Impôts 2026 : la saison fiscale devient une fenêtre de phishing ciblé

Le risque immédiat : remboursements, correction en ligne et phishing

L’été 2026 a remis les impôts au centre des campagnes de fraude numérique. Cybermalveillance.gouv.fr a publié le 15 juillet 2026 une alerte sur les tentatives d’hameçonnage liées aux remboursements d’impôt, au moment où les versements étaient attendus les 24 et 31 juillet. Ces campagnes annoncent un prétendu trop-perçu ou remboursement, puis poussent l’usager vers un faux site destiné à collecter des données personnelles ou bancaires.

Le risque continue en août, car impots.gouv.fr indique que le service de correction des déclarations de revenus en ligne est ouvert depuis le 29 juillet 2026 et jusqu’au 30 novembre 2026. Cette période crée un prétexte crédible pour de faux messages : erreur à corriger, RIB à confirmer, document fiscal à télécharger ou compte à sécuriser. À côté de cette fraude d’interface, le précédent FICOBA rappelle qu’un service fiscal numérique concentre aussi des accès internes sensibles : consultation de données bancaires, échange interadministrations et détection des usages anormaux.

C’est précisément ce qui rend le sujet pertinent pour l’Afrique. Les administrations fiscales numériques concentrent des moments saisonniers très prévisibles : déclaration, remboursement, correction, contrôle, certificat fiscal. Les fraudeurs exploitent ces calendriers parce que les usagers attendent réellement un message de l’administration.

FICOBA : la couche interne du risque fiscal

En février 2026, la Direction générale des Finances publiques française a indiqué avoir identifié des accès illégitimes au fichier national des comptes bancaires, FICOBA. Selon l’administration, un acteur malveillant a usurpé les identifiants d’un fonctionnaire disposant d’accès dans le cadre de l’échange d’information entre ministères. Les données pouvant être consultées dans FICOBA comprennent notamment des coordonnées bancaires, l’identité du titulaire et l’adresse. La DGFiP a aussi précisé que l’identifiant fiscal de l’usager n’avait pas été consulté lors de ces accès.

FICOBA ajoute une seconde couche au risque fiscal : la menace ne vient pas seulement de faux sites ou de faux messages envoyés aux contribuables. Elle concerne aussi les accès internes, les échanges interadministrations, la journalisation et la capacité à détecter un usage anormal d’un compte autorisé.

Pour l’Afrique, le parallèle est direct. Les plateformes fiscales numériques se développent rapidement : eFiling en Afrique du Sud, iTax au Kenya, portails de déclaration et de paiement dans plusieurs pays francophones, interfaces de remboursement, identifiants fiscaux liés aux registres d’entreprise et, parfois, intégrations avec banques ou mobile money. Plus ces services deviennent centraux, plus les données fiscales deviennent utiles pour la fraude.

Deux menaces différentes : accès illégitime et phishing

Le cas FICOBA montre un risque d'accès légitime détourné. L'attaquant n'a pas nécessairement besoin de casser le chiffrement ou d'exploiter une faille spectaculaire. Il peut voler ou abuser les identifiants d'une personne autorisée. Dans ce modèle, les contrôles efficaces sont l'authentification forte, la limitation des privilèges, la journalisation fine, l'analyse comportementale, la revue des accès et la séparation des usages entre administrations.

Le phishing fiscal est l'autre versant. La DGFiP publie régulièrement des alertes sur les courriels, SMS et faux sites imitant impots.gouv.fr. Les scénarios sont classiques : faux remboursement, menace d'arriéré, fausse fraude fiscale, faux audit ou demande de mise à jour de coordonnées bancaires. Ces campagnes exploitent un levier très puissant : la peur ou l'espoir liés à l'impôt.

En Afrique du Sud, le SARS maintient une page dédiée aux arnaques et phishing. En juillet 2026, des exemples récents incluaient des messages de faux remboursement, de règlement fiscal et de validation de déclaration. Le SARS rappelle qu'il ne demande pas les mots de passe, OTP, PIN bancaires ou identifiants eFiling par e-mail, SMS, réseaux sociaux ou téléphone. Cette doctrine ressemble fortement aux consignes françaises : le canal officiel et l'espace authentifié doivent primer sur le lien reçu.

Le parallèle africain : fiscalité, identité et paiement

La fiscalité numérique africaine ne se limite pas à la collecte de l'impôt. Elle soutient les remboursements, certificats de conformité, licences d'entreprise, douanes, marchés publics et parfois l'accès au crédit. Une compromission peut donc provoquer plusieurs types de dommage : usurpation d'identité, détournement de remboursement, modification de coordonnées bancaires, fraude à la TVA, faux avis de dette ou indisponibilité en période de déclaration.

Le Kenya fournit un autre signal, même s'il ne s'agit pas d'un piratage établi. En juin-juillet 2026, la plateforme iTax de la Kenya Revenue Authority a connu des délais et difficultés d'accès à l'approche de la date limite de déclaration. Cet épisode rappelle qu'une administration fiscale numérique doit être sécurisée, mais aussi disponible. Une panne pendant une fenêtre fiscale critique peut produire des coûts réels pour les citoyens et entreprises, et devenir une opportunité pour des faux supports ou faux liens.

Le point commun entre la France, l'Afrique du Sud et le Kenya est la concentration. Les contribuables font confiance à l'administration fiscale pour stocker données personnelles, informations financières et historique réglementaire. Cette confiance est un actif public. Elle peut être abîmée par une fuite prouvée, mais aussi par une rumeur de fuite, une vague de phishing ou une indisponibilité mal expliquée.

Ce que les administrations fiscales africaines devraient renforcer

• Généraliser le MFA résistant au phishing pour agents, administrateurs et accès interadministrations.
• Appliquer le moindre privilège : un agent ne doit consulter que les catégories de données nécessaires à sa mission.
• Journaliser les consultations sensibles et détecter les volumes atypiques ou recherches hors périmètre.
• Séparer les fonctions de consultation, modification de coordonnées bancaires et validation de remboursements.
• Prévoir une page publique de statut fiscal numérique pendant les pics de déclaration.
• Publier des exemples concrets de phishing local, avec captures, domaines frauduleux et consignes courtes.
• Créer des canaux rapides entre fisc, CERT, banques, opérateurs mobile money et forces de l'ordre.

Conclusion

Le cas FICOBA éclaire une architecture de risque commune : les données fiscales sont devenues des données d'identité et de paiement. La réponse africaine doit donc dépasser la sensibilisation générique. Il faut contrôler les accès internes, protéger les comptes contribuables, surveiller les changements bancaires, maintenir la disponibilité en période critique et communiquer rapidement lorsque la confiance publique est en jeu.

— ◆ —