Fausse mise en demeure des impôts : le piège du QR code qui vise vos cryptos
Un courrier à en-tête de la DGFiP, une « mise en demeure » et un QR code à scanner avant le 29 octobre : la Police nationale a alerté jeudi 29 octobre 2026 sur de faux courriers des impôts qui ciblent les détenteurs de cryptomonnaies. Le code mène à un faux portail qui réclame les identifiants fiscaux, puis la phrase de récupération du portefeuille.
L'alerte de la Police nationale, relayée par Numerama et Comment Ça Marche, décrit une lettre qui reprend tous les codes d'un document administratif. Elle se présente comme une mise en demeure liée aux obligations déclaratives sur les actifs numériques. Selon Comment Ça Marche, elle affiche l'identité visuelle de la DGFiP, le bloc-marque de la République, l'adresse de l'administration rue de Bercy à Paris et des références au Code général des impôts.
Le destinataire est sommé de s'inscrire sur un prétendu « Portail des actifs numériques » avant le 29 octobre 2026, en scannant un QR code imprimé sur la lettre. À défaut, le courrier annonce une amende de 750 euros par compte d'actifs numériques non déclaré, qui peut atteindre 1 500 euros dans certains cas, ainsi qu'une majoration de 40 à 80 % des droits éludés et des intérêts de retard mensuels. Le délai affiché est donc déjà arrivé à échéance : il ne repose sur rien.
Ce que cache le QR code
D'après Numerama, le QR code renvoie vers un site à l'adresse reglement2026.com, sans aucun rapport avec l'administration fiscale. Ce domaine est déjà signalé comme frauduleux sur VirusTotal, un service qui agrège les analyses de nombreux éditeurs de sécurité. Le site copie l'apparence d'un portail de l'État et invite d'abord la victime à saisir ses identifiants fiscaux, puis la phrase de récupération de son portefeuille numérique.
Cette suite de mots, générée à la création du portefeuille, permet de le restaurer sur n'importe quel appareil. Celui qui la détient a donc un accès direct aux cryptomonnaies qu'il contient. Numerama est formel : ni l'administration fiscale ni un fournisseur de portefeuille n'a de raison de la demander, et toute sollicitation en ce sens est une tentative d'escroquerie.
Le piège joue sur le vrai et le faux. Comme le rappelle Comment Ça Marche, les nouvelles obligations déclaratives sur les cryptomonnaies et la directive européenne DAC8 existent bel et bien : un contribuable qui vérifierait ces références serait rassuré. En revanche, le « Portail des actifs numériques » n'existe pas. Même sans phrase de récupération, une victime qui répond révèle qu'elle détient des cryptomonnaies, ce qui permet aux escrocs de la recontacter plus tard. Tom's Guide évoque d'ailleurs un objectif de repérage des détenteurs et d'estimation de leurs avoirs pour préparer des arnaques ciblées.
Le support papier joue sur la confiance : Comment Ça Marche souligne qu'on remet moins en cause une lettre qu'un e-mail ou un SMS. Et selon Numerama, le QR code est souvent un subterfuge pour masquer une adresse web suspecte. Si vous avez déjà installé une application douteuse après un message de ce genre, notre guide sur le cheval de Troie bancaire sur Android explique comment le reconnaître, l'éviter et réagir.
Une campagne qui dure depuis le printemps
Ce n'est pas la première vague. Dès le 4 septembre, Tom's Guide et Cryptoast décrivaient un courrier du même type, avec alors une échéance fixée au 5 septembre. Cryptoast relevait des fautes d'orthographe, une enveloppe sans logo du gouvernement ni des impôts, et le fait que la DGFiP n'envoie pas ce genre de lettre au sujet des crypto-actifs. Les deux médias signalaient aussi des informations erronées sur le taux du prélèvement forfaitaire unique.
Selon Comment Ça Marche, la DGFiP avait indiqué en septembre sur LinkedIn que ce courrier n'était pas lié au vol de données intervenu cet été, et que l'arnaque était déjà identifiée et circulait depuis le printemps 2026. La question de l'origine des adresses reste ouverte : Numerama précise qu'aucune information n'a été donnée sur le nombre de personnes visées, ni sur le caractère massif ou ciblé de l'envoi.
Le site de la DGFiP rappelle quelques règles utiles pour trier le vrai du faux. Ses e-mails n'utilisent que le domaine « @dgfip.finances.gouv.fr », ses sites sont en « .gouv.fr », et elle n'envoie jamais de SMS au sujet d'un impayé. Pour la joindre, la page d'alerte d'impots.gouv.fr indique des numéros locaux commençant par 01 à 05 ou le numéro unique 0 809 401 401, et met en garde contre les numéros surtaxés en 0 899 ou 0 891.
Les bons réflexes avant, et après, un scan
Le premier réflexe consiste à ne pas scanner un QR code figurant sur un courrier inattendu, même lorsqu'il semble venir d'une administration. En cas de doute, la Police nationale recommande de taper soi-même l'adresse impots.gouv.fr dans le navigateur : les démarches et les messages réellement envoyés par l'administration figurent dans l'espace personnel de chaque contribuable. Comment Ça Marche ajoute de vérifier l'adresse du site vers lequel pointe un code et de se rappeler que l'administration n'indique jamais, dans ses courriers, l'adresse où effectuer un paiement.
Si le code a déjà été scanné et que des informations ont été saisies, il faut agir vite. D'après Le Tribunal du Net, il faut alerter sa plateforme de cryptomonnaies, déplacer les fonds restants et déposer plainte. Comme la phrase de récupération donne accès au portefeuille, tout portefeuille dont elle a été communiquée doit être considéré comme compromis. Si vos identifiants fiscaux ont été saisis, changez votre mot de passe et consultez notre guide sur l'usurpation d'identité : que faire, dans quel ordre.
Gardez le courrier, puis signalez-le : Comment Ça Marche cite la plateforme Pharos, et Le Tribunal du Net le portail internet-signalement.gouv.fr du ministère de l'Intérieur. Nous avions déjà détaillé un autre piège qui joue sur l'urgence, avec l'arnaque WhatsApp « Votez pour Eliska ».
Photo : Claudio Schwarz / Unsplash
