11 septembre 2026

Un faux e-mail des impôts ou de la Sécurité sociale : comment savoir que c'est une arnaque

Il y a quelques années, un e-mail prétendant venir de l'administration fiscale se détectait au premier coup d'œil : la langue prêtait à rire, le logo était étiré, l'objet portait trois points d'exclamation. Plus maintenant. Avec l'IA générative, n'importe quel escroc rédige une mise en demeure dans un français impeccable, avec le ton administratif qui convient, un numéro de dossier bien formé et une page d'atterrissage qui est une copie presque exacte du portail officiel.

Résultat : la règle que nous utilisions tous — « si c'est mal écrit, c'est faux » — ne sert plus. Et cela nous prive de notre principal filtre précisément à la période où ces e-mails circulent le plus : autour des échéances déclaratives trimestrielles.

Ce qu'ils cherchent exactement

Ils ne veulent pas toujours que vous payiez. Souvent, ils visent l'une de ces trois choses :

• Vos identifiants. Ceux du portail fiscal, de la banque ou de la messagerie professionnelle.
• Votre certificat numérique. C'est la clé maîtresse : avec lui, ils peuvent déposer des déclarations, demander des aides ou enregistrer des changements au nom de votre entreprise.
• Que vous ouvriez une pièce jointe. Elle installe un logiciel malveillant et ouvre la porte à tous les autres ordinateurs du bureau.

La « dette en attente » ou la « notification urgente » n'est que le prétexte pour créer la hâte.

Un cas comme tant d'autres

Une entreprise de nettoyage de neuf salariés a reçu un e-mail prétendant venir de la Sécurité sociale : une divergence dans les cotisations d'un salarié, et 48 heures pour la corriger avant sanction. L'e-mail portait le bon logo, le langage administratif exact et un lien vers « le portail en ligne ».

La personne de l'administration a cliqué et est arrivée sur une page identique à l'originale. Elle s'est arrêtée sur un petit détail : le navigateur ne lui proposait pas le certificat numérique qui apparaît toujours quand elle se connecte pour de vrai. Elle a appelé le numéro officiel de la Sécurité sociale — pas celui de l'e-mail — et on lui a confirmé qu'aucun dossier n'était ouvert. L'arnaque s'est soldée par dix minutes de frayeur.

Les signaux d'alerte qui fonctionnent encore

La rédaction ne nous dit plus rien, mais il y a des signaux que l'IA ne peut pas maquiller :

• Le domaine de l'expéditeur. Les organismes publics écrivent depuis des domaines officiels (en Espagne, ceux finissant en .gob.es ou .seg-social.es ; en France, .gouv.fr). Toute variante créative — agenciatributaria-es.com, impots-gouv.net, segsocial.info — est fausse, aussi bien écrite soit-elle.
• Des délais impossibles. L'administration ne vous donne pas 24 ou 48 heures par e-mail. Les vrais délais arrivent par notification électronique officielle et se comptent en jours ou en semaines.
• Demander des données par e-mail. Les impôts et la Sécurité sociale ne vous demanderont jamais un numéro de compte, un mot de passe, ni de téléverser votre certificat numérique dans un formulaire.
• Des liens qui ne correspondent pas. Survolez le lien sans cliquer : en bas du navigateur ou du client de messagerie, vous verrez l'adresse réelle. Si ce n'est pas la même que le texte, dehors.
• Des remboursements et aides inattendus. « Vous avez un remboursement en attente de 1 842 € » est l'appât le plus ancien qui soit, et il fonctionne encore, parce que personne n'examine une bonne nouvelle à la loupe.

Les vérifications de deux minutes

Quand un e-mail de ce genre arrive, ne répondez pas et ne cliquez sur rien. Faites trois choses :

1. Entrez par votre chemin habituel. Ouvrez le navigateur et tapez vous-même l'adresse du portail, ou utilisez le favori que vous avez déjà. S'il y a une vraie demande, elle y sera : les notifications officielles se consultent toujours depuis le portail, jamais uniquement depuis un lien.
2. Appelez le numéro officiel. Celui du site, pas celui de l'e-mail. Deux minutes d'attente coûtent bien moins qu'une sanction ou un certificat volé.
3. Demandez à votre comptable. Si vous en avez un, c'est lui qui sait le mieux quels dossiers vous avez réellement ouverts. Un message avec la capture d'écran règle généralement la question.

Que faire si vous avez déjà cliqué

Si quelqu'un de l'équipe a saisi des identifiants ou ouvert une pièce jointe, l'horloge tourne :

• Changez immédiatement le mot de passe du compte concerné et de tout autre où vous le réutilisez. C'est exactement la raison pour laquelle on ne réutilise jamais un mot de passe.
• Activez l'authentification à deux facteurs si ce n'est pas déjà fait.
• Révoquez et refaites le certificat numérique s'il y a la moindre chance qu'il ait été exposé. C'est une démarche pénible ; la remplacer par une plainte pour usurpation l'est bien davantage.
• Déconnectez l'ordinateur du réseau si une pièce jointe a été ouverte, et faites-le vérifier avant de le remettre en service.
• Prévenez le reste de l'équipe, avec la capture d'écran, pour que personne d'autre ne tombe dans le même piège.

Et si de l'argent a bougé, la séquence est dans l'article sur les premières 24 heures.

Cet article est une information générale, pas un conseil juridique ou de sécurité pour un cas précis. Les domaines officiels cités sont espagnols et français ; le principe vaut pour les organismes fiscaux et sociaux de tout pays.