Attention à cette fausse lettre de la DGFiP qui cache une arnaque au QR code

Attention à cette fausse lettre de la DGFiP qui cache une arnaque au QR code
Maurine Briantais

Certains contribuables reçoivent actuellement un faux courrier aux couleurs de la DGFiP les invitant à scanner un QR code pour déclarer leurs cryptomonnaies. Derrière cette lettre particulièrement crédible se cache en réalité une arnaque.

On le sait, les escrocs ne reculent devant rien pour subtiliser les données personnelles et bancaires de leurs victimes, dans le but de leur soutirer de l'argent. Les tentatives de phishing sont nombreuses, particulièrement par le biais de mails et de SMS provenant d'expéditeurs inconnus, mais également de personnes jugées "fiables", comme des organismes de l'État. Mais plutôt que de passer par les canaux traditionnels d'Internet, certains n'hésitent pas à envoyer de véritables courriers à leurs victimes.

Ces derniers jours, plusieurs contribuables français ont reçu des courriers frauduleux semblant provenir de la Direction générale des Finances publiques (DGFiP). La lettre, particulièrement soignée, évoque les nouvelles obligations liées aux cryptomonnaies et demande au destinataire de s'inscrire rapidement sur un prétendu "Portail des actifs numériques", accessible via un QR code. Bien évidemment, il n'en est rien.

Arnaque DGFiP : un savant mélange de vrai et de faux

Les escrocs sont particulièrement vicieux et passent par une lettre afin d'endormir les soupçons de la victime, qui a moins de chance de remettre en cause la légitimité d'un tel support, contrairement à un mail ou un SMS. Le courrier reprend en outre de nombreux éléments susceptibles de rassurer son destinataire. En effet, il reprend l'identité visuelle de la DGFiP, le bloc-marque de la République, l'adresse de l'administration située rue de Bercy à Paris, ainsi que des références au Code général des impôts.

Le courrier indique que les particuliers détenant des cryptomonnaies doivent s'inscrire sur un "Portail des actifs numériques" avant le 5 septembre 2026. S'ils ne le font pas, ils risqueraient une amende de 750 euros par compte d'actifs numériques non déclaré, pouvant atteindre 1 500 euros dans certaines situations. Le tout avec une majoration de 40 à 80 % des droits éludés et des intérêts de retard mensuels. Ça ne rigole pas !

Pour paraître crédible, le message de mise en demeure invoque les nouvelles obligations déclaratives concernant les cryptomonnaies, ainsi que la directive européenne DAC8, qui existent bel et bien. De cette façon, si un contribuable un peu suspicieux décidait de vérifier ces éléments, il serait rassuré. En revanche, le fameux "Portail des actifs numériques" n'existe pas.

Le piège réside dans le QR code à la fin du message. En effet, il redirige en réalité la victime vers un site imitant le portail officiel des impôts mais contrôlé par les fraudeurs. Ces derniers ont alors tout le loisir de collecter diverses données personnelles tout en identifiant les personnes détenant des cryptomonnaies. Ces informations peuvent se révéler fort utiles pour tenter d'accéder par la suite à leurs portefeuilles.

Reste à savoir comment les arnaqueurs ont réussi à obtenir l'adresse des victimes. Sur LinkedIn, la DGFiP assure que le courrier "n'est pas lié au vol de données intervenu cet été. Cette arnaque était déjà identifiée et circulait depuis le printemps 2026". Une des pistes évoquées par les chercheurs en cybersécurité est celle de la fuite de données de Colis Privé qui a eu lieu début janvier 2026 et a touché des millions de personnes, mais rien n'est sûr.

Arnaque DGFiP : quelques mesures de précaution 

Pour éviter de tomber dans le piège, vérifiez attentivement l'expéditeur du courrier, en gardant bien en tête que les autorités gouvernementales n'indiquent jamais l'adresse à laquelle effectuer des paiements dans leurs courriers. Examinez également l'adresse du site vers lequel le QR code ou le lien vous redirige. Attention, les cybercriminels utilisent souvent des URL très proches des adresses officielles pour tromper leurs victimes, le plus sûr reste donc de se rendre directement sur le site concerné.

Ne renseignez jamais vos données personnelles ou bancaires sur un site dont vous ne pouvez pas garantir l'authenticité. En cas de doute, contactez directement l'organisme concerné par téléphone ou par e-mail pour vérifier l'authenticité du message. Enfin, si vous avez été victime d'une telle arnaque, pensez à signaler le courrier et le site frauduleux aux plateformes et organismes compétents, notamment Pharos.