Faux SMS Ameli, impôts, CPF : l'usurpation d'organismes publics

Un remboursement qui vous attend, une carte Vitale à renouveler, des droits à la formation qui expirent : les escrocs empruntent l'identité des organismes publics parce qu'elle inspire confiance. Voici comment les démasquer.

Pourquoi les organismes publics sont autant imités

Parce que tout le monde est concerné, et parce qu'un message venant de l'Assurance maladie ou des impôts ne surprend personne. La promesse d'un remboursement fonctionne particulièrement bien : elle ne déclenche aucune méfiance, contrairement à une demande de paiement, alors qu'elle mène exactement au même formulaire piégé.

Les campagnes suivent d'ailleurs le calendrier réel : avis d'imposition en été, échéances de fin d'année, réformes très médiatisées. Le message tombe au moment où il paraît le plus plausible.

La règle qui ne trompe jamais

Un organisme public ne vous demande jamais vos coordonnées bancaires complètes, votre mot de passe ou une copie de vos papiers par SMS. Pour un remboursement, l'Assurance maladie utilise le RIB déjà enregistré dans votre compte : elle n'a aucune raison de vous le redemander.

Vérifiez ensuite l'adresse du lien. Les sites officiels sont ameli.fr, impots.gouv.fr et moncompteformation.gouv.fr. Toute variante — un tiret ajouté, une extension différente, un sous-domaine qui place le nom officiel avant un autre domaine — est frauduleuse, quelle que soit l'apparence de la page.

Le cas particulier du compte formation

Le démarchage téléphonique portant sur le compte personnel de formation est interdit depuis 2022. Depuis le 11 août 2026, le démarchage téléphonique est par ailleurs interdit par principe sans votre accord préalable, et Bloctel a disparu.

La conséquence est simple : un appel ou un SMS qui vous propose « d'utiliser vos droits avant qu'ils n'expirent » est nécessairement illégal. Vos droits n'expirent pas de cette façon, et la seule voie légitime reste moncompteformation.gouv.fr, où vous choisissez vous-même votre formation.

Lire un nom de domaine en dix secondes

C'est la compétence qui rend toutes les autres vérifications inutiles, et elle s'apprend en une fois. Repérez le premier « / » qui suit « https:// » ; le vrai domaine est ce qui se trouve juste avant lui, en remontant jusqu'au point précédent. Tout ce qui est à gauche de ce domaine n'est qu'un sous-domaine, librement choisi par le propriétaire du site.

« ameli.fr.remboursement-secu.net/dossier » n'appartient donc pas à l'Assurance maladie : le domaine est remboursement-secu.net, et « ameli.fr » n'en est qu'un décor. À l'inverse, « assure.ameli.fr » est bien un site de l'Assurance maladie, puisque le domaine reste ameli.fr.

Deux pièges complètent le tableau. Les réducteurs de liens masquent la destination : ils n'ont aucune raison d'être dans un message officiel. Et les imitations à un caractère près — « amel1.fr », « impots-gouv.fr » avec un tiret au lieu du point — passent inaperçues à la lecture rapide, ce qui est exactement leur but.

Comment vérifier sans risque

Ne passez jamais par le lien du message. Ouvrez l'application officielle ou tapez vous-même l'adresse du site, puis connectez-vous à votre compte : un remboursement réel, une démarche réelle ou un message réel y figureront. FranceConnect permet d'ailleurs d'accéder à la plupart de ces services avec une seule identification.

Si le message évoque un montant précis ou un dossier, notez-le et comparez avec ce que vous voyez dans votre espace personnel. Un écart, ou l'absence totale de trace, tranche la question.

Signaler, et vérifier au moindre doute

Transférez le message au 33700 et supprimez-le. Si l'usurpation concerne un organisme précis, la plupart disposent d'une page dédiée aux fraudes sur leur site officiel, et cybermalveillance.gouv.fr recense les démarches à suivre.

Un vrai organisme public ne vous en voudra jamais d'avoir vérifié : faites analyser le message avant de cliquer. Allociao confronte le domaine du lien aux vrais domaines officiels — ameli.fr, impots.gouv.fr, moncompteformation.gouv.fr — car c'est précisément là que les imitations se trahissent. Aucune donnée ne part : l'analyse a lieu sur l'appareil, sans compte.

FAQ

L'Assurance maladie envoie-t-elle des SMS avec des liens ?

L'Assurance maladie peut envoyer des messages d'information, mais elle ne demande jamais par SMS votre RIB, votre mot de passe ou une copie de vos papiers : pour un remboursement, elle utilise les coordonnées déjà enregistrées dans votre compte. En cas de doute, connectez-vous sur ameli.fr sans passer par le lien reçu.

Comment reconnaître les vrais sites officiels ?

Ils se terminent par le nom de domaine officiel : ameli.fr, impots.gouv.fr, moncompteformation.gouv.fr. Regardez ce qui précède immédiatement le premier « / » : « ameli.fr.remboursement-2026.net » n'est pas Ameli, c'est « remboursement-2026.net ».

On me propose d'utiliser mon CPF avant expiration, est-ce sérieux ?

Non. Le démarchage sur le compte personnel de formation est interdit depuis 2022, et le démarchage téléphonique est interdit par principe sans votre accord depuis le 11 août 2026. Un tel message est illégal par nature. Passez uniquement par moncompteformation.gouv.fr.

Un SMS m'annonce un remboursement d'impôts, dois-je m'en méfier ?

Oui, c'est un grand classique : la promesse d'argent baisse la garde. L'administration fiscale ne demande jamais vos coordonnées bancaires par SMS ou par lien. Connectez-vous à impots.gouv.fr en tapant l'adresse vous-même pour vérifier.

Comment lever un doute sur ce type de message ?

Soumettez-le à Allociao : texte du SMS, lien, e-mail, adresse d'expéditeur ou capture d'écran. L'application déplie les liens raccourcis et vous explique les signaux repérés, sur votre téléphone et sans transmettre le message à un serveur. C'est gratuit et sans compte.

Sources

Prêt à essayer ?

Télécharger Allociao