ArnaqueInternet.com

La confirmation récente par la Direction générale des Finances publiques (DGFiP) d’une cyberattaque d’ampleur visant ses systèmes d’information marque un tournant critique pour la sécurité numérique des citoyens. Si les fuites de données d’entreprises privées sont devenues monnaie courante, le piratage des bases fiscales touche au cœur même de la confiance républicaine.

Au-delà du vol d’informations en lui-même, c’est l’exploitation qui en sera faite dans les jours à venir qui inquiète. En effet, l’exposition d’informations fiscales ultra-sensibles ouvre la voie à des campagnes de spear-phishing (ou hameçonnage ciblé) d’une précision redoutable.

Une mine d’or fiscale aux mains des cybercriminels

Lors d’un hameçonnage classique, les escrocs envoient des millions de courriels génériques espérant piéger quelques victimes crédules avec des prétextes vagues (« Votre colis est bloqué », « Votre abonnement a expiré »). La fuite de données aux Impôts change radicalement la donne.

En s’emparant de données confidentielles telles que le Revenu Fiscal de Référence (RFR), le numéro fiscal, la composition du foyer, le taux d’imposition personnalisé ou encore des détails patrimoniaux, les cybercriminels obtiennent ce qu’on appelle un « kit d’usurpation parfait ». Ces informations ne sont pas de simples données de contact ; elles constituent la signature numérique fiscale exacte de chaque contribuable.

Du phishing de masse au spear-phishing hyper-réaliste

L’ingénierie sociale repose sur la création d’un sentiment de confiance et d’urgence. Grâce aux données dérobées, les escrocs ne rédigent plus des messages impersonnels émaillés de fautes d’orthographe. Ils façonnent des scénarios sur-mesure ce qu’on appelle du spear-phishing, ou du hameçonnage ciblé

Exemple de scénario hyper-ciblé :

Imaginez recevoir un SMS ou un courriel de relance semblant provenir directement de la DGFiP :

« Bonjour M. [Nom], une anomalie a été détectée sur votre déclaration concernant votre foyer de [X] personnes. Votre Revenu Fiscal de Référence enregistré (34 850 €) ne concorde pas avec votre taux de prélèvement à la source actuel. Veuillez régulariser votre situation sous 48h afin d’éviter une pénalité de retard. »

Pour la personne qui lit ce message, la réaction instinctive est la panique. Pourquoi douterait-elle ? Le message contient son identifiant fiscal exact, le montant au centime près de son dernier avis d’imposition et sa situation familiale. La vigilance baisse immédiatement : le niveau de détail est tel qu’il semble impossible qu’un tiers non autorisé en ait connaissance.

Des vecteurs d’attaque démultipliés

Les données fiscales volées peuvent être croisées avec d’autres fuites récentes (banques, opérateurs télécoms, plates-formes RH) pour affiner encore davantage les pièges. Cela permet aux fraudeurs de déployer plusieurs types d’attaques :

• Faux remboursement d’impôt : Notification d’un trop-perçu avec le montant exact calculé à partir du RFR volé, incitant la victime à entrer ses coordonnées bancaires sur un site miroir.
• Arnaque au faux conseiller bancaire (Vishing) : Un escroc contacte la victime par téléphone en se faisant passer pour son conseiller ou un agent de la brigade des fraudes. Pour prouver son identité, l’escroc lui récite son numéro fiscal et ses derniers revenus. Une fois la victime mise en confiance, le fraudeur lui fait valider des paiements ou des transferts « d’urgence ».
• Escroqueries auprès des entreprises : Pour les professionnels dont les données ont également été compromises, les cybercriminels peuvent simuler des redressements fiscaux complexes ou usurper l’identité de l’administration pour exiger le virement immédiat de prétendus arriérés de TVA.

Comment se protéger face à des pièges quasi indétectables ?

Face à des attaques utilisant vos propres données réelles, le discernement traditionnel ne suffit plus. Quelques règles strictes doivent devenir de nouveaux automatismes :

Appliquer la règle de la prise de contact directe : Si vous recevez une alerte concernant vos impôts (SMS, e-mail, appel), ne cliquez sur aucun lien. Connectez-vous vous-même à votre espace sécurisé sur impots.gouv.fr en saisissant l’adresse directement dans votre navigateur.

1. Connaître la doctrine de l’administration : La DGFiP ne demande jamais de communiquer des coordonnées bancaires, des numéros de carte bleu ou des mots de passe par e-mail ou SMS pour effectuer un remboursement ou un paiement.  
2. Mettre en place la double authentification : Sécurisez l’accès à vos comptes clés (e-mail principal, banque, FranceConnect) avec des facteurs d’authentification forts (application de validation, clé de sécurité).  
3. Rester sceptique face à la précision des détails : Ce n’est pas parce qu’un interlocuteur connaît votre RFR, votre adresse ou votre numéro fiscal qu’il s’agit du trésor public. Traitez la possession de ces données comme des informations potentiellement publiques.
4. La fuite des données de la DGFiP nous fait entrer dans une ère où le doute raisonnable doit devenir un réflexe permanent. La sophistication croissante des cybercriminels impose de ne plus se fier au contenu de l’émetteur, mais uniquement aux canaux de vérification officiels.

Vous avez trouvé l’article que vous cherchiez, au bon prix, sur un site que vous ne connaissez pas. Avant de sortir votre carte bancaire, voici les huit vérifications que nous conseillons depuis des années aux lecteurs qui nous écrivent après coup. Aucune n’est infaillible à elle seule, mais un faux site échoue presque toujours à plusieurs d’entre elles. Si deux ou trois points posent problème, renoncez à l’achat.

1. Le prix est-il crédible ?

Sur un produit neuf et récent (smartphone, console, électroménager de marque), les marges des vendeurs sont faibles. L’écart entre deux sites sérieux se compte en quelques pourcents. Un iPhone ou une console 30 % moins cher que partout ailleurs n’est pas une bonne affaire : c’est l’appât. Les faux sites affichent des prix bas pour encaisser un maximum de commandes avant de disparaître.

2. Qui se cache derrière le site ?

Cherchez les mentions légales, souvent en bas de page. Un vendeur établi en France doit indiquer sa raison sociale, sa forme juridique, l’adresse de son siège, son numéro SIREN, un e-mail et un numéro de téléphone. Copiez le numéro SIREN dans l’annuaire des entreprises : la société existe-t-elle, est-elle toujours active, son activité correspond-elle à ce que vend le site ? Une société de plomberie ou une association sportive qui vend soudainement des sacs de luxe, c’est un nom d’entreprise usurpé.

3. Depuis quand le site existe-t-il ?

Une recherche « whois » sur le nom de domaine (par exemple sur le site de l’Afnic pour les adresses en .fr) donne sa date de création. Un site ouvert il y a trois semaines n’est pas forcément malhonnête, mais il n’a encore aucun historique, et c’est exactement le profil des boutiques éphémères.

4. Le nom du site est-il cohérent ?

Plusieurs signaux doivent alerter :

• un nom qui imite une enseigne connue à une lettre près (« fnaque », « hammazon », « decathlonn ») ;
• une marque accompagnée de « pas cher », « soldes », « outlet » ou « destockage » ;
• un nom sans aucun rapport avec ce qui est vendu, comme un ancien site de club sportif ou d’artisan racheté après son abandon. Nos lecteurs nous en ont signalé beaucoup, et ils figurent dans notre liste noire des sites de vente frauduleux.

5. Que disent les autres acheteurs ?

Tapez le nom du site suivi de « avis » ou « arnaque ». Quelques clients mécontents, cela arrive à tout le monde. Une série de témoignages de commandes jamais livrées, c’est une réponse claire. Ne vous fiez pas aux avis affichés sur le site lui-même : ils sont choisis, voire inventés. Une avalanche d’avis à cinq étoiles publiés le même mois est aussi suspecte qu’une absence totale d’avis.

6. Comment vous demande-t-on de payer ?

C’est le point le plus important. Un marchand sérieux accepte la carte bancaire, avec une validation dans l’application de votre banque (le dispositif 3D Secure). Méfiez-vous si le site :

• ne propose que le virement bancaire, ou accorde une « remise » si vous payez par virement ;
• demande des cartes prépayées, des coupons, des cartes cadeaux ou des cryptomonnaies ;
• vous envoie un lien de paiement par e-mail ou WhatsApp au lieu d’une page de paiement intégrée.

La carte bancaire vous laisse un recours : si rien n’est livré, votre banque peut contester le paiement. Un virement envoyé à un escroc est très difficile à récupérer.

7. Le site est-il bien écrit et complet ?

Les faux sites soignent leur page d’accueil, beaucoup moins le reste. Ouvrez les conditions générales de vente, la politique de retour, la page « qui sommes-nous ». Textes traduits automatiquement, références à un autre pays, mentions d’une autre boutique oubliées dans un copier-coller : ces détails trahissent un modèle de site réutilisé. Le cadenas dans la barre d’adresse ne prouve rien : il indique seulement que la connexion est chiffrée, et les faux sites en ont un aussi.

8. Pouvez-vous joindre quelqu’un ?

Un numéro de téléphone qui ne répond jamais, un simple formulaire de contact ou une adresse e-mail gratuite (Gmail, Outlook) pour un « grand magasin en ligne » sont mauvais signe. Un vendeur que vous ne pouvez pas joindre avant l’achat ne répondra pas davantage si votre colis n’arrive pas.

Et si c’est trop tard ?

Si vous avez déjà payé un site qui ne livre pas, suivez les étapes de notre article Litige après un achat en ligne : vos recours et de notre page Arnaque sur internet : que faire ?. Contactez votre banque au plus vite pour contester le paiement par carte, gardez toutes les preuves, et signalez le site en commentaire de notre page sur les arnaques aux sites de vente pour prévenir les prochains acheteurs.

Qui sont les personnes derrière les messages que nous recevons ? La réponse n’est pas un seul pays ni un seul profil. Les arnaques en ligne sont une économie, avec ses spécialités régionales, ses fournisseurs et ses sous-traitants. Comprendre d’où elles viennent aide à reconnaître leurs méthodes.

Les lettres nigérianes : l’ancêtre

Bien avant internet, des escrocs envoyaient par fax et par courrier des lettres de prétendus fonctionnaires ou héritiers africains, qui cherchaient un partenaire étranger pour sortir une fortune de leur pays, contre une petite avance de frais. On les appelle « arnaques 419 », du numéro de l’article du code pénal nigérian qui réprime l’escroquerie. Avec l’e-mail, le même scénario est passé de quelques centaines de lettres à des millions de messages. Il survit dans les arnaques à l’héritage et à la loterie.

Les brouteurs d’Afrique de l’Ouest

Pour le public francophone, le nom le plus connu est celui de « brouteur », venu de Côte d’Ivoire. Le terme désigne de jeunes escrocs qui « broutent » leurs victimes, souvent par des arnaques sentimentales sur les sites de rencontre et les réseaux sociaux. On en trouve aussi au Bénin, au Togo, au Cameroun ou au Sénégal. Ils travaillent souvent en petits groupes, depuis des cybercafés puis des smartphones, et utilisent des photos volées d’acteurs, de militaires ou de mannequins. Nous les décrivons depuis 2010, et des milliers de victimes ont témoigné sur nos pages consacrées aux photos utilisées par les escrocs et aux astuces pour repérer les brouteurs.

Leurs autres spécialités sont le faux prêt entre particuliers, la fausse vente d’animaux et le chantage à la webcam.

Les centres d’appels

Certaines arnaques nécessitent des dizaines d’employés au téléphone. Le faux support technique, qui affiche un faux message de virus puis fait appeler un numéro, est historiquement associé à des centres d’appels installés en Inde. Les faux placements (cryptomonnaies, trading, livrets à taux miraculeux) reposent sur des centres structurés comme de vraies entreprises, avec des scripts, des objectifs et des primes. Des enquêtes de presse et des opérations de police européennes en ont démantelé plusieurs, notamment en Europe de l’Est, dans le Caucase et autour de la Méditerranée. Les vendeurs y parlent souvent parfaitement français.

Les complexes d’Asie du Sud-Est

Depuis quelques années, les arnaques sentimentales tournées vers l’investissement (une relation amoureuse ou amicale qui finit sur une fausse plateforme de cryptomonnaies) sont pilotées depuis des complexes fermés au Cambodge, en Birmanie ou au Laos. Les Nations unies ont alerté sur le sort des personnes qui y travaillent : beaucoup ont été attirées par de fausses offres d’emploi puis retenues de force. Les victimes de ces arnaques sont aussi, d’une certaine manière, à chaque bout de la chaîne.

Et en France ?

Il serait faux de croire que toutes les arnaques viennent de l’étranger. Une bonne partie du phishing par SMS (faux colis, fausse amende, faux compte formation) est organisée par des réseaux installés en France. Ils achètent des « kits » de faux sites et des listes de numéros sur des messageries comme Telegram. Le faux conseiller bancaire, qui exige un français parfait et une bonne connaissance des banques françaises, est souvent le fait de petits groupes locaux. Ils recrutent même des « mules » parmi les jeunes, chargées de récupérer des cartes ou de faire transiter l’argent sur leur compte.

Ce que ça change pour vous

Connaître ces filières permet de reconnaître les scénarios, mais pas de juger un message à son origine. Un e-mail sans faute ne vient pas forcément d’un service français, et un interlocuteur au bel accent du Sud-Ouest peut travailler pour un centre d’appels à l’étranger. Les outils de traduction et d’intelligence artificielle ont effacé les fautes qui trahissaient autrefois les escrocs, et permettent même d’imiter une voix ou un visage en vidéo.

Mieux vaut se fier aux méthodes plutôt qu’aux apparences : l’urgence, le secret, le paiement inhabituel, la demande de code. Nous les avons résumées dans nos dix signes qui doivent alerter.