Plus personne ne devrait ouvrir un message des impôts sans suivre ces recommandations

Un mail qui tombe pile au moment où la rentrée fiscale s’annonce, un objet qui parle de « vos informations fiscales » et un petit pic d’angoisse au moment de cliquer. Ces derniers jours, des centaines de milliers de foyers reçoivent justement ce genre de message, et la tentation de cliquer trop vite n’a jamais été aussi grande. Sauf qu’un détail, souvent négligé, permet en quelques secondes de savoir si l’on a affaire à l’administration fiscale ou à un escroc bien informé.

Ce détail que personne ne vérifie avant d’ouvrir un message des impôts

La Direction générale des finances publiques a confirmé une fuite de données touchant environ 678 000 particuliers et professionnels, dont 350 000 particuliers et plus de 250 000 entreprises. L’origine du problème n’est pas un piratage classique de mot de passe, mais une usurpation des identifiants d’un agent de la DGFiP, combinés à ceux d’un tiers habilité. Le pirate, qui se revendique sous le pseudonyme ZeroBytes, s’est ainsi connecté comme s’il était un fonctionnaire légitime, avant de revendiquer l’extraction de plus de 678 000 lignes de données fiscales sur un forum du dark web. Rassurant sur un point : les espaces personnels sur impots.gouv.fr et les mots de passe des contribuables ne sont pas concernés. Mais un autre risque, bien plus insidieux, émerge : celui de courriels de phishing devenus terriblement crédibles, car construits à partir de vraies informations personnelles comme l’état civil, le revenu fiscal de référence, la situation familiale ou le taux de prélèvement à la source. Le détail que presque personne ne vérifie avant d’ouvrir ce type de message ? L’adresse complète de l’expéditeur, et non pas seulement le nom affiché à l’écran.

Comment repérer un faux message signé « DGFiP » en quelques secondes

Depuis la mi-août, la DGFiP contacte individuellement chaque personne concernée, par email ou par courrier. Le message authentique a un objet précis, du type « consultation illégitime de vos informations fiscales », il détaille exactement les données consultées, et surtout, il ne contient aucun lien cliquable. C’est là que réside la faille exploitée par les escrocs : tout message qui invite à cliquer « pour vérifier votre situation » ou « régulariser votre dossier » est une tentative d’hameçonnage qui surfe sur l’actualité. La CNIL alertait déjà fin juin sur des arnaques ciblant spécifiquement les victimes de violations de données, avec de faux organismes d’accompagnement et des numéros de téléphone usurpés grâce au spoofing. Pour distinguer le vrai du faux, un seul réflexe compte vraiment : vérifier que l’adresse de l’expéditeur se termine bien par un domaine officiel en .gouv.fr, sans lettre ajoutée, sans tiret suspect, sans extension bizarre. Les fraudeurs excellent dans l’art du domaine ressemblant, presque identique à l’original, mais jamais tout à fait. Un fraudeur qui connaît déjà le revenu fiscal de référence ou l’adresse d’un bien immobilier peut construire un faux message bien plus convaincant qu’un phishing ordinaire, qu’il se fasse passer pour les impôts, une banque ou un organisme social.

Pour résumer les points de vigilance essentiels, voici un tableau récapitulatif :

Le réflexe à adopter systématiquement pour ne plus jamais se faire piéger

Au-delà de ce cas précis, un principe simple protège contre presque toutes les tentatives de fraude : ne jamais cliquer sur un lien reçu par email, SMS ou après un appel téléphonique, même si l’expéditeur semble légitime. En cas de doute, la bonne méthode consiste à fermer le message et à se rendre directement sur le site officiel des impôts en tapant l’adresse dans le navigateur, plutôt que de suivre un lien fourni. Ce réflexe vaut aussi pour les comptes bancaires : consulter régulièrement ses relevés, au moins une fois par semaine grâce aux applications mobiles, permet de repérer rapidement une anomalie. En 2024, plus de 417 000 Français ont été victimes de débits frauduleux sur leurs comptes, pour un préjudice cumulé dépassant 1,19 milliard d’euros. Un chiffre qui rappelle que la vigilance ne concerne pas seulement les impôts, mais l’ensemble des échanges numériques sensibles. L’affaire ne s’arrête d’ailleurs pas là : une seconde intrusion a été reconnue sur le serveur cadastral, puis une troisième sur un portail public a été annoncée par le ministre, qui a présenté un plan de riposte incluant l’ouverture d’un programme de bug bounty pour inciter des chercheurs en sécurité à détecter les failles avant les pirates. En cas de doute persistant sur un message reçu, ou pire, en cas de soupçon d’avoir déjà cliqué sur un lien frauduleux, il est impératif de changer immédiatement ses mots de passe et de contacter sa banque directement, par téléphone ou en agence, jamais par messagerie.

Cette vague de fuites de données, qui vient s’ajouter à une longue liste de piratages déjà observés ces dernières années, rappelle une évidence trop souvent oubliée : l’urgence affichée dans un message est presque toujours le premier signal d’alerte. Avant de cliquer, avant même de paniquer, un simple coup d’œil à l’adresse de l’expéditeur peut suffire à désamorcer une arnaque. Alors, la prochaine fois qu’un message prétendant venir des impôts atterrit dans la boîte mail, quelle sera la première chose à vérifier ?