Arnaque au remboursement (impôts, EDF) : le piège du trop-perçu

Un courriel signé « Direction générale des Finances publiques » vous annonce une bonne nouvelle : un remboursement d'impôt de 218 euros vous attend. Ou bien c'est un SMS d'« EDF » qui évoque un trop-perçu sur vos factures, à récupérer sans tarder. Un simple lien à suivre, votre numéro de carte bancaire à renseigner, et l'argent sera viré sur votre compte.

Ce message n'est pas un cadeau. C'est l'une des arnaques les plus répandues en France, connue sous le nom d'arnaque au faux remboursement, ou arnaque au trop-perçu. Les escrocs se font passer pour un organisme de confiance — les impôts, la Sécurité sociale, un fournisseur d'énergie — afin de vous soutirer vos coordonnées bancaires. La bonne nouvelle : une fois le mécanisme compris, ce piège devient très facile à déjouer. On vous explique, calmement, sans jargon.

Le principe est toujours le même. Vous recevez un message — par mail, par SMS, parfois par téléphone — qui vous annonce qu'une somme vous est due. Pour la « débloquer », on vous invite à cliquer sur un lien et à remplir un formulaire. Ce formulaire, qui imite à la perfection un site officiel, vous demande votre numéro de carte bancaire, sa date d'expiration et le petit code à trois chiffres au dos (le cryptogramme).

Or un vrai remboursement ne fonctionne jamais ainsi. L'administration fiscale, par exemple, connaît déjà votre compte bancaire : elle y verse vos remboursements automatiquement, sans jamais vous réclamer votre carte. Le seul but de ce formulaire est de capturer vos données pour vider votre compte ou effectuer des achats en votre nom.

Les prétextes changent, mais reviennent souvent :

• Un remboursement d'impôt sur le revenu ou de taxe « en votre faveur ».
• Un trop-perçu sur une facture d'électricité ou de gaz (EDF, Engie, un fournisseur au nom crédible).
• Un remboursement de l'Assurance maladie (Ameli), de la mutuelle ou de la CAF.
• Un avoir d'un opérateur téléphonique ou d'un site de vente en ligne.

Aucun de ces signes pris isolément ne prouve l'arnaque à coup sûr, mais dès que l'un d'eux apparaît, la prudence s'impose.

• On vous demande votre numéro de carte bancaire pour recevoir de l'argent. C'est le signal le plus parlant : pour vous verser une somme, un organisme n'a jamais besoin de votre carte.
• Le message crée un sentiment d'urgence : « offre valable 48 heures », « dernier rappel avant annulation du remboursement ».
• L'adresse de l'expéditeur est étrange : un mail des impôts qui viendrait de « remboursement-gouv@gmail.com », par exemple.
• Le lien ne mène pas au vrai site. Les adresses officielles se terminent par .gouv.fr (impots.gouv.fr, ameli.fr) et non par des variantes fantaisistes (impots-remboursement.com…).
• Le message contient des fautes d'orthographe, ou vous appelle « Cher client » sans jamais vous nommer.

Face à ce type de message, la meilleure défense est la plus simple : ne cliquez sur rien et ne saisissez aucune donnée. Prenez le temps. Un vrai remboursement, lui, ne disparaîtra jamais parce que vous avez attendu une journée.

• Ne cliquez pas sur le lien et ne rappelez pas le numéro indiqué.
• Pour vérifier, rendez-vous vous-même sur le site officiel en tapant l'adresse dans votre navigateur (impots.gouv.fr, ameli.fr, le site de votre fournisseur), jamais en passant par le lien du message.
• Dans le doute, appelez l'organisme au numéro figurant sur une facture papier ou sur son site officiel.
• Signalez le message : les SMS frauduleux se transfèrent gratuitement au 33700 ; les mails et sites douteux se signalent sur Cybermalveillance.gouv.fr et via la plateforme Pharos (internet-signalement.gouv.fr).
• Puis supprimez le message.

Cela peut arriver à tout le monde, surtout quand le message paraît sérieux. L'important est d'agir vite et sans honte : plus la réaction est rapide, plus les dégâts sont limités.

• Contactez immédiatement votre banque pour faire opposition à votre carte. C'est le geste prioritaire.
• Surveillez vos comptes et signalez toute opération que vous ne reconnaissez pas ; votre banque peut contester les prélèvements frauduleux.
• Changez le mot de passe des comptes concernés si vous l'avez saisi sur le faux site.
• Déposez plainte au commissariat ou à la gendarmerie. Vous pouvez préparer votre démarche avec le dispositif public 17Cyber (17cyber.gouv.fr), qui oriente et accompagne gratuitement les victimes.
• Signalez l'arnaque sur Cybermalveillance.gouv.fr pour aider à faire fermer le faux site.

Ces arnaques visent particulièrement les personnes âgées, non par manque de discernement, mais parce qu'elles reçoivent beaucoup de courriers administratifs et hésitent, par respect des institutions, à ignorer un message officiel. Si vous accompagnez un parent, l'essentiel est de désamorcer la peur : rappelez-lui qu'aucun organisme sérieux ne réclame une carte bancaire pour rembourser, et qu'il peut toujours vous appeler avant de cliquer. Une règle simple — « dans le doute, on ne fait rien et on demande » — vaut tous les logiciels du monde.

Pour aller plus loin, un accompagnement de proximité fait une vraie différence. C'est l'esprit de Serenidesk : un antivirus surveillé et un bouclier anti-arnaque installés sur l'ordinateur, doublés d'un vrai technicien français que l'on peut appeler pour demander « ce message, est-il fiable ? » avant de faire quoi que ce soit. Savoir qu'une personne de confiance répondra au bout du fil suffit souvent à transformer un moment d'inquiétude en simple vérification de routine.