Impôts 2026 : phishing de remboursement en août et leçon FICOBA pour l’Afrique

L’actualité immédiate : remboursements, correction en ligne et phishing

Le cadrage doit partir de l’été 2026. Cybermalveillance.gouv.fr a publié le 15 juillet 2026 une alerte sur les tentatives d’hameçonnage liées aux remboursements d’impôt, au moment où les versements étaient attendus les 24 et 31 juillet. Ces campagnes annoncent un prétendu trop-perçu ou remboursement, puis poussent l’usager vers un faux site destiné à collecter des données personnelles ou bancaires.

Le risque continue en août, car impots.gouv.fr indique que le service de correction des déclarations de revenus en ligne est ouvert depuis le 29 juillet 2026 et jusqu’au 30 novembre 2026. Cette période crée un prétexte crédible pour de faux messages : erreur à corriger, RIB à confirmer, document fiscal à télécharger ou compte à sécuriser. À ce stade public, je n’ai pas identifié de nouvelle compromission DGFiP confirmée en août comparable à FICOBA ; l’actualité récente est surtout une fenêtre de fraude et d’usurpation.

C’est précisément ce qui rend le sujet pertinent pour l’Afrique. Les administrations fiscales numériques concentrent des moments saisonniers très prévisibles : déclaration, remboursement, correction, contrôle, certificat fiscal. Les fraudeurs exploitent ces calendriers parce que les usagers attendent réellement un message de l’administration.

FICOBA : le précédent structurel à garder en tête

En février 2026, la Direction générale des Finances publiques française a indiqué avoir identifié des accès illégitimes au fichier national des comptes bancaires, FICOBA. Selon l’administration, un acteur malveillant a usurpé les identifiants d’un fonctionnaire disposant d’accès dans le cadre de l’échange d’information entre ministères. Les données pouvant être consultées dans FICOBA comprennent notamment des coordonnées bancaires, l’identité du titulaire et l’adresse. La DGFiP a aussi précisé que l’identifiant fiscal de l’usager n’avait pas été consulté lors de ces accès.

FICOBA n’est donc pas l’événement le plus récent, mais il reste utile comme précédent : il montre que le risque fiscal n’est pas seulement externe. Il concerne aussi les accès internes, les échanges interadministrations, la journalisation et la capacité à détecter un usage anormal d’un compte autorisé.

Pour l’Afrique, le parallèle est direct. Les plateformes fiscales numériques se développent rapidement : eFiling en Afrique du Sud, iTax au Kenya, portails de déclaration et de paiement dans plusieurs pays francophones, interfaces de remboursement, identifiants fiscaux liés aux registres d’entreprise et, parfois, intégrations avec banques ou mobile money. Plus ces services deviennent centraux, plus les données fiscales deviennent utiles pour la fraude.

Deux menaces différentes : accès illégitime et phishing

Le cas FICOBA montre un risque d'accès légitime détourné. L'attaquant n'a pas nécessairement besoin de casser le chiffrement ou d'exploiter une faille spectaculaire. Il peut voler ou abuser les identifiants d'une personne autorisée. Dans ce modèle, les contrôles efficaces sont l'authentification forte, la limitation des privilèges, la journalisation fine, l'analyse comportementale, la revue des accès et la séparation des usages entre administrations.

Le phishing fiscal est l'autre versant. La DGFiP publie régulièrement des alertes sur les courriels, SMS et faux sites imitant impots.gouv.fr. Les scénarios sont classiques : faux remboursement, menace d'arriéré, fausse fraude fiscale, faux audit ou demande de mise à jour de coordonnées bancaires. Ces campagnes exploitent un levier très puissant : la peur ou l'espoir liés à l'impôt.

En Afrique du Sud, le SARS maintient une page dédiée aux arnaques et phishing. En juillet 2026, des exemples récents incluaient des messages de faux remboursement, de règlement fiscal et de validation de déclaration. Le SARS rappelle qu'il ne demande pas les mots de passe, OTP, PIN bancaires ou identifiants eFiling par e-mail, SMS, réseaux sociaux ou téléphone. Cette doctrine ressemble fortement aux consignes françaises : le canal officiel et l'espace authentifié doivent primer sur le lien reçu.

Le parallèle africain : fiscalité, identité et paiement

La fiscalité numérique africaine ne se limite pas à la collecte de l'impôt. Elle soutient les remboursements, certificats de conformité, licences d'entreprise, douanes, marchés publics et parfois l'accès au crédit. Une compromission peut donc provoquer plusieurs types de dommage : usurpation d'identité, détournement de remboursement, modification de coordonnées bancaires, fraude à la TVA, faux avis de dette ou indisponibilité en période de déclaration.

Le Kenya fournit un autre signal, même s'il ne s'agit pas d'un piratage établi. En juin-juillet 2026, la plateforme iTax de la Kenya Revenue Authority a connu des délais et difficultés d'accès à l'approche de la date limite de déclaration. Cet épisode rappelle qu'une administration fiscale numérique doit être sécurisée, mais aussi disponible. Une panne pendant une fenêtre fiscale critique peut produire des coûts réels pour les citoyens et entreprises, et devenir une opportunité pour des faux supports ou faux liens.

Le point commun entre la France, l'Afrique du Sud et le Kenya est la concentration. Les contribuables font confiance à l'administration fiscale pour stocker données personnelles, informations financières et historique réglementaire. Cette confiance est un actif public. Elle peut être abîmée par une fuite prouvée, mais aussi par une rumeur de fuite, une vague de phishing ou une indisponibilité mal expliquée.

Ce que les administrations fiscales africaines devraient renforcer

• Généraliser le MFA résistant au phishing pour agents, administrateurs et accès interadministrations.
• Appliquer le moindre privilège : un agent ne doit consulter que les catégories de données nécessaires à sa mission.
• Journaliser les consultations sensibles et détecter les volumes atypiques ou recherches hors périmètre.
• Séparer les fonctions de consultation, modification de coordonnées bancaires et validation de remboursements.
• Prévoir une page publique de statut fiscal numérique pendant les pics de déclaration.
• Publier des exemples concrets de phishing local, avec captures, domaines frauduleux et consignes courtes.
• Créer des canaux rapides entre fisc, CERT, banques, opérateurs mobile money et forces de l'ordre.

Conclusion

Le cas FICOBA ne signifie pas que les administrations fiscales africaines subissent le même incident. Il montre plutôt une architecture de risque commune : les données fiscales sont devenues des données d'identité et de paiement. La réponse africaine doit donc dépasser la sensibilisation générique. Il faut contrôler les accès internes, protéger les comptes contribuables, surveiller les changements bancaires, maintenir la disponibilité en période critique et communiquer rapidement lorsque la confiance publique est en jeu.

— ◆ —