Impôts et cryptomonnaies : ne tombez pas dans le piège de ce faux courrier avec QR code qui peut vider votre compte

Une lettre estampillée Direction générale des Finances publiques, un ton administratif et une menace d’amende salée si vous ne déclarez pas vos cryptomonnaies : depuis quelques jours, de nombreux contribuables découvrent dans leur boîte aux lettres un faux courrier DGFiP plus que troublant. Le document, adressé au nom du Service des Impôts des Particuliers, ordonne de s’inscrire sur un supposé Portail des actifs numériques sous peine de sanction, et invite à flasher un QR code pour s’exécuter.

Dans un contexte de fuite de données survenue en août, ce courrier papier extrêmement abouti inquiète les spécialistes de la cybersécurité. « Le courrier est très crédible et a été généré avec de l’intelligence artificielle (IA) », explique le hacker éthique SaxX, cité par BFMTV. La lettre évoque une échéance fixée au 5 septembre 2026, déjà dépassée, un stratagème classique pour mettre la pression, et aligne des références européennes et fiscales qui peuvent désarçonner même un contribuable averti. Les pièges se cachent pourtant dans plusieurs détails bien précis.

Comment fonctionne ce faux courrier DGFiP sur les cryptomonnaies

Le courrier se présente comme une mise en demeure de déclarer des « actifs numériques » détenus sur des plateformes d’échange ou des portefeuilles, en particulier vos cryptomonnaies. Il demande de se connecter avant le 5 septembre 2026 à un prétendu Portail des actifs numériques via un QR code imprimé, présenté comme sécurisé. Une fois scanné, ce code renvoie vers un site frauduleux où un faux questionnaire fiscal cherche à récupérer des identifiants, des autorisations de transaction ou d’autres informations sensibles, avec un objectif clair : vider vos portefeuilles.

Pour donner du poids à la menace, la lettre invoque la directive européenne DAC8 (2023/2226/UE), censée imposer à partir de 2026 un partage des données fiscales liées aux crypto-actifs entre administrations, ainsi qu’un décret du 21 février 2025 sur les marchés de crypto-actifs et de supposées informations transmises par des prestataires enregistrés auprès de l’Autorité des marchés financiers. Elle mentionne aussi des amendes pouvant atteindre 750 € par compte d’actifs numériques non déclaré, portées à 1 500 € si la valeur du compte dépasse 50 000 €. En réalité, « Le fisc français n’est absolument pas à l’origine de ces envois de courriers », prévient le hackeur SaxX. Des analyses techniques ont montré que le nom de domaine derrière le QR code, de type conformitecan.com, a été enregistré seulement quelques jours avant l’envoi, ce qui ne correspond pas aux usages de l’administration fiscale, qui ne vous demandera jamais vos données bancaires ou d’accès à vos wallets via un site externe accessible uniquement en scannant un code.

Check-list : repérer un faux courrier des impôts sur les cryptomonnaies

Ce type de document reprend les codes visuels de l’État, logo de la DGFiP, mentions du Service des Impôts des Particuliers et adresse de Bercy, au point de semer le doute. Les courriers frauduleux sont devenu plus sophistiqués, parfois mieux rédigés que des e-mails de phishing classiques. Pour s’y retrouver rapidement, quelques signaux suffisent pourtant à faire basculer la lettre du côté de l’arnaque. Le tableau ci-dessous rassemble ceux que l’on retrouve déjà sur cette campagne papier.

Si vous recevez un courrier de ce type, ne scannez pas le QR code et ne saisissez aucune information, même si le ton semble officiel. Conservez la lettre, signalez-la sur le portail officiel de signalement du ministère de l’Intérieur et, en cas de doute, contactez votre Centre des Finances publiques en utilisant uniquement les coordonnées figurant sur impots.gouv.fr. Si vous avez déjà scanné le code ou rempli le faux formulaire, prenez contact au plus vite avec le service client de votre plateforme ou de votre portefeuille de cryptomonnaies, transférez vos fonds vers un autre support et déposez plainte auprès des autorités compétentes.