Hameçonnage fiscal: repérer les faux mails au nom de la Confédération
Des fraudeurs imitent les autorités fiscales, promettent des remboursements ou réclament des paiements. L'essentiel: l'expéditeur, l'adresse internet et la pression d'agir immédiatement.
L'hameçonnage fiscal fait mouche avant tout lorsque le prétexte paraît plausible. Un remboursement d'impôt annoncé, un paiement en suspens ou une mise à jour urgente de données personnelles touche de nombreuses personnes à un moment où elles s'attendent de toute façon à recevoir du courrier des autorités. C'est exactement cette attente qu'exploitent les criminels.
L'Administration fédérale des contributions (AFC) avertit régulièrement contre des messages qui reprennent son nom, son apparence ou des domaines d'expéditeur inventés. Souvent, ils promettent un remboursement et réclament en échange des données de carte de crédit ou de compte bancaire. D'autres variantes créent une pression temporelle avec une prétendue facture ou un rappel. L'élément décisif n'est donc pas l'histoire que raconte le courriel, mais l'endroit vers lequel il veut conduire le destinataire.
Cinq vérifications avant chaque clic
Premièrement: vérifiez l'adresse complète de l'expéditeur, et pas seulement le nom affiché. Les adresses e-mail officielles de l'administration fédérale se terminent par «admin.ch». Mais même une adresse d'expéditeur qui correspond exactement peut être falsifiée: l'AFC documente aussi des messages portant la fausse adresse «noreply@estv.admin.ch». L'adresse visible ne prouve donc rien à elle seule. Les administrations fiscales cantonales utilisent en outre leurs propres domaines.
Deuxièmement: passez le curseur sur le lien sans cliquer. Sur un smartphone, un appui prolongé affiche le plus souvent l'adresse de destination. Des orthographes divergentes, des mots supplémentaires et des terminaisons de domaine étrangères sont des signaux d'alerte. Plus sûr: saisir soi-même dans le navigateur l'adresse officielle que l'on connaît.
Troisièmement: méfiez-vous des remboursements inattendus. Une administration n'a pas besoin de réclamer spontanément un numéro de carte, un code PIN, un mot de passe d'e-banking ou un code à usage unique via un formulaire de courriel pour verser de l'argent.
Quatrièmement: ne vous laissez pas presser. Les menaces de frais, de blocage de compte ou de délais très courts visent à empêcher toute vérification. Appelez le service compétent au numéro que vous trouvez sur le site officiel ou dans un courrier antérieur – jamais via les coordonnées du message suspect.
Cinquièmement: n'ouvrez pas les pièces jointes inattendues. Un PDF ou un document Office peut lui aussi renvoyer vers une page d'hameçonnage ou contenir un logiciel malveillant.
Pourquoi une langue impeccable n'est plus un gage d'authenticité
Autrefois, des formulations maladroites trahissaient de nombreux courriels de masse. Ce critère est aujourd'hui faible. Une langue correcte, des termes suisses adéquats et une présentation convaincante ne prouvent pas l'authenticité d'un message.
Un logo connu ne prouve rien non plus. Les images et des sites entiers peuvent être copiés. Ce qui est techniquement plus fiable, c'est le domaine réellement appelé, l'appel de retour effectué de manière indépendante et la question de savoir si l'action demandée correspond au processus habituel d'une administration.
Après un clic, c'est la réaction qui compte
Si vous avez seulement cliqué sur un lien, sans saisir de données ni rien télécharger, fermez la page et vérifiez si l'appareil a enregistré des téléchargements inhabituels. Si des mots de passe ont été saisis, ils doivent être changés immédiatement via le vrai site – et aussi pour tous les autres services où le même mot de passe est utilisé.
En cas de données de carte de crédit ou bancaires, il faut contacter sans délai la banque ou l'émetteur de la carte. Des paiements peuvent parfois être stoppés, des cartes bloquées et des accès surveillés. Si de l'argent a été transféré, le OFCS recommande en plus de déposer une plainte auprès de la police. Les messages suspects peuvent être signalés via le formulaire de signalement du Office fédéral de la cybersécurité; ces indications aident à identifier plus rapidement les campagnes et les pages falsifiées.
Toute fausse facture n'est pas de l'hameçonnage fiscal
Il existe une deuxième arnaque: des criminels modifient de vraies factures ou simulent un nouvel IBAN au sein d'un échange de courriels en cours. Le OFCS parle de fraude par manipulation de factures. Ici, l'expéditeur peut réellement sembler connu, parce qu'un compte de messagerie a été compromis. Les changements de coordonnées de paiement inhabituels devraient donc être confirmés par téléphone, via un contact déjà connu.
La règle la plus efficace est inconfortable, mais simple: un courriel urgent d'une administration ne se règle pas via le lien qu'il contient. Celui qui change de canal de communication et contacte le service de manière indépendante retire aux fraudeurs leur avantage décisif – la pression du temps.
Le code QR et le PDF ne sont pas un raccourci vers la sécurité
Un code QR générique peut mener à un site falsifié. Le Swiss QR Code d'une facture QR suisse contient en revanche des données de paiement; celles-ci peuvent elles aussi conduire à un destinataire frauduleux. Vérifiez le nom du bénéficiaire et l'IBAN dans l'application bancaire et comparez-les avec des indications antérieures confirmées. Pour les factures électroniques, une connexion directe à l'e-banking est plus sûre qu'un accès via un courriel ou une pièce jointe. Une facture QR suisse d'apparence plausible ne prouve pas que le bénéficiaire du paiement est réel.
