J’ai reçu un code DGFiP par SMS : vraie alerte ou tentative de phishing

Signes d’un SMS frauduleux : comment repérer l’arnaque

Un SMS qui prétend venir de la DGFiP mais que vous n’avez jamais demandé doit immédiatement éveiller votre méfiance. Les fraudeurs imitent le style administratif officiel et exploitent un contexte sensible, comme la campagne de déclaration de revenus, pour vous pousser à agir vite. Voici les signaux qui trahissent la supercherie.

• Prétexte « alerte DGFIP » : le message annonce un problème urgent à régler.
• Lien cliquable suspect : une URL raccourcie ou différente de impots.gouv.fr.
• Demande du numéro fiscal : aucun SMS officiel ne réclame cette donnée.
• Demande du mot de passe : la DGFiP ne le demande jamais par message.
• Référence à un remboursement : prétexte classique pour vous faire cliquer.

Un prétexte alarmiste et un lien piégé

Le message joue sur l’urgence : compte suspendu, trop-perçu à débloquer, vérification obligatoire. Le lien cliquable qu’il contient mène vers un faux site copie conforme d’impots.gouv.fr. Une fois sur cette page, on vous réclame votre numéro fiscal et votre mot de passe, exactement ce dont le pirate a besoin.

Ce qu’un vrai service ne demande jamais

Aucun message légitime de la DGFiP ne vous demandera votre mot de passe ni votre numéro de carte bancaire. Le prétexte du remboursement ou du crédit d’impôt est l’un des plus fréquents : il crée un espoir qui pousse à cliquer sans réfléchir. Si le SMS cumule urgence, lien et demande d’identifiants, considérez-le comme frauduleux.

Que faire en cas de doute ou de SMS suspect

Le bon réflexe face à un SMS prétendant venir de la DGFiP est simple : ne rien faire dans l’instant. Ni réponse, ni clic, ni rappel. Un message légitime de l’administration fiscale n’exige jamais de réaction immédiate sous peine de blocage de compte ou de perte d’un remboursement.

Les actions à éviter immédiatement

• Ne pas cliquer sur le lien du message : il mène vers un faux site copie d’impots.gouv.fr.
• Ne pas rappeler le numéro affiché dans le SMS, même s’il semble crédible.
• Contacter votre opérateur si votre ligne mobile est coupée sans raison : possible SIM swapping.
• Signaler le SMS au 0 805 805 817, numéro gratuit dédié aux SMS et appels frauduleux, un réflexe qui complète la procédure officielle de signalement d’une arnaque SMS.
• Joindre l’assistance DGFiP au 0 809 401 401 pour toute question liée à la sécurité de votre espace.

Vérifier sans jamais saisir vos identifiants

Si vous voulez contrôler l’origine du message, connectez-vous directement à votre espace personnel en tapant impots.gouv.fr dans la barre d’adresse. Depuis votre compte, vous pouvez consulter vos messages officiels et vérifier si une opération est en attente.

Un point rassurant à garder en tête : recevoir un code ne signifie pas que votre compte a été piraté. Le code à usage unique est justement ce qui manque au pirate pour finaliser sa tentative. Sans saisie de votre part, l’opération reste bloquée et aucune intrusion n’est confirmée.

En cas de saisie déjà effectuée

Si vous avez transmis le code ou rempli un formulaire sur un site douteux, changez sans attendre votre mot de passe sur le vrai site impots.gouv.fr. Vérifiez ensuite vos coordonnées bancaires enregistrées et signalez l’incident au 0 809 401 401. Ces démarches rapides limitent fortement les conséquences.

Comment reconnaître un vrai SMS de la DGFiP

Les usages légitimes du code à usage unique

La DGFiP envoie un code à usage unique de 6 chiffres par SMS dans des situations précises. Ce code sert uniquement à confirmer une action que vous avez vous-même engagée sur votre espace particulier ou professionnel.

• Valider un numéro portable pour l’enregistrer dans votre profil fiscal
• Récupérer un numéro fiscal que vous avez égaré
• Renouveler un mot de passe devenu inutilisable
• Modifier vos coordonnées bancaires pour le prélèvement de l’impôt sur le revenu

Ces 3 opérations constituent l’essentiel des cas d’envoi. Le code se saisit dans un champ prévu sur le site impots.gouv.fr, jamais par réponse SMS et jamais par téléphone.

Plafond et fonctionnement du dispositif

Un même code ne peut être envoyé que 3 fois maximum. Au-delà, il faut recommencer la procédure depuis le début. Cette limite protège contre les tentatives répétées d’un tiers qui tenterait de déclencher des envois multiples.

Sachez aussi qu’un code de sécurité de 6 chiffres peut arriver par courriel, mais il concerne la connexion à votre espace, pas la validation d’un numéro. La connexion reste valable 6 mois après saisie du code, ce qui évite de le redemander à chaque visite.

Enfin, la saisie d’un code par SMS ne signifie jamais qu’une intrusion a déjà réussi. Sans sa saisie, l’opération reste bloquée. Le code est précisément ce qui manque au pirate pour aboutir.

Vérifier l’authenticité auprès des sources officielles

Se fier à l’adresse de l’expéditeur ne suffit pas : un escroc peut la falsifier facilement. Des indices techniques comme SPF, DKIM et DMARC permettent aux messageries de filtrer une partie des faux envois, mais aucune preuve absolue. La mention « via » accolée à un nom de domaine doit éveiller votre attention.

En cas de doute, rendez-vous directement sur impots.gouv.fr en tapant l’adresse vous-même, sans passer par le lien du message. Consultez les pages d’aide officielles, qui détaillent les usages légitimes du code à usage unique. Pour un courriel suspect, utilisez la plateforme dédiée au signalement des messages frauduleux.

Un site officiel cite toujours ses sources et renvoie vers les pages de l’administration. À l’inverse, une page qui exige votre numéro fiscal et votre mot de passe sans autre vérification doit être fermée immédiatement.

L’arnaque au remboursement : un faux SMS fréquent

Un message promettant un trop-perçu ou un crédit d’impôt à débloquer est l’un des faux SMS les plus répandus. Il tombe souvent pendant la campagne de déclaration des revenus, quand les contribuables attendent justement leur remboursement. Le prétexte est crédible, donc le clic paraît anodin.

Ce mécanisme est distinct de l’arnaque au code SMS. Ici, l’escroc ne cherche pas à récupérer un code à usage unique : il veut vous attirer vers un faux site pour y saisir vos identifiants. Aucun message officiel « avis de remboursement DGFiP » ne se présente sous cette forme, par courriel ou par SMS.

Un point doit vous alerter immédiatement : la DGFiP ne demande jamais votre numéro de carte bancaire pour vous verser un remboursement. Le virement se fait directement sur le compte connu de l’administration. Si le message réclame vos coordonnées bancaires, c’est une tentative d’escroquerie caractérisée : ne répondez pas et ne cliquez pas.

Le mécanisme de l’escroquerie : faux site copie du vrai

Le faux site est une copie qui imite impots.gouv.fr à s’y méprendre. Le lien contenu dans le SMS redirige vers cette page frauduleuse, conçue pour voler vos données fiscales.

Le pirate exploite souvent le contexte de la campagne de déclaration de revenus, période où les contribuables attendent des messages officiels. Une fois sur la fausse page, on vous demande votre numéro fiscal et votre mot de passe. C’est précisément ce que la DGFiP ne demande jamais par ce canal.

En saisissant ces informations, vous les livrez directement à l’escroc, qui usurpe ensuite votre identité auprès de l’administration. Le code à usage unique reçu par SMS devient alors la clé qui manquait au pirate pour finaliser l’opération.

Ce que le code reçu par SMS déclenche réellement

Le code à 6 chiffres reçu par SMS correspond à l’ultime étape de validation d’une opération sensible lancée depuis votre espace particulier. Sans que vous le saisissiez dans le champ prévu, l’action reste bloquée : le pirate a bien vos identifiants, mais il ne peut rien valider. Autrement dit, recevoir ce SMS ne prouve pas qu’une intrusion a déjà réussi ; cela signifie simplement qu’un tiers tente de franchir la dernière barrière.

Ce code à usage unique ne concerne que 3 opérations : enregistrer ou modifier un numéro de portable, récupérer un numéro fiscal, ou accéder à certaines données sensibles. Le dispositif impose un plafond de 3 envois maximum. Une fois ce code saisi, la connexion reste valable 6 mois, ce qui explique pourquoi vous ne recevez pas de SMS à chaque visite.

Le code ne doit jamais être transmis à quelqu’un, même si l’interlocuteur se présente comme un conseiller. Enfin, ne le confondez pas avec le code de sécurité à 6 chiffres envoyé par courriel pour la connexion, qui suit un circuit totalement distinct.

Un SMS suspect n’implique pas forcément qu’une fuite de données a déjà eu lieu, mais il peut coïncider avec une campagne d’hameçonnage visant les contribuables. Il est donc utile de vérifier si vos coordonnées figurent dans une fuite de données DGFiP, en contrôlant votre adresse, votre courriel et votre téléphone depuis votre espace personnel.