Depuis le début du mois de septembre, un courrier frauduleux, imitant parfaitement ceux de la Direction générale des Finances publiques (DGFiP), atterrit dans les boîtes aux lettres de nombreux Français. À première vue, ce document officiel, orné d’un logo crédible et rédigé dans un ton administratif, semble tout à fait légitime. Pourtant, il s’agit d’une arnaque redoutable, conçue pour dérober les cryptomonnaies des victimes par la simple action de scanner un QR code.
EN BREF
- Un faux courrier des impôts met en demeure de déclarer des actifs numériques.
- Les escrocs utilisent un QR code pour rediriger vers un site frauduleux.
- Le fisc français dénonce ces envois et préconise la prudence.
Ce phénomène d’escroquerie a été signalé par plusieurs victimes, relayé notamment par le hacker éthique SaxX sur le réseau social X. Le faux courrier, qui menace d’amendes en cas de non-déclaration des actifs numériques, se présente comme une mise en demeure à remplir avant une date limite fixée au 5 septembre 2026. Une amende de 750 euros par compte non déclaré est évoquée, montant qui pourrait atteindre 1 500 euros si la valeur dépasse 50 000 euros.
Pour renforcer leur crédibilité, les auteurs de cette arnaque se réfèrent à la directive européenne DAC8, qui entrera réellement en vigueur en 2026, ainsi qu’à un décret sur les marchés de crypto-actifs daté du 21 février 2025. Ils citent même l’Autorité des marchés financiers, ce qui pourrait tromper même les plus vigilants.
SaxX, ayant mis en garde contre cette manipulation, précise que « le fisc français n’est absolument pas à l’origine de ces envois ». Tous les éléments contenus dans cette correspondance sont frauduleux : ni la mise en demeure, ni le supposé portail, ni les sanctions annoncées n’existent.
Le véritable piège se referme lorsque la victime scanne le QR code figurant sur le courrier. Cela redirige vers un site imitant un questionnaire fiscal, dont l’objectif est de récupérer les identifiants et mots de passe des portefeuilles de cryptomonnaies des utilisateurs. Une fois ces informations en possession des escrocs, il devient facile de siphonner les fonds des victimes.
Cette campagne de fraude survient dans un contexte où des fuites de données ont touché les services fiscaux au mois d’août. Les escrocs semblent avoir exploité ces informations pour cibler spécifiquement des individus possédant des actifs numériques, illustrant ainsi les dangers liés à la sécurité des données personnelles.
Il est crucial de noter que ce type d’escroquerie ne se limite pas à un seul cas. D’autres tentatives de fraude, utilisant des mécanismes similaires de confiance détournée, ont déjà été rapportées.
Un indice permettant de démasquer l’escroquerie réside dans l’adresse mentionnée sur le courrier. Bien qu’elle corresponde à celle du siège de la DGFiP, les services des impôts des particuliers sont toujours locaux et jamais centralisés à Paris, ce qui constitue une incohérence majeure. De plus, les fautes d’orthographe et les tournures maladroites sont des éléments rares dans les courriers officiels, généralement rédigés avec soin.
Le ton alarmiste utilisé dans la lettre, couplé à la notion d’urgence et aux menaces de sanctions immédiates, doit également éveiller les soupçons. En effet, l’administration fiscale ne demande jamais de données bancaires via un QR code menant vers un site externe.
Face à un tel courrier, il est conseillé de ne pas scanner le code. Il est préférable de conserver le document et de le signaler sur le portail officiel du ministère de l’Intérieur. Pour une vérification de l’authenticité d’un envoi, il est également recommandé de contacter directement son centre des finances publiques. Si la victime a déjà scanné le code, il est impératif de prévenir immédiatement sa plateforme de cryptomonnaies, de transférer les fonds restants et de déposer plainte.
Un simple document peut suffire à vider un portefeuille numérique entier. La prudence, dans ce cas, est de mise : il est toujours préférable de vérifier la véracité des informations avant de céder à la tentation d’un QR code.