Faux texto de remboursement Revenu Québec ou ARC : le reconnaître avant la saison des impôts 2027

Pourquoi ce sujet compte avant la saison des impôts 2027

Chaque hiver, des millions de Québécois produisent deux déclarations de revenus, une au fédéral et une au provincial, puis attendent leur remboursement. C'est exactement cette attente que les fraudeurs exploitent. Un texto qui annonce « un remboursement vous attend » arrive sur un cellulaire dont le propriétaire attend vraiment de l'argent, et la probabilité d'un clic augmente. L'Agence du revenu du Canada (ARC) et Revenu Québec mettent toutes deux le public en garde contre ce scénario. La page d'alertes de l'ARC a d'ailleurs été modifiée pour la dernière fois le 29 octobre 2026.

Ce guide repose uniquement sur les pages officielles : « Recognize a scam » et « Report a scam or identity theft » de l'ARC sur canada.ca (en anglais), les pages de Revenu Québec sur la façon de reconnaître une communication authentique et de prévenir l'hameçonnage, et la page de signalement du Centre antifraude du Canada (CAFC). Nous n'inventons ni statistiques, ni alertes, ni histoires de victimes. Les exemples sont des scénarios illustratifs, clairement identifiés. Au Québec, il faut garder en tête que deux organismes fiscaux peuvent vous écrire, et que les fraudeurs se font passer pour l'un comme pour l'autre.

Cet article se distingue de nos autres textes. Si vous avez déjà cliqué sur un texto prétendant venir de la SAAQ, de Revenu Québec ou de Desjardins, lisez d'abord notre article sur les faux textos SAAQ, Revenu Québec et Desjardins : j'ai cliqué. Pour les colis, les alertes de livraison et les pièges du temps des Fêtes, consultez le guide de survie du Vendredi fou et du Cyberlundi 2026. Ici, vous avez la carte de la saison fiscale : comment les organismes vous joignent vraiment, ce qu'ils ne font jamais, un tableau comparatif, la marche à suivre complète si vous avez déjà agi, la protection des aînés et le volet PME.

Comment l'ARC communique réellement avec vous

Selon l'ARC, elle peut vous joindre par téléphone, par message automatisé, par lettre ou par courriel. Remarquez ce qui manque : le texto, sauf pour un cas très précis. Voici chaque canal, tel que l'ARC le décrit.

Téléphone et messages automatisés

Lors d'un appel avec un agent, l'ARC peut vous demander des renseignements pour confirmer votre identité, comme votre nom, votre date de naissance ou votre numéro d'assurance sociale (NAS). Elle peut aussi demander des précisions sur votre dossier fiscal, par exemple des reçus, des déclarations non produites, ou des renseignements financiers comme le nom et l'emplacement de votre banque. Si vous avez une dette, elle peut vous demander de payer par ses moyens de paiement officiels et vous informer d'éventuelles mesures juridiques de recouvrement.

L'ARC peut aussi utiliser un système téléphonique automatisé à titre de rappel de courtoisie : production de la déclaration, acomptes provisionnels trimestriels, ou échéances pour une entreprise qui vient d'ouvrir un compte de TPS/TVH. D'après l'ARC, ce système se contente de livrer un message et ne contient ni ne demande de renseignements personnels.

Un appel où l'on vous demande de confirmer votre identité peut donc être légitime. Un appel qui bascule vers la menace ou l'exigence d'un paiement immédiat ne l'est pas. Nous détaillons la différence dans la section des drapeaux rouges.

Lettres

L'ARC envoie des lettres sur les mêmes sujets : vérification d'identité, renseignements supplémentaires, déclarations non produites, dettes, déclaration en cours d'examen, avis de cotisation ou de nouvelle cotisation, début d'une vérification. L'enveloppe postale est le canal le plus lent, mais aussi celui que les fraudeurs imitent le moins facilement à grande échelle.

Courriel

L'ARC précise qu'elle n'envoie des courriels que dans trois situations : vous êtes inscrit aux avis par courriel et un nouveau message vous attend dans votre compte, vous avez demandé qu'on vous envoie un lien, un formulaire ou une publication pendant une rencontre ou un appel avec un agent, ou vous êtes abonné à une liste d'envoi électronique. Ses courriels ne proviennent pas d'une personne en particulier, ne vous demandent pas de répondre et ne contiennent pas de lien vous invitant à saisir des renseignements personnels ou financiers.

Textos et messagerie instantanée

C'est le canal à retenir. L'ARC indique qu'elle n'envoie des textos que pour l'authentification multifacteur de ses services de connexion, et seulement si vous avez choisi l'option du téléphone. Elle n'utilise pas les textos ni les applications de messagerie comme Facebook Messenger ou WhatsApp. Un texto qui parle d'un remboursement, d'une prestation à réclamer ou d'une erreur à corriger n'est donc pas une communication de l'ARC, même si le logo a l'air officiel.

Comment Revenu Québec communique réellement avec vous

Sur sa page « Comment savoir si une communication provient réellement de Revenu Québec? » (mise à jour le 28 septembre 2026), l'organisme énumère ce qu'il ne fait jamais. C'est la page la plus utile pour un résident du Québec, alors la voici résumée de près.

• Avis de paiement ou de remboursement. Revenu Québec ne vous avise jamais par courriel ni par texto qu'un paiement vous a été versé, qu'un remboursement vous est dû ou qu'un virement a été effectué.
• Modifications à votre dossier. Il ne décrit jamais par courriel ni par texto la nature d'une modification apportée à votre dossier ni les détails d'un document qui s'y trouve.
• Déclaration non reçue. Il ne vous avise jamais par courriel ni par texto qu'il n'a pas reçu votre déclaration de revenus.
• Renseignements personnels. Il ne demande jamais par courriel ni par texto votre NAS, vos renseignements bancaires, un mot ou une phrase de passe, un code confidentiel ou tout autre renseignement personnel.
• Messagerie vocale. Il ne laisse jamais de message téléphonique contenant des renseignements confidentiels.
• Documents en ligne seulement. Il ne vous transmet jamais de documents en ligne uniquement sans avoir obtenu votre consentement. Par défaut, vos documents arrivent par la poste.

L'organisme explique aussi ce qu'il peut faire. Selon vos choix, vous pouvez recevoir une alerte par courriel ou par texto (ou les deux) si un évènement survient dans votre dossier et que vous avez accepté les nouvelles conditions d'utilisation de Mon dossier pour les citoyens, que vous êtes inscrit au service d'alertes, que vous en avez fait la demande au service à la clientèle, ou que vous avez coché la case 10.3, 10.4 ou 10.5 de votre déclaration. Si vous avez un dossier de recouvrement en cours, Revenu Québec peut vous téléphoner au nom du gouvernement du Québec, et la page liste les numéros officiels que vous pouvez rappeler sans risque quand un message a été laissé. À votre demande, il peut aussi transmettre un code d'accès par texto ou appel automatisé pour accéder à Mon dossier par un partenaire de connexion, un code de vérification par courriel pour valider votre adresse, ou des documents par courriel sécurisé. Tout ce qui figure sur cette liste se produit parce que vous l'avez demandé ou parce qu'un dossier est déjà en cours.

Un détail de plus, tiré de la liste de résultats de la page sur le service d'alertes : les courriels et les textos de Revenu Québec ne contiennent jamais d'hyperliens. Nous n'avons pas pu charger le texte complet de cette page le jour de notre vérification, alors considérez cette phrase comme rapportée de l'extrait de recherche et validez-la sur le site de l'organisme. Elle concorde avec sa page de prévention, qui vous invite à vous demander si vous avez reçu « un texto de Revenu Québec contenant un hyperlien cliquable » pour juger de l'authenticité d'un message.

Les faux messages dont l'ARC elle-même vous met en garde

La page « Recognize a scam » de l'ARC dresse la liste des fraudes actives et indique quoi faire pour chacune. Nous les avons regroupées selon la façon dont elles vous parviennent. Tout ce qui suit est paraphrasé de la page de l'ARC telle qu'elle se présentait le 5 novembre 2026. Nous n'ajoutons aucune alerte maison : si un stratagème ne figure ni chez l'ARC ni chez Revenu Québec, nous ne prétendons pas qu'il circule en ce moment.

Leurres de remboursement et de crédit (texto, courriel, téléphone)

• Faux remboursement. Un message affirme que l'ARC vous doit un remboursement, avec une fausse adresse courriel ou un faux numéro de l'ARC. On vous demande de cliquer sur un lien et de fournir votre NAS, votre date de naissance, votre nom ou vos renseignements bancaires pour « accepter le remboursement par virement ». L'ARC n'envoie ni remboursements ni paiements par virement ou par texto.
• Crédit pour la TPS/TVH. Un texto ou un courriel offre un remboursement ou un crédit de TPS/TVH et vous demande de répondre ou de cliquer sur un lien pour remplir une demande avec un délai urgent.
• Faux dépôt par virement Interac. Un texto contenant une image avec le logo du gouvernement du Canada offre un virement Interac. Un second texto suit, avec un lien vers une copie très réaliste de la page de connexion d'une institution financière.
• Textos « répondez Y » ou « répondez HELP ». Un texto frauduleux évoque une ligne de votre dernier avis de cotisation et demande de répondre « Y ». Un autre dit qu'une erreur touche votre compte et demande de répondre « HELP ». Le premier envoie ensuite un faux lien lié au RPC qui mène à des imitations de sites de l'ARC et de banques.
• Remboursement carbone et codes de prestations. Des messages avec un lien vers le remboursement de la taxe sur le carbone, ou au sujet de crédits comme le crédit d'impôt pour l'accessibilité domiciliaire, le crédit d'impôt pour personnes handicapées, le crédit pour la rénovation d'habitations multigénérationnelles ou la pension de la Sécurité de la vieillesse, peuvent contenir un lien et un code. L'ARC dit qu'elle n'envoie ni textos ni courriels sur les prestations ou crédits avec des liens à cliquer.

Courriels « votre déclaration pose problème »

• Avis de nouvelle cotisation « révisé ». Des courriels disent que votre déclaration comporte des erreurs et vous pressent de télécharger un « avis de cotisation révisé », en prétendant qu'il n'est pas offert dans Mon dossier. L'ARC répond de consulter vos renseignements dans votre compte et avertit qu'un clic peut installer un logiciel malveillant.
• Document de déclaration à examiner. Un courriel annonce qu'un document est disponible derrière un bouton ou un lien. L'ARC vous avise par courriel quand quelque chose est disponible dans votre compte, et ces courriels ne contiennent pas de lien vous invitant à remplir un formulaire avec des renseignements personnels ou financiers.
• Fausse connexion EFILE pour les préparateurs. Des préparateurs de déclarations reçoivent des messages leur demandant de signer des « conditions » pour conserver leur compte, avec un lien vers une copie de la page de connexion EFILE. L'ARC dit de n'y accéder que depuis les pages officielles de canada.ca.

Prise de contrôle de compte et vol d'identité

• Bombardement de courriels. Si des criminels ont un mot de passe réutilisé ou volé, ils ouvrent votre compte, modifient quelque chose, puis inondent votre boîte de courriels indésirables pour enterrer l'avis légitime du changement. L'ARC suggère de vous connecter à votre compte pour voir s'il y a du courrier et de changer régulièrement vos mots de passe.
• Fausses déclarations à votre nom. Des fraudeurs munis de vos renseignements personnels peuvent produire une fausse déclaration. L'ARC énumère des indices : un changement dans votre compte, un courriel indiquant que votre compte a été modifié, un retard à recevoir des crédits ou remboursements, ou de la difficulté à produire votre déclaration en ligne.

Menaces téléphoniques et demandes de paiement

• Appels trafiqués. Des appelants se disant de l'ARC exigent un paiement ou des renseignements et peuvent falsifier un numéro local, un numéro officiel de police ou même celui de l'ARC. Le conseil : ne fournissez rien, raccrochez et joignez l'ARC vous-même.
• Mandat d'arrestation et cryptomonnaie. Un stratagème décrit : un « agent de l'ARC » exige de la cryptomonnaie pour annuler un mandat d'arrestation de la GRC, puis un faux policier rappelle avec des instructions pour déposer l'argent dans un guichet de cryptomonnaie. L'ARC affirme qu'elle ne menace ni d'arrestation, ni d'expulsion, ni d'emprisonnement, et n'exige pas de paiement en cryptomonnaie, en cartes prépayées ou en cartes-cadeaux.

Visant des groupes précis

• Aînés. Une fraude prétend que l'ARC verse des paiements supplémentaires aux aînés à faible revenu, avec des sites qui invitent à joindre des groupes Telegram ou WhatsApp.
• Désinformation sur les prestations. Des sites affirment que de nouveaux paiements existent. L'ARC précise qu'il n'existe aucun nouveau paiement de 2 000 $ par dépôt direct, aucun paiement de 680 $ pour le loyer, aucun paiement de 533 $ pour l'inflation et aucun paiement unique de 3 900 $. Elle rappelle aussi que le remboursement pour l'épicerie était un paiement unique de juillet 2023, et que la nouvelle prestation « Canada Groceries and Essentials Benefit » (selon le libellé anglais de l'ARC) est décrite comme un prolongement du crédit pour la TPS, sans demande à faire mais avec l'obligation d'avoir produit ses déclarations.
• Arnaques de « récupération ». Des personnes qui ont déjà perdu de l'argent reçoivent l'offre d'un service de récupération qui exige des frais d'abord. Voyez notre article sur la fausse récupération par un faux centre antifraude.

Vrai ou faux : le tableau comparatif

Consultez ce tableau dès qu'un message vous inquiète. Il ne contient que des comportements que l'ARC ou Revenu Québec décrivent eux-mêmes.

Notez la logique : les vrais organismes vous disent qu'il y a quelque chose à voir et vous demandent d'aller vous-même dans votre dossier. Les faux mettent l'action dans le message.

Liste de drapeaux rouges : dix secondes avant de toucher l'écran

Revenu Québec recommande quatre réflexes avant d'agir devant un message douteux : vérifier si la demande est authentique, ne pas agir immédiatement, ne divulguer aucun renseignement personnel, et valider que la communication provient bien de l'organisme. La liste ci-dessous combine ces conseils et les signaux d'alarme de l'ARC. Si une seule case s'applique, arrêtez.

Que faire d'un message qui échoue au test, selon les organismes : ne cliquez sur aucun lien, n'ouvrez aucune pièce jointe, ne répondez pas, et ne composez pas un numéro dont vous ne pouvez pas vérifier l'authenticité. Ensuite, signalez-le (voir la section sur les signalements) et supprimez-le.

Les faux sites qui ont l'air vrais

L'ARC avertit que les faux sites peuvent être très convaincants et que la vérification de l'adresse web est le test le plus rapide. Sa page donne des exemples d'adresses trompeuses : des mots ajoutés (comme « cra-login-canada.com » ou « cra-account-notice.info »), des terminaisons inhabituelles (.info, .su, .com) ou des caractères en trop et abréviations étranges (« crra », « c-ra », « revagency »). Certaines adresses réarrangent légèrement les lettres, en espérant que vous ne le remarquiez pas.

Le site officiel de l'ARC utilise des adresses qui commencent par canada.ca ou se terminent par cra-arc.gc.ca. Le point avant « .ca » ou « .gc.ca » est important : l'ARC dit que des fraudeurs ont essayé des traits d'union à la place, par exemple « -gc-ca ». Les raccourcis officiels comme canada.ca/myaccount et canada.ca/cra-scam-alert commencent eux aussi par canada.ca. Les ressources de la police nationale, de signalement de crimes et de cybersécurité (rcmp.ca, antifraudcentre.ca, getcybersafe.ca, reportcyberandfraud.canada.ca, cybertip.ca) ont leurs propres adresses. Les sites gouvernementaux ne contiennent pas de publicité non gouvernementale : une page de connexion entourée de publicités doit vous mettre la puce à l'oreille.

Le réflexe le plus sûr : taper l'adresse vous-même

Le conseil de l'ARC est simple : tapez l'adresse officielle directement dans votre navigateur plutôt que de cliquer sur un lien reçu par texto ou courriel, et mettez en favori les pages officielles que vous utilisez. Même chose pour Mon dossier sur revenuquebec.ca. Un favori que vous avez créé vous-même est plus sûr que n'importe quel lien envoyé par quelqu'un d'autre : un lien vous mène là où l'expéditeur le veut.

Gardez aussi en tête que les codes QR peuvent cacher l'adresse. Si une lettre, un dépliant ou un autocollant vous invite à numériser un code pour « réclamer un remboursement », lisez notre texte sur le comment reconnaître un courriel d'hameçonnage et appliquez les mêmes réflexes.

Mon dossier (Revenu Québec) et Mon dossier (ARC) : votre source de vérité

Si un message prétend que quelque chose a changé dans votre dossier fiscal, la réponse la plus sûre est d'aller voir vous-même. L'ARC indique que vous pouvez valider ce que vous entendez en vous inscrivant à un compte de l'ARC, en utilisant ses canaux sécurisés ou en la joignant directement. Pour les avis de cotisation, son alerte sur les faux courriels vous dit de consulter votre compte plutôt que de télécharger quoi que ce soit. Chez Revenu Québec, Mon dossier pour les citoyens joue le même rôle, et la liste de questions de l'organisme commence par : êtes-vous inscrit à Mon dossier, et votre adresse courriel et votre numéro de cellulaire sont-ils à jour dans votre profil?

Pourquoi garder vos coordonnées à jour

Le service d'alertes de Revenu Québec envoie des courriels ou des textos seulement aux personnes inscrites ou qui remplissent les conditions énumérées plus haut. Si vous ne vous êtes jamais inscrit, toute « alerte » qui annonce un remboursement ou un paiement est automatiquement suspecte, puisque c'est quelque chose que l'organisme dit ne jamais faire par courriel ou texto. Si vous êtes inscrit, vous reconnaîtrez le style des alertes. Dans les deux cas, vous pouvez ouvrir votre dossier vous-même pour confirmer.

Protéger le compte lui-même

L'ARC a une page « Keep your CRA account secure » et met en garde contre la réutilisation des mots de passe : les criminels essaient ceux volés sur d'autres sites. Voici ce qui en découle concrètement :

• Utilisez un mot de passe unique pour chaque portail fiscal. Un gestionnaire de mots de passe rend la chose réaliste.
• Activez l'authentification multifacteur là où elle est offerte. L'ARC envoie des codes par texto pour ses services de connexion si vous avez choisi l'option du téléphone : un code que vous avez demandé est donc normal. Un code que vous n'avez pas demandé signale que quelqu'un essaie d'entrer dans votre compte.
• Ne donnez jamais un code à une personne qui vous contacte. Quelqu'un qui vous demande de lui relire le code que vous venez de recevoir essaie de se connecter à votre place.
• Vérifiez régulièrement votre compte pendant la saison des impôts, surtout les changements aux coordonnées bancaires, à l'adresse ou aux coordonnées de contact, car ce sont les changements que l'ARC vous demande de signaler si vous ne les avez pas faits.

Comment fonctionnent vraiment les avis de remboursement et le dépôt direct

Les faux textos s'appuient sur une idée floue de la façon dont les remboursements arrivent. Voici ce que disent les organismes, en précisant ce que nous pouvons et ne pouvons pas affirmer.

• Jamais par texto ni virement. L'ARC déclare qu'elle n'envoie ni remboursement ni paiement par virement ou par texto. Revenu Québec déclare qu'il ne vous avise jamais par courriel ou par texto qu'un remboursement vous est dû ou qu'un virement a été fait.
• L'information se trouve dans votre dossier. Vous pouvez consulter vos renseignements d'impôt et de prestations, votre courrier, vos avis et relevés dans votre compte de l'ARC. La même logique vaut pour Mon dossier chez Revenu Québec.
• Un changement bancaire est un signal. La liste de Revenu Québec demande si vous avez récemment modifié vos coordonnées bancaires, et l'ARC range les changements non autorisés aux coordonnées bancaires, à l'adresse ou aux renseignements personnels parmi les raisons de la contacter. Si un remboursement tarde et que vous n'avez rien changé, vérifiez d'abord dans votre dossier si des modifications non autorisées ont été faites. L'ARC compte un retard à recevoir des crédits ou remboursements parmi les signes de vol d'identité.

Nous n'avons pas réussi à ouvrir la page de l'ARC sur le dépôt direct le jour de la rédaction, alors nous ne détaillons pas les étapes de configuration. Configurez ou modifiez le dépôt direct uniquement dans votre dossier ou dans votre logiciel de déclaration, jamais en suivant un message ou un appelant. Si vous vous demandez où en est votre remboursement, consultez les délais de traitement sur les pages des organismes plutôt que de vous fier à une durée annoncée par un message.

J'ai cliqué, payé ou donné mon NAS : quoi faire, étape par étape

D'abord, respirez. Se faire prendre est courant : ces messages sont conçus par des gens dont c'est le métier, et l'ARC elle-même note que l'intelligence artificielle générative rend les fraudes plus convaincantes. Ce qui compte maintenant, c'est la rapidité et l'ordre. Les étapes ci-dessous combinent les consignes de signalement de l'ARC et de Revenu Québec avec des mesures de protection de compte standard. Choisissez la section qui correspond à ce qui s'est passé et suivez les étapes dans l'ordre.

Scénario A : vous avez seulement cliqué sur un lien (rien saisi)

1. Fermez la page. N'entrez rien dans une seconde fenêtre.
2. Lancez une analyse de sécurité sur le téléphone ou l'ordinateur. Si un fichier a été téléchargé (l'ARC prévient que le faux courriel d'« avis révisé » peut livrer un logiciel malveillant), ne l'ouvrez pas et supprimez-le. Si l'appareil se comporte étrangement ensuite, lisez notre guide comment savoir si votre ordinateur est piraté.
3. Changez le mot de passe de tout compte déjà ouvert sur cet appareil, en commençant par le courriel et la banque.
4. Signalez le message (voir « Où signaler » plus bas). Un simple clic mérite quand même un signalement : l'ARC invite à signaler les tentatives même quand vous n'avez rien donné.

Scénario B : vous avez saisi un mot de passe ou une connexion bancaire sur une fausse page

1. Appelez immédiatement votre institution financière ou l'émetteur de votre carte, au numéro derrière la carte ou dans l'application officielle, jamais au numéro du message. Demandez de bloquer ou de surveiller le compte et les cartes, et d'arrêter les virements en attente qu'ils peuvent arrêter.
2. Changez le mot de passe de ce compte depuis un appareil propre. Si vous le réutilisez ailleurs, changez-le aussi là. C'est précisément la réutilisation d'identifiants que décrit l'ARC.
3. Activez l'authentification multifacteur là où elle manque.
4. Si vous avez saisi vos identifiants de l'ARC ou de Revenu Québec, connectez-vous au site officiel en tapant vous-même l'adresse, changez le mot de passe et vérifiez s'il y a des changements aux coordonnées bancaires, à l'adresse ou aux coordonnées de contact. Communiquez ensuite avec l'organisme (voir plus bas) pour faire ajouter des protections à votre dossier.

Scénario C : vous avez donné votre NAS ou d'autres renseignements d'identité

1. Communiquez avec l'ARC. Sa page indique de la contacter si vous soupçonnez que votre compte est compromis, si vous voyez des changements non autorisés, une demande de prestation faite sans votre consentement, ou si vous voulez désactiver l'accès en ligne. Vous pouvez remplir son formulaire en ligne, téléphoner, utiliser la ligne automatisée ou télécopier le formulaire RC213. Pour un compte personnel, le numéro indiqué est le 1-833-995-2336 (du lundi au vendredi, de 8 h à 16 h, heure locale; ATS : 1-800-267-7622). Pour un compte d'entreprise, c'est le 1-800-959-5525. L'ARC précise que des protections peuvent être ajoutées à votre compte immédiatement pendant un appel, et qu'un agent désigné vous contactera dans les 14 jours ouvrables après une soumission en ligne, par la ligne automatisée ou par télécopieur. Confirmez les numéros sur canada.ca avant de composer.
2. Communiquez avec Revenu Québec. Sa page demande de le joindre rapidement si vous croyez avoir été victime d'hameçonnage ou de vol d'identité afin qu'il mette en place des mesures de protection additionnelles, et de signaler aussi la situation au Centre antifraude du Canada. Elle renvoie à une page dédiée, « Signaler une tentative d'hameçonnage ou un vol d'identité », sur son site.
3. Signalez l'utilisation de votre NAS à Service Canada si vous savez ou soupçonnez que quelqu'un l'utilise : 1-866-274-6627, d'après la page de l'ARC.
4. Appelez les deux bureaux de crédit, Equifax et TransUnion. L'ARC invite les victimes à contacter des agences d'évaluation du crédit comme Equifax ou TransUnion. Demandez quelles options de protection ils offrent (alerte à la fraude, surveillance du dossier), passez votre dossier de crédit en revue à la recherche de comptes inconnus et notez chaque appel. Passez par leurs sites officiels, equifax.ca et transunion.ca, car les options et les frais changent.
5. Prévenez votre institution financière, même si aucun argent n'a bougé, car NAS, date de naissance et adresse suffisent pour tenter d'ouvrir des comptes ou de prendre le contrôle des vôtres.
6. Déposez une plainte à la police locale et conservez le numéro de dossier. Le CAFC précise que les victimes doivent communiquer avec leur service de police local le plus tôt possible.
7. Signalez au CAFC en ligne à reportcyberandfraud.canada.ca (le signalement anonyme est possible) ou par téléphone au 1-888-495-8501, du lundi au vendredi, de 10 h à 16 h 45, heure de l'Est. Sa page indique que la police locale enquête, tandis que le CAFC tient un dépôt central d'information pour appuyer les enquêtes.
8. Changez vos mots de passe : d'abord le courriel (c'est la clé qui permet de réinitialiser tout le reste), puis la banque, puis les portails gouvernementaux, puis le reste, avec un gestionnaire de mots de passe.

Pour un plan de reprise plus long, avec les documents à rassembler et les organismes propres au Québec, consultez notre guide de récupération après un vol d'identité au Québec.

Scénario D : vous avez payé de l'argent

1. Appelez tout de suite votre banque ou votre fournisseur de paiement. Si vous avez payé par virement Interac, demandez si le virement peut être arrêté ou signalé. La rapidité compte, et rien n'est garanti.
2. Si vous avez acheté des cartes-cadeaux, gardez les cartes et les reçus et communiquez avec l'émetteur.
3. Si vous avez envoyé de la cryptomonnaie, notez chaque adresse et chaque identifiant de transaction. Notre article sur la récupération de fonds après une arnaque crypto fixe des attentes réalistes.
4. Faites les signalements à la police et au CAFC décrits plus haut.
5. Méfiez-vous des offres de récupération. L'ARC avertit que des messages visent les personnes qui ont déjà perdu de l'argent en promettant de les aider à le récupérer, mais cherchent en réalité à leur en soutirer davantage, souvent en exigeant un dépôt ou des renseignements d'abord. Ne payez aucuns frais pour récupérer votre argent.

Notre page sur le faux courriel de virement Interac montre l'autre moitié du truc, utile si les fraudeurs se sont fait passer pour votre banque plutôt que pour l'ARC.

Trois scénarios illustratifs (cas inventés)

Ces exemples sont inventés pour montrer comment la liste de vérification s'applique. Prénoms, montants et moments sont fictifs.

Scénario illustratif 1 : le texto de mars

« Marc » a produit ses déclarations à la fin de février et surveille son compte pour le remboursement. Un mardi soir, il reçoit un texto avec un logo d'allure gouvernementale : « Remboursement de 412,50 $ approuvé, acceptez dans les 24 heures ». Il appuie. Une page qui ressemble à celle de sa banque demande ses identifiants de connexion. Rien dans ce message ne passe le test : c'est un texto, il promet un remboursement, il porte un lien et un délai. Les organismes disent que les remboursements ne sont pas envoyés par texto ni par virement. S'il avait fermé la page, Marc n'aurait rien perdu. Il a saisi ses identifiants, alors il suit le scénario B en quelques minutes, et sa banque bloque le virement tenté.

Scénario illustratif 2 : le message vocal

« Nadia », 71 ans, entend un message : « Ici le bureau des impôts, un mandat a été émis, appuyez sur 1 ». Elle appuie, et un homme lui demande de payer avec des cartes-cadeaux. L'ARC affirme ne pas menacer d'arrestation ni demander de cartes-cadeaux. Nadia raccroche. Sa fille cherche la page de contact de l'ARC et appelle l'organisme au numéro qui y figure. Elle demande aussi à sa mère de lui montrer tout appel semblable, l'habitude la plus protectrice dont il est question dans la section sur les aînés.

Scénario illustratif 3 : le courriel de l'avis « révisé »

Une graphiste à son compte reçoit un courriel disant que sa déclaration comporte des erreurs et qu'un « avis de cotisation révisé » doit être téléchargé en quelques heures. Elle reconnaît le schéma de la liste de l'ARC, se connecte à son dossier en tapant elle-même l'adresse, ne voit aucun changement et signale le courriel par reportcyberandfraud.canada.ca. Temps perdu : cinq minutes.

Protéger les aînés et les proches

L'ARC range parmi ses alertes une fraude qui vise les aînés : on leur dit que l'Agence verse des paiements supplémentaires aux personnes âgées à faible revenu, avec des sites qui renvoient vers des groupes Telegram ou WhatsApp. Les menaces téléphoniques sont aussi une porte d'entrée fréquente auprès des proches plus âgés. Quelques pratiques fonctionnent mieux que les sermons.

• Convenez d'une règle familiale, calmement, une fois pour toutes : « Aucun organisme gouvernemental ne te demandera d'agir à la suite d'un texto. Si on parle d'argent, tu me le montres ou tu m'appelles avant de faire quoi que ce soit. »
• Écrivez les numéros officiels sur une carte placée près du téléphone, pris sur canada.ca et revenuquebec.ca, pour que le « numéro de rappel » d'un appelant ne soit jamais la seule option.
• Raccrocher est une réponse complète. Les organismes conseillent de mettre fin à un appel suspect puis de trouver soi-même un numéro officiel. Pratiquez la phrase : « Je vous rappelle au numéro officiel. »
• Aucune honte. Les personnes gênées cachent leur erreur pendant des jours. Dites clairement qu'un signalement rapide compte plus que la façon dont c'est arrivé.
• Voix clonée : un appel qui ressemble à un proche qui demande de l'argent est un risque distinct; voyez notre article sur la voix clonée par IA et les arnaques familiales.
• Aidez avec le dossier. Proposez d'ouvrir ensemble Mon dossier (Revenu Québec) et le compte de l'ARC, de mettre à jour les coordonnées et, si la personne le souhaite, d'autoriser un représentant de confiance par la voie officielle. Revenu Québec renvoie à sa page « Autorisation ou procuration » à cette fin. Ne partagez jamais un mot de passe par texto.

Pour un accompagnement à la maison, notre article sur la sécurité informatique des aînés couvre les habitudes plus larges, et IT Cares offre du soutien à distance pour les proches qui préfèrent parler à une vraie personne.

Le volet PME et travailleurs autonomes

Les propriétaires de petites entreprises font face aux mêmes leurres, plus quelques-uns qui leur sont propres. La liste de l'ARC comprend une fausse connexion EFILE visant les préparateurs de déclarations, et l'ARC a des lignes distinctes pour les comptes d'entreprise (la ligne d'entreprise indiquée pour signaler un vol d'identité est le 1-800-959-5525). Voici des points précis pour une PME ou un travailleur autonome :

• Les comptes de TPS/TVQ et de retenues à la source comptent. L'ARC indique qu'elle avise les entreprises lorsqu'une inscription à la TPS/TVH est examinée et qu'elle peut utiliser des appels automatisés de rappel pour les nouveaux comptes. Ces rappels ne demandent pas de renseignements personnels. Un appel d'« audit de TPS » qui exige un numéro de carte n'est pas l'ARC.
• Séparez les accès. Si votre comptable ou votre teneur de livres a accès, chaque personne doit avoir ses propres identifiants, et l'accès doit être retiré au départ de la personne.
• Le courriel est le maillon faible. Une prise de contrôle de boîte courriel d'entreprise commence souvent par un faux avis. Lisez notre guide sur la fraude par courriel (BEC) et la protection des PME.
• Formez la personne qui ouvre le courrier. Celui ou celle qui gère la boîte partagée doit connaître trois règles : aucun lien pour un remboursement, aucun code partagé, rappel à un numéro officiel.
• Loi 25. Si un incident d'hameçonnage expose des renseignements personnels de clients ou d'employés, vous pourriez avoir des obligations en vertu de la loi québécoise sur la protection des renseignements personnels (Loi 25). Consignez ce qui s'est passé et quand, et consultez les exigences relatives aux incidents sur le site de la Commission d'accès à l'information. Nous ne donnons pas de conseil juridique ici.
• Gardez une fiche de contacts vérifiés : ligne d'entreprise de l'ARC, Revenu Québec et votre comptable, pour qu'un employé pressé ne cherche pas un numéro en plein appel frauduleux.

Saison des impôts 2027 : à quoi s'attendre et quoi faire dès maintenant

Nous n'avons trouvé aucune alerte datée de novembre 2026 de l'ARC, de Revenu Québec ou du CAFC annonçant une nouvelle campagne précise, et nous n'en inventerons pas. Ce que nous pouvons dire, à partir des pages des organismes, c'est que la liste de fraudes actives de l'ARC a été modifiée pour la dernière fois le 29 octobre 2026, et que les schémas qui y figurent (leurres de remboursement, leurres de crédit, faux avis de cotisation, appels falsifiés) sont ceux auxquels s'attendre quand les déclarations se produisent. Les dates de production pour l'année d'imposition 2026 sont publiées par l'ARC et Revenu Québec : consultez leurs pages pour les dates exactes d'ouverture et d'échéance plutôt que de vous fier à un message qui en mentionne une.

Les fraudeurs n'ont pas besoin d'un message fiscal : les faux textos de livraison se multiplient à l'approche des Fêtes, et notre guide du Vendredi fou et du Cyberlundi couvre ce volet. Pour les courriels rédigés par IA qui évitent les anciennes fautes révélatrices, voyez comment repérer un courriel d'hameçonnage généré par IA. L'ARC note elle-même que les fraudes peuvent contenir des fautes et des logos flous, mais que l'IA générative permet de produire des copies plus réalistes : un message impeccable ne prouve donc rien.

Combien ça coûte : faire soi-même ou payer de l'aide

Tout ce qui précède est gratuit à faire soi-même. Signaler à l'ARC, à Revenu Québec, à Service Canada, au CAFC et à la police ne coûte rien. Pour les bureaux de crédit, demandez ce que coûte chaque option avant d'accepter : les forfaits et les frais leur appartiennent. Le vrai coût, c'est le temps et, si vous avez envoyé de l'argent, la somme perdue; voilà pourquoi le premier appel à la banque compte plus que n'importe quel outil.

Si vous souhaitez qu'un technicien passe vos appareils et vos comptes en revue avec vous, IT Cares offre une consultation Expert unique de 119,99 $ CAD pour 60 minutes, en séance à distance.

Ressources officielles et où signaler

• ARC : pages « Recognize a scam » et « Report a scam or identity theft » sur canada.ca (en anglais; voir les sources plus bas). Ligne pour compte personnel : 1-833-995-2336.
• Revenu Québec : pages sur la façon de savoir si une communication est authentique, de prévenir l'hameçonnage et le vol d'identité, et de réagir si vous êtes victime.
• Centre antifraude du Canada : reportcyberandfraud.canada.ca, ou 1-888-495-8501.
• Service Canada (utilisation frauduleuse du NAS) : 1-866-274-6627.
• Votre service de police local pour toute fraude où vous avez perdu de l'argent ou des renseignements d'identité.
• Bureaux de crédit : equifax.ca et transunion.ca.

Quand appeler un pro

Vous pouvez gérer la plupart de ces étapes seul. Appelez-nous si vous avez saisi un mot de passe sur une fausse page sans savoir quels comptes le partagent, si un appareil se comporte étrangement après un clic ou un téléchargement, si le téléphone ou le courriel d'un parent semble avoir été pris en charge, ou si vous voulez simplement qu'on vérifie votre configuration avant la saison des impôts. Nous travaillons à distance partout au Canada et sur place au Québec, et nous ne vous demanderons jamais votre NAS, vos données bancaires ni vos renseignements fiscaux. Notre ligne : 1 (888) 711-9428.

Questions fréquentes

Guides connexes

• Faux textos SAAQ, Revenu Québec et Desjardins : j'ai cliqué
• Arnaques du Vendredi fou et du Cyberlundi : guide de survie
• Vol d'identité : guide de récupération au Québec
• Faux courriel de virement Interac
• Faux centre antifraude : arnaque de récupération de fonds
• Sécurité informatique pour les aînés
• Hameçonnage par IA : repérer un courriel généré
• Fraude par courriel (BEC) : protéger sa PME

Sources et références officielles

Dernière vérification : 5 novembre 2026

• CRA: Scams and fraud, Recognize a scam (consulté le 2026-11-05, page modifiée le 2026-10-29)
• CRA: Report a scam or identity theft (consulté le 2026-11-05, modifiée le 2026-03-20)
• CRA: Scams and fraud overview (consulté le 2026-11-05)
• Revenu Québec: Comment savoir si une communication provient réellement de Revenu Québec? (consulté le 2026-11-05, mise à jour le 2026-09-28)
• Revenu Québec: Comment prévenir l'hameçonnage et le vol d'identité? (consulté le 2026-11-05)
• Revenu Québec: Que faire en cas d'hameçonnage ou de vol d'identité? (consulté le 2026-11-05)
• Canadian Anti-Fraud Centre: Report fraud and cybercrime (consulté le 2026-11-05, modifiée le 2025-11-27)