Arnaque au remboursement (impôts, EDF) : le piège du trop-perçu

Un courriel signé « Direction générale des Finances publiques » vous annonce une bonne nouvelle : un remboursement d'impôt de 218 euros vous attend. Ou bien c'est un SMS d'« EDF » qui évoque un trop-perçu sur vos factures, à récupérer sans tarder. Un simple lien à suivre, votre numéro de carte bancaire à renseigner, et l'argent sera viré sur votre compte.

Un faux remboursement vise à obtenir vos données ou un paiement. Il peut imiter un organisme public ou une entreprise. Vérifiez la demande dans votre espace habituel avant toute action.

Le principe est toujours le même. Vous recevez un message — par mail, par SMS, parfois par téléphone — qui vous annonce qu'une somme vous est due. Pour la « débloquer », on vous invite à cliquer sur un lien et à remplir un formulaire. Ce formulaire, qui imite à la perfection un site officiel, vous demande votre numéro de carte bancaire, sa date d'expiration et le petit code à trois chiffres au dos (le cryptogramme).

L'administration fiscale ne demande pas le numéro de carte pour un remboursement. Selon votre situation, des coordonnées bancaires peuvent devoir être vérifiées dans votre espace officiel : ne les modifiez jamais depuis un formulaire inattendu reçu par message.

Les prétextes changent, mais reviennent souvent :

• Un remboursement d'impôt sur le revenu ou de taxe « en votre faveur ».
• Un trop-perçu sur une facture d'électricité ou de gaz (EDF, Engie, un fournisseur au nom crédible).
• Un remboursement de l'Assurance maladie (Ameli), de la mutuelle ou de la CAF.
• Un avoir d'un opérateur téléphonique ou d'un site de vente en ligne.

Aucun de ces signes pris isolément ne prouve l'arnaque à coup sûr, mais dès que l'un d'eux apparaît, la prudence s'impose.

• Un formulaire reçu par message qui exige les données de votre carte pour un prétendu remboursement des impôts doit vous alerter. Vérifiez directement dans votre espace habituel.
• Le message crée un sentiment d'urgence : « offre valable 48 heures », « dernier rappel avant annulation du remboursement ».
• L'adresse de l'expéditeur est étrange : un mail des impôts qui viendrait de « remboursement-gouv@gmail.com », par exemple.
• Vérifiez l'adresse exacte : impots.gouv.fr pour les impôts, ameli.fr pour l'Assurance maladie. Tous les sites officiels ne se terminent pas par .gouv.fr ; un nom ressemblant ne suffit pas.
• Le message contient des fautes d'orthographe, ou vous appelle « Cher client » sans jamais vous nommer.

Face à ce type de message, la meilleure défense est la plus simple : ne cliquez sur rien et ne saisissez aucune donnée. Prenez le temps. Un vrai remboursement, lui, ne disparaîtra jamais parce que vous avez attendu une journée.

• Ne cliquez pas sur le lien et ne rappelez pas le numéro indiqué.
• Pour vérifier, rendez-vous vous-même sur le site officiel en tapant l'adresse dans votre navigateur (impots.gouv.fr, ameli.fr, le site de votre fournisseur), jamais en passant par le lien du message.
• Dans le doute, appelez l'organisme au numéro figurant sur une facture papier ou sur son site officiel.
• Gardez les messages et captures avant de les supprimer. Transférez un SMS suspect au 33700 ; pour un courriel, utilisez le formulaire ou l'extension de Signal Spam. Le site 17cyber.gouv.fr propose un diagnostic et une orientation ; un signalement ne remplace pas un dépôt de plainte.
• Puis supprimez le message.

Cela peut arriver à tout le monde, surtout quand le message paraît sérieux. L'important est d'agir vite et sans honte : plus la réaction est rapide, plus les dégâts sont limités.

• Contactez immédiatement votre banque pour faire opposition à votre carte. C'est le geste prioritaire.
• Surveillez vos comptes et signalez toute opération que vous ne reconnaissez pas ; votre banque peut contester les prélèvements frauduleux.
• Changez le mot de passe des comptes concernés si vous l'avez saisi sur le faux site.
• Déposez plainte au commissariat ou à la gendarmerie. Vous pouvez préparer votre démarche avec le dispositif public 17Cyber (17cyber.gouv.fr), qui oriente et accompagne gratuitement les victimes.
• Gardez les messages et captures avant de les supprimer. Transférez un SMS suspect au 33700 ; pour un courriel, utilisez le formulaire ou l'extension de Signal Spam. Le site 17cyber.gouv.fr propose un diagnostic et une orientation ; un signalement ne remplace pas un dépôt de plainte.

Si vous aidez un proche, proposez-lui de vérifier ensemble la demande dans son espace officiel. Ne lui reprochez pas d'avoir hésité ou cliqué : cela facilitera les échanges si un autre message arrive.