Impôts : attention à ce faux courrier postal très réaliste de la DGFiP sur les cryptomonnaies

C’est l’une des conséquences de la série de piratages ayant touché la France ces dernières années. Les arnaques peuvent devenir bien plus crédibles.

Ici, une lettre avec bloc-marque de la République, adresse du siège de la DGFiP au 139 rue de Bercy, articles du code général des impôts, montants d’amende recopiés au centime près. Elle laisse cinq jours pour s’inscrire sur un « Portail des actifs numériques », via un QR code, sous peine de sanction. Sauf qu’un détail suffit à tout faire tomber : le site visé par ce QR code, conformitecan.com, a été enregistré le 29 août 2026, deux jours avant la date imprimée sur la lettre. C’est Synaris, une plateforme française de détection d’arnaques, qui a remonté le fil.

Le prétexte s’appuie sur un texte bien réel. La directive européenne DAC8 encadre effectivement la déclaration des crypto-actifs. Mais elle fait peser les obligations sur les plateformes, pas sur les particuliers. Le « Portail des actifs numériques » n’existe nulle part à la DGFiP, qui ne lance jamais une démarche par QR code.

Pourquoi ce faux marche mieux que les autres

Le procédé est vicieux parce que presque tout y est vrai. L’amende de 750 euros par compte d’actifs numériques non déclaré, portée à 1 500 euros au-delà de 50 000 euros, figure réellement à l’article 1736 du code général des impôts. Les formulaires cités existent aussi. Le contribuable qui vérifie ces éléments se rassure, et rate le vrai piège de la lettre, le fameux portail.

Deuxième force, le papier. Il paraît plus crédible qu’un simple mail, et échappe de fait aux filtres de courriers indésirables. Sur Reddit, des destinataires racontent avoir failli s’y laisser prendre.

D’où viennent les noms et adresses imprimés sur ces courriers ? Rien ne le prouve, et Synaris se garde de trancher. Deux pistes coexistent : le vol de données subi par la DGFiP en août 2026, dont le butin revendiqué contenait des adresses postales, et les fuites de fichiers clients du secteur crypto. Entre le piratage du fisc et les fuites en série qui frappent l’État, les Français n’ont jamais autant vu leurs données circuler. De quoi rendre n’importe quelle lettre officielle plus crédible.

Un scénario américain traduit en français

L’arnaque n’a rien de français à l’origine. C’est la copie d’une campagne repérée aux États-Unis, contre laquelle le fisc américain a alerté fin juillet, autour d’un « Digital Asset Compliance Portal » tout aussi fictif. Le formulaire en ligne ne sert qu’à trier les victimes avant le vrai piège, un appel téléphonique où un faux conseiller réclame codes, mots de passe ou phrase de récupération. On retrouve la même logique hybride, physique plus numérique, que dans ces arnaques par SMS mêlant photo générée par IA et messages vocaux.

Si vous avez reçu ce courrier, ne scannez rien et ne rappelez personne. Conservez la lettre, signalez l’adresse du site sur cybermalveillance.gouv.fr, et vérifiez votre situation en tapant vous-même impots.gouv.fr dans la barre d’adresse de votre navigateur.