Mail des impôts, de la CAF ou d'Ameli : vrai ou arnaque ?

« Vous bénéficiez d'un remboursement de 214 €, cliquez ici pour en profiter. » « Votre dossier CAF est incomplet, régularisez sous 48 h. » « Votre carte Vitale doit être mise à jour. » Ces mails ont l'air officiels : le logo est là, le ton est administratif, l'adresse ressemble à la vraie. Et pourtant, une grande partie d'entre eux sont des faux, envoyés par des escrocs pour récupérer votre argent ou vos coordonnées bancaires.

Les messages frauduleux peuvent être très bien écrits. Pour vérifier une demande, ouvrez vous-même l'espace officiel de l'organisme et contactez-le par ses coordonnées habituelles si nécessaire.

Ces trois organismes ont un point commun : presque tout le monde est concerné, et ils touchent à l'argent (un impôt, une allocation, un remboursement de santé). Un escroc qui envoie des millions de faux mails « impôts » est sûr que la plupart des destinataires ont bien un compte aux impôts. C'est ce qu'on appelle l'hameçonnage, ou phishing : on « pêche » au hasard, en espérant qu'un certain nombre de personnes mordront.

Autre raison : ces administrations inspirent naturellement le respect et un peu d'appréhension. Personne n'a envie d'avoir un problème avec le fisc ou de perdre ses droits à la CAF. Les escrocs exploitent exactement ce réflexe : ils créent un sentiment d'urgence ou de crainte pour que vous cliquiez avant de réfléchir. Retenez ce principe : plus un mail cherche à vous faire peur ou à vous presser, plus il faut se méfier.

Un message frauduleux peut ne montrer aucune faute. Utilisez ces indices pour décider de vérifier, sans les prendre comme une preuve suffisante :

• On vous demande vos coordonnées bancaires ou de « confirmer » un paiement. Ni les impôts, ni la CAF, ni Ameli ne réclament jamais votre numéro de carte bancaire par mail. Pour un remboursement, ils utilisent le compte bancaire qu'ils connaissent déjà.
• Un ton pressant : « sous 48 h », « dernier rappel », « votre compte sera suspendu ». L'urgence est la marque de fabrique de l'arnaque.
• Un lien à cliquer pour « accéder à votre dossier » ou « recevoir votre remboursement ». Les vrais organismes vous invitent à vous connecter à votre espace, pas à suivre un lien qui pré-remplit tout.
• L'adresse de l'expéditeur est bizarre : au lieu de se terminer par @dgfip.finances.gouv.fr, @caf.fr ou @ameli.fr, on trouve un nom approximatif ou un domaine qui n'a rien à voir. En cas de doute, affichez l'adresse complète de l'expéditeur.
• Des fautes d'orthographe, une mise en page approximative, ou un « Bonjour cher usager » impersonnel.
• Une pièce jointe inattendue (facture, formulaire) à ouvrir : ne l'ouvrez pas, elle peut contenir un virus.

Trois scénarios reviennent particulièrement en ce moment. Les connaître, c'est déjà être à moitié protégé.

Un faux remboursement fiscal peut demander la carte sur une page imitée. La DGFiP ne réclame pas le numéro de carte pour rembourser un impôt. Si des coordonnées sont à vérifier, passez par votre espace officiel.

La fausse régularisation CAF joue sur la peur de perdre ses droits : « dossier incomplet », « pièce manquante », avec un lien pour « mettre à jour vos informations », coordonnées bancaires comprises. Là encore, toute modification se fait uniquement depuis votre espace personnel sur caf.fr.

La fausse mise à jour de la carte Vitale (au nom d'Ameli) prétend que votre carte va être désactivée si vous ne payez pas quelques euros de « frais » ou ne renseignez pas vos informations. C'est faux : la carte Vitale est gratuite et Ameli ne demande jamais de paiement par mail pour la « renouveler ».

Ouvrez vous-même impots.gouv.fr, caf.fr ou ameli.fr et consultez votre espace. Si vous ne trouvez pas la demande, contactez l'organisme depuis son site ou un courrier déjà reçu. L'absence d'une notification dans l'espace personnel ne prouve pas, à elle seule, que le message est faux.

Un favori créé depuis une adresse vérifiée limite le risque de suivre un lien frauduleux. Vérifiez aussi l'adresse qui s'affiche et ne poursuivez pas si votre navigateur signale une connexion dangereuse.

En cas de doute, vous pouvez aussi signaler le message : utilisez le formulaire ou l’extension de Signal Spam (signal-spam.fr), et pour toute question, le site Cybermalveillance.gouv.fr et la plateforme 17Cyber (17cyber.gouv.fr) proposent une aide gratuite et fiable.

Si vous avez saisi vos informations sur un de ces faux sites, pas de panique, mais agissez vite. Chaque geste compte, et plus tôt vous réagissez, mieux c'est.

• Si vous avez communiqué votre numéro de carte bancaire, faites opposition auprès de votre banque immédiatement, puis surveillez vos relevés.
• Si vous avez donné un mot de passe, changez-le sans attendre, ainsi que celui de votre messagerie s'il était identique.
• N'ouvrez pas et ne rappelez pas les éventuels numéros indiqués dans le mail : cela vous exposerait à une nouvelle tentative.
• Gardez les messages et captures avant de les supprimer. Transférez un SMS suspect au 33700 ; pour un courriel, utilisez le formulaire ou l'extension de Signal Spam. Le site 17cyber.gouv.fr propose un diagnostic et une orientation ; un signalement ne remplace pas un dépôt de plainte.
• Si vous avez subi un préjudice financier, déposez plainte au commissariat ou à la gendarmerie ; conservez le mail et les captures d'écran comme preuves.
• Parlez-en autour de vous, en particulier à vos proches âgés : partager l'information est le meilleur moyen d'éviter que d'autres tombent dans le même piège.