinet.
Questions fréquentes
Comment reconnaître un faux mail des impôts ?
Un seul signe suffit : une adresse qui ne se termine pas par @dgfip.finances.gouv.fr, un lien qui ne mène pas à un site en .gouv.fr, une urgence ou une menace, un remboursement inattendu, une pièce jointe ou un QR code, ou la demande d'une carte bancaire, d'un RIB ou d'un code reçu par SMS.
Les impôts demandent-ils des coordonnées bancaires par e-mail ?
Non. La DGFiP indique que ses services ne demandent jamais de coordonnées bancaires ni d'informations personnelles par courriel ou par téléphone, et recommande de ne jamais répondre à ces sollicitations.
Un message cite le revenu fiscal de référence du client : est-il authentique ?
Pas forcément. Les accès illégitimes de juin et juillet 2026 ont porté notamment sur le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source. Seule la messagerie sécurisée, ouverte en tapant impots.gouv.fr, permet de vérifier.
Que faire si un collaborateur ou un client a cliqué ?
Tout arrêter et garder les preuves ; faire opposition si une carte a été saisie ; appeler la banque si un code SMS a été donné ; changer le mot de passe impots.gouv en tapant l'adresse à la main ; se faire aider sur 17Cyber ; porter plainte si de l'argent a été perdu.
Sources et méthode
Les règles et les faits viennent d'impots.gouv.fr (« Les réflexes à adopter pour votre sécurité », « Comment réagir en cas d'arnaque ») et du communiqué du ministère de l'Économie du 14 août 2026. Les 11 signes, la marche à suivre et les messages prêts à copier reprennent la page Mon Coin Cyber de la plateforme Xpert-iA (documentation du 31 octobre 2026). Cet article ne remplace ni l'avis de la banque ni celui des services officiels. Article rédigé par Stéphane Régnier, fondateur de Xpert-iA, et vérifié le 7 novembre 2026.
- impots.gouv.fr — Les réflexes à adopter pour votre sécurité
- impots.gouv.fr — Comment réagir en cas d'arnaque ou d'utilisation frauduleuse de vos données personnelles
- Ministère de l'Économie — communiqué du 14 août 2026 sur les accès illégitimes au système d'information de la DGFiP
- Mon Coin Cyber, plateforme Xpert-iA (documentation du 31 octobre 2026)
📚 À lire aussi
- Automatiser impots.gouv au cabinet : le dossier
- Automatiser impots.gouv au cabinet comptable
- Données des clients : serveur ou poste local, la question de la sécurité
📂 Dossier : Impots.gouv au cabinet
📬 Le Robot Impôts Messages
La messagerie professionnelle impots.gouv de chaque client relevée pour le cabinet, avec un niveau d'alerte : urgent, important, normal.
Voir la page →