Faux remboursements d’impôt : vérifiez le nom de domaine avant de communiquer vos données

À l’approche de la campagne de remboursement de l’impôt sur le revenu, les tentatives d’hameçonnage usurpant l’identité de l’administration fiscale peuvent se multiplier.

Des courriels, SMS ou messages frauduleux annoncent parfois un remboursement, un trop-perçu ou une démarche urgente à effectuer. Ils invitent ensuite leur destinataire à suivre un lien menant vers un site conçu pour imiter un service officiel.

L’objectif de ces pages frauduleuses est généralement de récupérer des identifiants, des coordonnées personnelles, des informations bancaires ou des données de carte de paiement.

Le nom de domaine, premier élément à contrôler

L’apparence d’un site ne suffit pas à garantir son authenticité. Un site frauduleux peut reprendre un logo, une charte graphique et des formulations proches de celles d’une administration.

Avant de saisir une information, il convient de lire entièrement l’adresse affichée dans le navigateur. Les auteurs de campagnes d’hameçonnage utilisent fréquemment des noms de domaine comportant une faute discrète, un mot supplémentaire, un tiret trompeur ou une extension inhabituelle.

La présence du cadenas ou du préfixe HTTPS ne prouve pas qu’un site est légitime. Elle indique uniquement que la connexion avec le site est chiffrée.

Accéder directement aux services officiels

Pour effectuer une démarche fiscale, il est préférable de saisir directement l’adresse du service officiel dans le navigateur ou de passer par une application déjà installée et vérifiée.

Il est déconseillé d’utiliser un lien reçu dans un message inattendu, même lorsque celui-ci semble urgent ou personnalisé.

L’administration ne demande pas la communication d’un numéro de carte bancaire pour procéder à un remboursement d’impôt.

Que faire face à un message suspect ?

Il ne faut pas cliquer sur le lien, ouvrir les pièces jointes ou répondre au message. Le contenu peut être signalé aux plateformes compétentes, notamment Signal Spam pour les courriels, le 33700 pour les SMS et Phishing Initiative pour les sites frauduleux.

Il est également utile de prévenir l’organisme dont l’identité est usurpée et de conserver les éléments permettant d’identifier la tentative de fraude.

Si des informations bancaires ont déjà été communiquées, la banque doit être contactée immédiatement. Les mots de passe concernés doivent aussi être modifiés sans attendre.

Renforcer la vigilance collective

La lutte contre l’hameçonnage ne repose pas uniquement sur la détection des messages suspects. Elle nécessite également une surveillance des noms de domaine utilisés à des fins frauduleuses, des procédures de signalement accessibles et une coopération efficace entre les registres, les bureaux d’enregistrement, les hébergeurs, les administrations et les autorités compétentes.

L’Association Nationale de Régulation des Domaines et de l’Internet rappelle que le nom de domaine constitue un élément central de la confiance numérique. Sa vérification doit devenir un réflexe avant toute transmission de données sensibles.