Ce qui se passe cette semaine
La Direction générale des Finances publiques rembourse cette année 12,6 millions de foyers fiscaux, pour un montant moyen de 1 057 €. Les virements partent en deux vagues : le vendredi 24 juillet, déjà passé, et le vendredi 31 juillet. Le communiqué du ministère précise que l'opération est automatique — aucune démarche à faire — et que le virement apparaît sur le relevé bancaire sous le libellé REMB IMPOT REVENUS, émis par DGFIP FINANCES PUBLIQUES.
Le dispositif public d'assistance Cybermalveillance.gouv.fr a publié une alerte le 15 juillet, avant même le premier versement : cette période est chaque année accompagnée de campagnes d'hameçonnage usurpant l'identité de l'administration fiscale. Les faux messages arrivent par courriel, par SMS ou par téléphone. Ils reprennent les codes visuels et le ton de l'administration, annoncent un montant précis pour paraître crédibles, créent un sentiment d'urgence et contiennent un lien vers un faux site où l'on vous demandera vos coordonnées bancaires.
Il n'y a rien de nouveau dans le procédé, et c'est précisément ce qui le rend intéressant : il fonctionne encore.
« C'est un problème personnel, pas un problème d'entreprise »
C'est la lecture spontanée, et elle a une faille. Le SMS arrive sur le téléphone que le commercial utilise pour ses tournées. Le courriel arrive dans la boîte personnelle que le comptable consulte entre deux dossiers, sur le poste de l'entreprise. La frontière entre le matériel personnel et le matériel professionnel n'existe plus depuis longtemps dans une PME de dix ou vingt personnes.
Trois conséquences très concrètes en découlent. La première : le faux site est servi depuis un navigateur d'entreprise, sur un réseau d'entreprise — et ce qui s'installe éventuellement à cette occasion s'installe chez vous. La deuxième : beaucoup de gens réutilisent leurs mots de passe. Un identifiant saisi sur un faux portail est essayé dans la foulée sur la messagerie professionnelle, où l'adresse commence souvent par le même identifiant — et où le mot de passe est souvent le même. La troisième, la plus sous-estimée : une personne qui vient de se faire piéger à titre personnel n'en parle pas au bureau. Elle a honte. Vous perdez le seul signal qui vous aurait permis de réagir.
Le même mécanisme vise votre comptabilité
Retirez le décor fiscal et regardez la structure : une identité en qui on a confiance, un montant crédible, une urgence, un geste financier à faire tout de suite. C'est mot pour mot le schéma de la fraude au virement — le faux fournisseur qui annonce un changement de RIB, le faux dirigeant qui réclame un règlement confidentiel avant la fermeture de la banque.
Les chiffres de Cybermalveillance.gouv.fr pour 2025 disent où en est cette menace. Sur les demandes d'assistance émanant d'entreprises et d'associations, les trois premiers motifs sont le piratage de compte (21 %, en hausse de 52 % sur un an), l'hameçonnage (16 %, +29 %) et la fraude au virement (13,5 %, +93 %). Le rançongiciel, qui occupe l'essentiel des conversations sur la cybersécurité, arrive loin derrière avec 8,1 %. Autrement dit : ce qui coûte le plus souvent de l'argent à une PME n'est pas un logiciel malveillant sophistiqué, c'est un message bien tourné.
Une PME reçoit d'ailleurs sa propre version du courriel de remboursement : le crédit de TVA à récupérer, la « régularisation » URSSAF, le trop-perçu d'un fournisseur d'énergie. Même ressort, interlocuteur différent.
Reconnaître : trois signaux, pas dix
Les listes de vingt critères ne servent à rien : personne ne les applique sous pression. Trois suffisent, et ils tiennent quel que soit l'expéditeur prétendu.
- On vous demande de cliquer. L'administration fiscale ne vous fait jamais remplir un formulaire pour déclencher un remboursement automatique. La bonne réaction n'est pas d'examiner le lien : c'est de ne pas le suivre et de taper soi-même l'adresse du site dans le navigateur.
- On vous demande des coordonnées bancaires — ou des frais. Aucun paiement de frais ni validation par carte bancaire n'est demandé pour un remboursement. Une demande de RIB, de numéro de carte ou de code reçu par SMS met fin à la discussion.
- Il y a une urgence. Un délai, une menace de perdre la somme, une fenêtre qui se ferme. L'urgence n'est pas un détail du message : c'est l'outil. Elle sert à empêcher la vérification.
Pour le cas précis du remboursement d'impôts, la vérification est simple : ouvrir son espace personnel en tapant l'adresse à la main, ou regarder son relevé bancaire — le virement arrive tout seul, il n'y a rien à faire pour le déclencher.
Quatre mesures qui tiennent en une semaine
Aucune ne demande de budget significatif, et elles valent bien au-delà de la période fiscale.
1. La règle du second canal, écrite. Toute modification de coordonnées bancaires, toute demande de virement inhabituelle est validée par un appel à un numéro déjà connu — jamais celui qui figure dans le message. C'est la mesure la plus efficace contre la fraude au virement, et elle coûte un paragraphe dans une procédure. Elle ne fonctionne qu'à une condition : que le collaborateur qui applique la règle ne se fasse jamais reprocher d'avoir fait attendre un dirigeant pressé.
2. L'authentification à deux facteurs sur la messagerie. C'est ce qui transforme un mot de passe volé en incident sans conséquence. Compte tenu de la place du piratage de compte dans les statistiques — premier motif d'assistance des entreprises —, c'est la seule mesure technique de cette liste qui mérite d'être traitée en priorité absolue.
3. Un point de signalement interne, sans reproche. Une adresse ou une personne à qui transférer un message douteux, et une règle explicite : celui qui signale a bien fait, y compris s'il a déjà cliqué. Une PME qui apprend l'incident le jour même le règle ; celle qui l'apprend trois semaines plus tard subit. Les signalements publics existent aussi et ont leur utilité : le 33700 pour les SMS frauduleux, et la plateforme Cybermalveillance.gouv.fr pour être orienté en cas de préjudice.
4. Prévenir avant les pics. Le calendrier des fraudeurs est le vôtre : période fiscale, échéances URSSAF, fin d'exercice, congés d'été quand les dirigeants sont injoignables. Un message interne de trois lignes avant chaque pic vaut mieux qu'une formation annuelle d'une demi-journée que personne ne se rappelle en novembre.
Ce que ça dit du reste
Il y a un point commun entre cette vague d'hameçonnage et les épisodes techniques dont nous parlons ici régulièrement, comme la faille WordPress dont nous parlions hier : dans les deux cas, la parade était connue, gratuite et documentée. Ce qui manque n'est pas l'information, c'est l'organisation qui la transforme en geste. Une règle écrite, quelqu'un qui l'applique, quelqu'un à qui on peut dire qu'on s'est trompé.
C'est aussi pour cela que la sauvegarde et la lutte contre l'hameçonnage sont deux faces du même sujet : la lutte contre l'hameçonnage empêche l'incident, la sauvegarde décide de ce qu'il coûte. Nous détaillons la seconde dans notre article sur la règle de sauvegarde 3-2-1.
Notre lecture
La leçon de juillet n'est pas qu'il faut se méfier des courriels — tout le monde le sait déjà, et cela n'a jamais empêché personne de cliquer un mardi à 17 h 40 entre deux dossiers. Elle est qu'une organisation ne doit pas dépendre de la vigilance individuelle à l'instant T.
Les entreprises qui ne se font pas avoir ne sont pas celles dont les salariés sont plus malins. Ce sont celles où un virement inhabituel passe forcément par un second canal, où un mot de passe volé ne suffit pas à ouvrir une boîte mail, et où dire « je crois que j'ai cliqué » ne coûte rien. Ces trois phrases décrivent une organisation, pas un logiciel. C'est la bonne nouvelle : elles sont à la portée d'une entreprise de dix personnes.
Sources : communiqué du ministère de l'Économie et des Finances du 22 juillet 2026 sur les remboursements d'impôt (dates, nombre de foyers, montant moyen, libellé du virement) ; alerte « Remboursement d'impôt : attention aux tentatives d'hameçonnage » de Cybermalveillance.gouv.fr, publiée le 15 juillet 2026 ; rapport d'activité et état de la menace 2025 de Cybermalveillance.gouv.fr pour la répartition des menaces visant les entreprises et associations ; fiche du 33700 sur service-public.gouv.fr pour le signalement des SMS frauduleux. Cybermalveillance.gouv.fr est le dispositif public d'assistance aux victimes : il est partie prenante du sujet qu'il documente, mais ses statistiques portent sur ses propres demandes d'assistance et sont publiées comme telles. Nous n'avons pas repris les montants annoncés dans les faux messages, qui varient d'une campagne à l'autre.