« J’ai reçu le SMS « REMB IMPOT REVENUS » le jour même du virement des impôts » : personne ne m’avait dit que c’était à ma banque de prouver que j’avais validé

Le SMS tombe à 14h12, le jour même où la Direction générale des finances publiques vire son remboursement. Libellé impeccable : « REMB IMPOT REVENUS ». Signature : DGFIP FINANCES PUBLIQUES. Mais ce message-là ne vient pas du fisc. Il vient d'un escroc qui a minutieusement calé son attaque sur le calendrier fiscal officiel, et qui compte bien profiter de la confusion pour vider un compte en quelques clics.

Cette année, l'opération concerne du monde. Les virements sont partis le 24 ou le 31 juillet pour 12,6 millions de foyers, avec un montant moyen de 1 057 euros. Un pactole suffisamment large pour que les réseaux de phishing y voient une fenêtre de tir annuelle, quasi garantie. Et les chiffres confirment l'ampleur du phénomène : selon l'Observatoire de la sécurité des moyens de paiement de la Banque de France, les tentatives de phishing visant les contribuables ont progressé de 38 % entre 2024 et 2025, tandis que la plateforme gouvernementale a déjà signalé une vague de SMS frauduleux ciblant plus de 12 millions de foyers.

Un piège calé au millimètre sur le calendrier fiscal

Le mode opératoire ne varie quasiment pas d'une victime à l'autre. Le scénario est bien rodé : un message, souvent au nom de la DGFIP, annonce un remboursement précis de 219, 262, 187 ou 340 euros, invite à cliquer sur un lien qui imite l'interface d'impots.gouv.fr puis vous demande vos identifiants fiscaux ou vos coordonnées bancaires complètes. Le détail qui rend l'arnaque redoutable, c'est le choix des montants : ces sommes ne sont pas choisies au hasard, elles se situent près du remboursement médian d'environ 230 euros après régularisation, tel que publié par la DGFIP en 2025, ce qui renforce leur apparente crédibilité.

Une évidence à rappeler, tant elle semble parfois oubliée sous la pression du moment. Aucune démarche n'est nécessaire de la part du contribuable pour percevoir cette somme si ses coordonnées bancaires sont déjà enregistrées, le virement apparaissant automatiquement avec le libellé officiel. Et surtout : l'administration fiscale ne demande jamais ce type d'informations par SMS, e-mail ou téléphone, et ne réclame par ailleurs ni frais ni validation par carte bancaire pour verser un remboursement. Franchement, c'est le genre de rappel qui devrait être gravé sur chaque écran de smartphone fin juillet.

« Négligence grave » : l'argument que les banques dégainent trop vite

Voici où l'histoire se corse. Une fois le piège refermé, la victime appelle sa banque, espérant un remboursement rapide. La réponse tombe souvent, sèche : négligence grave, article L.133-19 du Code monétaire et financier, aucun remboursement possible. Ce concept juridique désigne, selon le texte, un comportement du titulaire du compte consistant à ne pas avoir pris les mesures raisonnables pour préserver la sécurité de ses dispositifs de sécurité personnalisés, ou à ne pas avoir signalé sans délai à sa banque la perte, le vol ou l'utilisation frauduleuse de son instrument de paiement.

Le problème, c'est que trop d'établissements bancaires en font un argument massue, presque automatique, dès qu'un client a validé une notification poussée sur son application. Or la jurisprudence récente dit exactement le contraire de ce que sous-entendent ces refus expéditifs. La négligence grave ne peut pas résulter de la seule validation d'opérations sous l'effet d'une manipulation structurée, a rappelé la cour d'appel de Versailles. Et ce n'est pas un détail isolé : le tribunal judiciaire de Lyon, dans son jugement du 13 janvier 2026, a expressément écarté cet argument invoqué par une grande banque en ligne.

Ce que la Cour de cassation impose vraiment à votre banque

L'arrêt de la cour d'appel de Versailles du 29 janvier 2026 mérite qu'on s'y attarde, car il change concrètement le rapport de force. Il impose aux banques la démonstration de trois éléments cumulatifs : authentification, enregistrement, et absence de défaillance ou d'immixtion frauduleuse. ce n'est plus au client de prouver qu'il n'a rien fait de fautif. C'est à l'établissement bancaire de démontrer, preuves techniques à l'appui, que tout s'est déroulé dans les règles.

La cour est allée plus loin en donnant une définition précise, presque protectrice, de ce qui constitue réellement une faute. La négligence grave suppose un comportement manifestement anormal, détachable du contexte frauduleux, traduisant une indifférence consciente aux risques évidents. Un SMS usurpant à la perfection le numéro officiel d'une banque, reçu le jour précis d'un virement fiscal attendu ? Difficile d'y voir une « indifférence consciente ». D'ailleurs, un tribunal parisien a déjà tranché en ce sens dans une affaire comparable : l'usurpation du numéro officiel de la banque a été reconnue comme légitimant la confiance de la victime, et excluant la négligence grave.

Sur le terrain de la preuve technique, les décisions récentes sont tout aussi éclairantes. Un tribunal a par exemple retoqué une banque digitale qui se contentait d'affirmations sans étayer son dossier : la banque « échoue à démontrer que les opérations ont été authentifiées, se contentant d'alléguer sans le justifier que les opérations passées ont été réalisées avec le code confidentiel ». Et l'article de loi lui-même verrouille ce principe : faute pour la banque d'avoir exigé une authentification forte, le payeur ne supporte aucune conséquence financière de l'opération non autorisée, sauf agissements frauduleux de sa propre part.

Reste un détail que peu de victimes connaissent au moment de recevoir un refus poli mais ferme de leur conseiller : ce refus n'est jamais définitif tant que le dossier bancaire n'a pas produit noir sur blanc le journal d'authentification, les logs de connexion et la preuve d'une authentification forte réellement exigée. Sans ces trois pièces, la jurisprudence de 2026 penche nettement du côté du client, quitte à ce que la banque doive rouvrir un dossier qu'elle pensait avoir classé.

Sources : bourseinside.fr | lebot-avocat.com