À l’approche de la rentrée 2026, les faux SMS CAF, Ameli et impôts retrouvent un terrain particulièrement favorable. Allocation de rentrée scolaire fraîchement versée, démarches administratives, remboursement ou solde d’impôt, carte Vitale, changement de taux de prélèvement : les escrocs reprennent des événements réels et les transforment en messages suffisamment crédibles pour provoquer un clic.
Les alertes officielles confirment que le phénomène n’a rien d’anecdotique. Cybermalveillance.gouv.fr indique que l’hameçonnage représentait en 2025 un tiers des demandes d’assistance, tous publics confondus. La rentrée concentre en outre plusieurs échéances qui facilitent l’usurpation des administrations, сomme le rédaction SuperJouer Paris. En revanche, aucune donnée publique consolidée ne permet, au 24 août 2026, de mesurer une hausse spécifique des trois catégories de SMS depuis la fin des vacances : parler d’« explosion » décrit donc la multiplication visible des campagnes et des alertes, et non une statistique nationale déjà publiée.
Pourquoi la rentrée 2026 offre un scénario idéal aux faux SMS de la CAF
Le calendrier joue en faveur des fraudeurs. En métropole, l’allocation de rentrée scolaire 2026 a été versée le 18 août à près de trois millions de familles, pour environ cinq millions d’enfants. Les montants atteignent 426,87 euros pour les 6-10 ans, 450,41 euros pour les 11-14 ans et 466,02 euros pour les 15-18 ans. La CAF détaille officiellement le dispositif et les démarches de rentrée.
C’est précisément le type de contexte que peut exploiter un SMS frauduleux : « votre versement est bloqué », « confirmez vos coordonnées bancaires », « une aide complémentaire vous attend » ou encore « votre dossier doit être régularisé aujourd’hui ». Le message ne repose pas nécessairement sur une invention totale. Il utilise souvent une vraie prestation et une vraie période de versement pour conduire vers une fausse démarche.
« La Caf ne vous demandera jamais votre mot de passe par téléphone, SMS ou courrier électronique. »
Cette consigne est donnée directement par la CAF dans son alerte publiée le 1er juin 2026 sur les tentatives de phishing. L’organisme confirme que son identité peut être utilisée dans de faux SMS, de faux mails, de faux sites et même des appels frauduleux. La page officielle de prévention de la CAF recommande de se connecter directement à « Mon Compte », sans utiliser le lien reçu.
Le piège devient d’autant plus efficace qu’en août et septembre les allocataires attendent réellement des informations. La CAF prévoit par exemple un paiement mensuel le vendredi 4 septembre 2026. Son calendrier officiel rappelle parallèlement que de fausses informations concernant les dates de versement circulent sur Internet et les réseaux sociaux.
Un SMS reçu à quelques jours d’un paiement réel peut donc sembler parfaitement plausible.
Faux message CAF : les signaux qui doivent arrêter le clic
Un message doit devenir suspect lorsqu’il :
- promet une prime ou un remboursement non visible dans l’espace « Mon Compte » ;
- demande de confirmer immédiatement un RIB ou des données bancaires ;
- menace de suspendre une allocation dans quelques heures ;
- contient une adresse Internet qui n’est pas sur le domaine officiel
caf.fr; - réclame un mot de passe ;
- impose une démarche urgente depuis le lien du SMS.
La CAF précise que les informations fiables sur ses prestations doivent être vérifiées sur caf.fr ou dans l’application Caf – Mon Compte.
Cette mécanique ressemble à celle rencontrée dans les escroqueries utilisant d’autres documents administratifs numériques. La prudence est particulièrement utile pour les personnes qui centralisent désormais leurs démarches sur smartphone, sujet également abordé dans notre dossier sur l’application carte Vitale et les situations où elle peut remplacer la carte physique.
Ameli et Carte Vitale : le faux « renouvellement » reste un piège redoutable
L’Assurance Maladie constitue un autre habillage extrêmement rentable pour les campagnes de phishing. Le scénario est connu : le SMS affirme que la Carte Vitale expire, qu’une nouvelle carte est disponible ou que quelques euros de frais d’envoi doivent être réglés.
Le détail essentiel est simple : une Carte Vitale n’a pas de date d’expiration. Une réponse certifiée publiée par Ameli rappelle qu’elle n’est renouvelée qu’en cas de perte, vol, casse, dysfonctionnement ou changement d’état civil. Un SMS annonçant son expiration doit donc immédiatement susciter la méfiance.
L’Assurance Maladie a d’ailleurs modifié au printemps 2026 la présentation de ses courriels officiels afin de permettre aux assurés de mieux distinguer ses communications des messages frauduleux. Elle indiquait le 10 avril que cette évolution répondait à la multiplication des faux e-mails.
« L’Assurance Maladie ne demande jamais la transmission, par email ou SMS, d’éléments personnels. »
L’avertissement officiel englobe notamment les coordonnées bancaires, informations médicales, numéros de sécurité sociale et mots de passe. L’Assurance Maladie décrit ces tentatives d’hameçonnage sur son site institutionnel.
La fausse Carte Vitale est loin d’être un scénario marginal. Dans son bilan consacré à la cybermalveillance, le dispositif national recensait 26 394 consultations liées au thème Ameli/Carte Vitale en 2024, soit une progression de 140 % par rapport à l’année précédente.
Ce chiffre ne mesure pas le nombre total de SMS envoyés ni le nombre de victimes. Il montre néanmoins à quel point le thème est installé dans le paysage du phishing français.
À quoi ressemble le parcours après le faux SMS Ameli ?
Le lien peut ouvrir une copie très convaincante d’une page administrative. Logo, typographie, formulaire et couleurs sont reproduits. La victime saisit alors son nom, son adresse ou son numéro de téléphone, puis arrive à l’étape réellement recherchée : les coordonnées bancaires.
Un paiement apparemment insignifiant — par exemple de prétendus frais d’envoi — sert alors à récupérer les données de carte.
Une page ressemblant parfaitement à Ameli n’est donc pas une preuve qu’elle appartient à Ameli.
Le réflexe pertinent consiste à fermer le SMS puis à ouvrir soi-même l’application ou le site officiel, sans utiliser le lien reçu.
Impôts : faux remboursement et faux retard de paiement fonctionnent dans les deux sens
La période qui suit la campagne de déclaration fournit elle aussi des prétextes particulièrement crédibles.
L’administration fiscale a mis les avis d’impôt sur le revenu à disposition pendant l’été 2026. Pour les contribuables bénéficiant d’un remboursement, les avis devaient notamment apparaître dans l’espace Finances publiques entre le 24 et le 31 juillet. Ces échéances réelles peuvent ensuite servir de décor à de faux SMS annonçant un remboursement restant « à confirmer ».
Cybermalveillance.gouv.fr a justement publié le 15 juillet 2026 une alerte consacrée aux faux remboursements d’impôt. Le scénario consiste à annoncer par SMS, mail ou téléphone un remboursement ou un trop-perçu et à demander au contribuable de cliquer sur un lien.
« Le numéro de carte bancaire ne vous est jamais demandé pour le paiement d’un impôt ou le remboursement d’un crédit d’impôt. »
La règle figure noir sur blanc sur la page officielle de la DGFiP consacrée aux courriels et SMS frauduleux.
Les fraudeurs jouent également sur le scénario inverse. Au lieu d’un remboursement, le destinataire découvre un prétendu retard fiscal, une fraude détectée, une pénalité ou une menace de recouvrement.
La DGFiP avertit actuellement contre plusieurs formes d’usurpation : faux rapports d’audit fiscal, fausses notifications de remboursement et messages menaçant les contribuables de procédures pour de prétendus impayés. L’administration détaille les escroqueries en circulation sur impots.gouv.fr.
C’est particulièrement pertinent à l’approche de septembre. Certains contribuables verront réellement leur situation fiscale évoluer. Le taux de prélèvement à la source peut changer sur la fiche de paie à partir de septembre 2026, tandis que d’autres peuvent avoir un solde d’impôt à régler.
Pour comprendre une opération bancaire réelle avant de croire un SMS alarmant, il est également possible de vérifier pourquoi un prélèvement d’impôt peut apparaître le 25 septembre 2026.
Le piège de 2026 : un SMS peut être bien écrit et presque parfait
L’époque où une faute grossière suffisait à identifier un phishing est largement dépassée. Les fraudeurs disposent de modèles convaincants, peuvent reproduire une identité graphique et utilisent des outils capables de produire un français impeccable.
Cybermalveillance.gouv.fr considère l’hameçonnage comme la principale méthode utilisée par les cybercriminels pour récupérer des informations personnelles ou bancaires. Les données volées peuvent ensuite servir directement à la fraude, être utilisées pour pirater d’autres comptes ou être revendues.
« Parfois, un seul caractère peut changer dans l’adresse du site pour vous tromper. »
C’est l’un des avertissements de Cybermalveillance.gouv.fr. Le faux domaine peut remplacer une lettre, ajouter un tiret ou intégrer « caf », « ameli » ou « impots » dans une adresse qui n’a pourtant rien d’officiel.
Il faut donc regarder le domaine réel, pas simplement les mots visibles dans le lien.
| SMS reçu | Ce qui doit alerter | Vérification sûre |
|---|---|---|
| « CAF : votre ARS est suspendue » | urgence + lien + demande de données | ouvrir directement caf.fr ou Caf – Mon Compte |
| « Ameli : votre carte Vitale expire » | une Carte Vitale n’expire pas | ouvrir directement ameli.fr ou le compte Ameli |
| « Impôts : remboursement de 248,72 € » | demande de carte ou formulaire externe | consulter son espace sur impots.gouv.fr |
| « Impôts : dernière relance avant pénalité » | pression immédiate ou menace | vérifier l’avis dans l’espace fiscal |
| « Ameli : payez 1,99 € de livraison » | frais pour recevoir une prétendue nouvelle carte | ne pas payer depuis le SMS |
Que faire si le lien a déjà été ouvert ?
Cliquer n’entraîne pas automatiquement un vol d’argent. La réaction dépend de ce qui s’est passé après le clic.
Si aucune donnée n’a été saisie, il faut fermer la page et éviter tout téléchargement proposé. Cybermalveillance.gouv.fr recommande notamment de ne jamais installer une application provenant d’un lien reçu par SMS.
Si un identifiant et un mot de passe ont été communiqués, le mot de passe concerné doit être changé rapidement. S’il était réutilisé sur d’autres services, ceux-ci doivent également être sécurisés.
Si les coordonnées de carte bancaire ont été transmises ou si une opération frauduleuse apparaît, la banque doit être contactée immédiatement afin de faire opposition et de tenter de bloquer les opérations.
Les preuves — SMS, numéro expéditeur, adresse du faux site, captures d’écran, opérations bancaires — doivent être conservées.
Pour les SMS frauduleux, Cybermalveillance.gouv.fr recommande le signalement au 33700. Le service permet de transmettre les informations aux opérateurs afin de contribuer au blocage des expéditeurs. La procédure complète est expliquée par Cybermalveillance.gouv.fr.
Les contribuables qui veulent vérifier leur véritable situation fiscale peuvent également consulter directement leur espace officiel plutôt que le lien d’un message. En cas d’erreur réelle, certaines corrections de déclaration d’impôts 2026 restent possibles en ligne.
Les trois adresses à connaître avant la rentrée
Le moyen le plus simple de désamorcer une grande partie de ces arnaques consiste à ne plus utiliser les liens administratifs reçus par SMS.
Pour une démarche CAF : caf.fr.
Pour l’Assurance Maladie : ameli.fr.
Pour les finances publiques : impots.gouv.fr.
En pratique, un message peut être parfaitement authentique et signaler qu’un document ou une information est disponible. Mais la démarche sensible peut être commencée séparément : fermeture du SMS, ouverture du navigateur ou de l’application officielle, connexion à l’espace personnel et vérification de la notification.
Cette différence de quelques secondes permet de neutraliser l’élément central du phishing : le lien contrôlé par l’escroc.
FAQ — faux SMS CAF, Ameli et impôts en 2026
La CAF peut-elle envoyer des SMS ?
Oui. Le simple fait de recevoir un SMS mentionnant la CAF ne signifie donc pas automatiquement qu’il est frauduleux. En revanche, il faut se méfier d’un message demandant un mot de passe, des coordonnées bancaires ou une connexion urgente depuis un lien douteux. La démarche peut être vérifiée directement dans « Mon Compte ».
La CAF demande-t-elle un mot de passe par SMS ?
Non. La CAF indique explicitement qu’elle ne demande jamais le mot de passe d’un allocataire par téléphone, SMS ou courrier électronique.
Est-il normal de recevoir un SMS indiquant que ma Carte Vitale va expirer ?
Non. La Carte Vitale n’a pas de date d’expiration. Les messages demandant son « renouvellement » parce qu’elle arriverait à expiration correspondent à un scénario frauduleux déjà confirmé par les experts Ameli.
Ameli peut-il demander mes coordonnées bancaires par SMS ?
L’Assurance Maladie indique ne jamais demander par SMS ou par e-mail la transmission de données personnelles sensibles telles que les coordonnées bancaires, le numéro de sécurité sociale ou le mot de passe.
Les impôts demandent-ils un numéro de carte pour effectuer un remboursement ?
Non. La DGFiP précise que le numéro de carte bancaire n’est jamais demandé pour verser un remboursement ou un crédit d’impôt.
Comment signaler un faux SMS administratif ?
Un SMS frauduleux peut être signalé au 33700. Il est conseillé de conserver le message et les autres preuves avant suppression. Les faux sites et autres formes d’hameçonnage peuvent également être signalés par les dispositifs recensés sur Cybermalveillance.gouv.fr.
Quel est le meilleur réflexe face à un SMS CAF, Ameli ou impôts ?
Ne pas utiliser son lien. Ouvrez vous-même le site ou l’application officielle, connectez-vous à votre espace personnel et vérifiez si la demande existe réellement. Une administration authentique peut être contactée indépendamment du message reçu.
Restez informé 24/7 des actualités locales à Paris, de la technologie et des jeux vidéo avec des informations utiles, fiables et mises à jour en continu sur SuperJouer Paris.