Pendant dix ans, la sensibilisation à la cybersécurité a porté sur l'email et le SMS. Le réflexe est désormais bien installé : « je ne clique pas sur les liens dans les mails ». Les escrocs l'ont compris, et ont changé de canal.
Cet été, un format s'est installé : le faux courrier papier. Une vraie lettre, dans votre vraie boîte, avec le logo d'une administration. Et un QR code imprimé en bas de page.
Le cas le plus abouti imite la DGFiP — les impôts. Une fausse « mise en demeure » vous somme de déclarer vos actifs numériques (cryptomonnaies) sous peine de 750 € d'amende par compte oublié, en scannant un QR code. Ce courrier n'a jamais été envoyé par la DGFiP.
Ce qui frappe, c'est le soin apporté à l'imitation : bloc « République française », devise républicaine, en-tête d'un « Service des Impôts des Particuliers » — et une adresse parfaitement réelle, celle du 139 rue de Bercy, 75572 Paris Cedex 12.
Le scénario type
Vous recevez une enveloppe à en-tête de la Direction générale des Finances publiques. À l'intérieur, une mise en demeure à votre nom et à votre adresse exacte, avec une référence de dossier plausible.
Le texte vous somme de régulariser la déclaration de vos comptes d'actifs numériques, sous peine de 750 € d'amende par compte non déclaré. Pour le faire, une seule voie : scanner le QR code.
La page qui s'ouvre est une copie du formulaire n° 2086 d'impots.gouv.fr, celui qui sert justement à déclarer les cessions d'actifs numériques. Le détail est redoutable : le formulaire existe vraiment, et l'obligation de déclarer ses comptes de cryptomonnaies aussi. Le prétexte est donc à moitié vrai — c'est ce qui le rend crédible.
Et c'est là que se joue l'essentiel : l'amende n'est pas l'objectif. Ce que l'escroc veut, ce sont vos identifiants d'espace fiscal et l'accès à vos avoirs — donc vos coordonnées bancaires, vos revenus, et de quoi usurper votre identité durablement.
Le détail qui trahit le faux
C'est le plus beau signal de toute cette affaire, et il tient en une ligne.
Le courrier se présente comme émanant d'un « Service des Impôts des Particuliers » situé 139 rue de Bercy, à Paris. Cette adresse est authentique : c'est celle du siège de la DGFiP.
Sauf qu'un service des impôts des particuliers est toujours un service local — le vôtre est dans votre département, jamais au siège parisien. Les escrocs ont copié l'adresse la plus facile à trouver en ligne, et se sont trahis en associant un échelon local à une adresse nationale.
Regardez votre dernier avis d'imposition : l'adresse de votre SIP y figure. Elle ne sera jamais celle de Bercy.
Pourquoi cette arnaque fonctionne si bien
Parce que le papier n'a jamais été remis en question. Les campagnes de prévention n'ont quasiment jamais parlé du courrier. Face à une enveloppe officielle, la vigilance construite depuis dix ans contre le phishing ne s'active tout simplement pas.
Parce que le QR code masque la destination. Un lien hypertexte, vous pouvez le survoler pour voir où il mène avant de cliquer. Un QR code, non : c'est un motif illisible pour un être humain. Vous ne découvrez l'adresse qu'une fois la page ouverte — c'est-à-dire trop tard pour décider. Le QR code ne contient rien de dangereux en soi ; sa force est de supprimer l'étape où vous auriez pu douter.
Parce que les données volées rendent la lettre crédible. Les fuites qui ont touché administrations et organismes ces derniers mois ont mis en circulation des noms, des adresses, parfois davantage. Autrement dit : la personnalisation est le nouveau papier à en-tête. Voir son nom et sa bonne adresse ne prouve plus rien du tout — cela prouve seulement que quelqu'un a acheté un fichier.
Un dernier élément mérite l'attention : imprimer et affranchir un courrier coûte cher. Si les escrocs y investissent malgré tout, c'est que le rendement est bon. Le taux de confiance accordé au papier reste très supérieur à celui d'un email.
La règle d'or
Ne scannez jamais un QR code venu d'un courrier que vous n'avez pas sollicité.
À la place, tapez vous-même l'adresse du site officiel dans votre navigateur — impots.gouv.fr, ameli.fr, service-public.fr — et connectez-vous à votre espace personnel. Si la demande est réelle, elle y figure. Une procédure fiscale est toujours visible dans votre messagerie sécurisée, quel que soit le canal par lequel on vous l'annonce.
Trois repères simples à mémoriser :
- La DGFiP ne demande jamais de démarche par QR code. Aucune exception : toutes les démarches passent par votre espace particulier sur impots.gouv.fr.
- Un Service des Impôts des Particuliers est toujours local. Une adresse parisienne de siège sur un courrier « SIP » est un faux.
- Tout paiement légitime aux impôts se fait depuis votre espace personnel, jamais depuis une page atteinte en scannant un code.
Vous pouvez signaler ces courriers sur cybermalveillance.gouv.fr, et sur la plateforme Phishing Initiative pour faire fermer la page piégée.
Et n'appelez surtout pas le numéro imprimé sur le courrier suspect : il mène à un complice, formé pour vous mettre en confiance. Le numéro de votre centre des finances publiques figure sur votre dernier avis d'imposition.
Vérifier ne veut pas dire examiner de plus près
C'est le point que nous voudrions que vous reteniez, bien au-delà de cette arnaque précise.
Face à un message suspect, le réflexe naturel est de l'examiner attentivement : le logo est-il conforme ? la typographie est-elle la bonne ? y a-t-il des fautes ? Ce réflexe est piégé. Un faux bien fait résiste à l'examen — il a été fabriqué pour cela. Plus vous le scrutez, plus il vous convainc.
Vérifier consiste à sortir du message et à aller chercher l'information par un chemin que vous choisissez vous-même : une adresse que vous tapez, un numéro que vous trouvez sur un document que vous possédez déjà.
Cette règle a un avantage décisif : elle fonctionne quel que soit le canal, y compris ceux qui n'existent pas encore.
Si vous avez déjà scanné le code
Si vous avez seulement ouvert la page sans rien saisir, le risque est faible : fermez-la.
Si vous y avez saisi vos identifiants, changez immédiatement votre mot de passe sur le vrai site, depuis un autre appareil si possible, et activez la double authentification. Surveillez votre compte bancaire et signalez l'incident sur cybermalveillance.gouv.fr. Si vous avez communiqué des coordonnées bancaires, prévenez votre banque sans attendre.
S'entraîner à repérer ces pièges
L'édition d'août de « L'arnaque du mois » sur Cyvio met ce courrier entre vos mains : vous décidez quoi en faire, et vous voyez où mène chaque choix. Cinq minutes.
Vous pouvez aussi tester gratuitement vos réflexes avec notre test anti-phishing, sans créer de compte.
L'équipe Cyvio