Une lettre imitant l’administration fiscale invite les détenteurs de cryptos à scanner un QR code. Plusieurs incohérences révèlent une probable tentative de phishing.
La fiscalité des crypto, prétexte pur arnaque
La fiscalité des cryptomonnaies se renforce réellement en France et en Europe. C’est précisément ce qui rend certaines arnaques particulièrement crédibles. Une lettre datée du 31 août 2026 et présentée comme émanant de la Direction générale des Finances publiques (DGFiP) prétend ainsi mettre en demeure son destinataire de régulariser ses obligations déclaratives concernant ses actifs numériques. Le document reprend le logo de la République française, l’adresse de Bercy, un vocabulaire administratif et de nombreuses références juridiques.
Mais derrière cette apparence officielle, plusieurs anomalies majeures doivent alerter. Le courrier cherche surtout à conduire son destinataire vers un prétendu « Portail des actifs numériques » accessible en scannant un QR code. Or le calendrier officiel de DAC8, les textes cités et le fonctionnement décrit dans cette lettre ne correspondent pas, sur plusieurs points essentiels, aux informations publiées par l’administration française.
Une lettre conçue pour ressembler à un courrier des impôts
Le procédé est redoutablement classique. Pour susciter la confiance, les auteurs reprennent les codes graphiques et administratifs de l’État : Marianne, devise républicaine, mention « Direction générale des Finances publiques », adresse du Service des impôts des particuliers, référence de dossier, objet administratif et formule de politesse. La lettre va jusqu’à mentionner des articles du Code général des impôts et la directive européenne DAC8.
Le courrier affirme que des informations transmises par des « prestataires de services sur actifs numériques (PSAN) enregistrés auprès de l’AMF » auraient permis à la DGFiP de constater que le contribuable a réalisé des opérations sur actifs numériques au cours des années d’imposition 2024 et 2025. Il est alors sommé de « régulariser » sa situation.
Le document introduit ensuite un prétendu « Portail des actifs numériques », présenté comme un service de la DGFiP permettant de rapprocher les comptes détenus sur différentes plateformes, l’historique des transactions et les déclarations fiscales. Pour y accéder, le contribuable devrait scanner un QR code avec son téléphone.
C’est précisément à cet endroit que le danger devient concret. Dans les campagnes de quishing – contraction de QR code et phishing –, le QR code permet d’envoyer la victime vers un site frauduleux sans que l’adresse de destination soit immédiatement visible sur le document papier. Une fausse interface peut ensuite chercher à récupérer des identifiants fiscaux, des informations personnelles ou bancaires, voire des informations permettant de cibler spécifiquement les détenteurs de cryptomonnaies.
DAC8 existe bien, mais le courrier mélange le vrai et le faux
La sophistication du document tient au fait qu’il s’appuie sur une réforme fiscale authentique. DAC8 n’est absolument pas une invention. Cette directive européenne renforce l’échange d’informations fiscales concernant notamment les crypto-actifs. En France, l’administration indique que les plateformes concernées doivent collecter et transmettre des informations sur leurs utilisateurs et leurs transactions réalisées à compter de 2026.
Le site officiel du ministère de l’Économie précise ainsi qu’à partir du 1er janvier 2026, les plateformes de crypto-actifs, y compris certaines plateformes situées hors de l’Union européenne servant des clients européens, sont soumises aux nouvelles obligations de collecte et de transmission d’informations. L’objectif est de renforcer la capacité des administrations fiscales à connaître les opérations réalisées par les contribuables.
Mais cette réalité rend d’autant plus suspecte l’affirmation de la lettre selon laquelle la DGFiP disposerait déjà, grâce à DAC8, d’informations concernant des opérations réalisées pendant les années 2024 et 2025. La documentation officielle de la DGFiP explique que DAC8 doit permettre aux États membres d’obtenir les informations des prestataires déclarants et de les échanger annuellement. Elle indique que ce dispositif d’échange entre en vigueur en 2027.
La DGFiP précise par ailleurs qu’elle pourra alors rapprocher les informations transmises des déclarations fiscales afin d’identifier d’éventuelles omissions. Autrement dit, le contrôle fiscal des crypto-actifs est bien appelé à devenir beaucoup plus efficace, mais le calendrier réel ne correspond pas au scénario exposé dans ce courrier.
Des références juridiques qui donnent une illusion de sérieux
Autre procédé particulièrement efficace : multiplier les numéros de textes. La lettre évoque la directive « 2023/2226/UE », qui correspond effectivement à DAC8. Mais elle affirme que cette directive aurait été « transposée par la loi n° 2024-537 du 12 juin 2024 ». Cette référence constitue un signal d’alerte important : présenter ainsi cette loi comme le texte de transposition de DAC8 ne correspond pas au cadre juridique officiel de la réforme.
Le document cite également le décret n° 2025-169 du 21 février 2025. Celui-ci existe réellement, ce qui peut rassurer une victime qui effectuerait une vérification rapide sur Google. Mais son intitulé officiel est « décret relatif aux marchés de crypto-actifs ». Le texte concerne notamment l’évolution du régime applicable aux prestataires dans le contexte du règlement européen MiCA. Il ne crée pas le mystérieux portail fiscal décrit dans la lettre.
Cette technique est fréquente dans les escroqueries élaborées : utiliser de vraies références dans un raisonnement faux. Un numéro de décret authentique ne suffit évidemment pas à rendre authentique le document qui le cite. Au contraire, les escrocs savent que peu de destinataires prendront le temps de lire le contenu du texte juridique invoqué.
La véritable documentation française relative au transfert d’informations CARF/DAC8 renvoie notamment aux articles 1649 AC bis à 1649 AC sexies du Code général des impôts ainsi qu’au décret n° 2025-1276 du 19 décembre 2025 concernant les obligations déclaratives et de diligence des prestataires de services sur crypto-actifs. Ce cadre officiel est sensiblement différent de celui présenté dans la lettre.
Urgence, sanctions et QR code : une mécanique classique de manipulation
La seconde moitié du courrier accumule les ressorts psychologiques destinés à pousser le destinataire à agir rapidement. Il lui est demandé de s’inscrire avant le 5 septembre 2026, soit quelques jours seulement après la date indiquée sur la lettre. Une note affirme que la réception de l’avis « exige une action immédiate ».
Vient ensuite une longue liste de conséquences menaçantes : suspension d’attestations fiscales, examen contradictoire, contrôle approfondi, amendes, majorations pouvant atteindre 80 % et intérêts de retard. Certaines références peuvent correspondre à de véritables mécanismes ou sanctions fiscales, mais leur juxtaposition dans ce contexte sert surtout à produire un effet d’autorité et d’urgence.
C’est une caractéristique fondamentale du phishing : la victime doit avoir suffisamment peur pour agir avant de vérifier. Le QR code placé dans un encadré « Comment s’inscrire » devient alors la porte de sortie offerte par l’escroc : menace d’un côté, solution simple et immédiate de l’autre.
Un autre détail est particulièrement révélateur. Le document mentionne une « déclaration de revenus 2042 C », mais la photographie montre que le texte semble indiquer « 2042 C » dans une phrase consacrée à la déclaration des actifs numériques, alors que les obligations déclaratives relatives aux comptes d’actifs numériques ouverts à l’étranger obéissent à des règles et formulaires spécifiques. Une formulation administrative approximative peut être un indice supplémentaire, même si elle ne doit jamais être utilisée seule pour conclure à une fraude.
Ne jamais scanner un QR code fiscal douteux
Face à un courrier de ce type, la première précaution consiste à ne pas scanner le QR code et à ne pas utiliser les coordonnées ou liens fournis par le document pour effectuer une vérification. Un fraudeur peut évidemment contrôler le site, le numéro de téléphone ou l’adresse électronique qu’il a lui-même inscrits sur son faux courrier.
Il faut partir d’un canal indépendant : saisir soi-même l’adresse officielle impots.gouv.fr dans son navigateur, se connecter à son espace particulier et vérifier ses messages. En cas de doute, il est également possible de contacter l’administration à partir des coordonnées publiées sur ses supports officiels. Le fait que le courrier mentionne lui-même impots.gouv.fr au bas de la page ne garantit en rien son authenticité.
Les détenteurs de cryptomonnaies doivent néanmoins éviter l’erreur inverse : considérer toute référence à DAC8 comme une arnaque. Le renforcement du contrôle fiscal des crypto-actifs est bien réel. La DGFiP indique elle-même que les contribuables concernés peuvent régulariser leur situation et invoquer, lorsque les conditions sont réunies, le droit à l’erreur. Mais une véritable obligation fiscale ne justifie jamais de transmettre des données sensibles à un site dont l’authenticité n’a pas été vérifiée.
Les détenteurs de cryptos constituent une cible particulièrement attractive
Cette campagne illustre une évolution préoccupante des fraudes : les escrocs ne se contentent plus nécessairement d’envoyer des courriels grossiers promettant un remboursement fiscal. Ils peuvent exploiter l’actualité réglementaire, copier la présentation des administrations et intégrer des références juridiques réelles afin de construire des scénarios beaucoup plus difficiles à détecter.
DAC8 offre malheureusement un prétexte idéal. Beaucoup d’investisseurs savent que les plateformes vont communiquer davantage d’informations aux administrations fiscales, sans nécessairement connaître les dates, les textes ou le détail des procédures. Un courrier affirmant que « les impôts savent » qu’ils possèdent des cryptos peut donc provoquer une inquiétude immédiate, notamment chez ceux qui craignent d’avoir mal rempli une déclaration.
Les informations recherchées pourraient par ailleurs avoir une valeur particulière. Identifier une personne comme détentrice de crypto-actifs permet de préparer d’autres attaques : faux conseiller, fausse plateforme, récupération de compte, fraude bancaire ou tentative de vol de cryptomonnaies. Dans cet univers, une simple collecte de données personnelles peut constituer la première étape d’une escroquerie beaucoup plus ambitieuse.
Cette fausse mise en demeure montre donc pourquoi la vigilance doit désormais porter non seulement sur l’adresse d’un site ou les fautes d’orthographe, mais aussi sur la cohérence juridique et chronologique du scénario présenté. Un courrier peut être graphiquement convaincant, citer une véritable directive européenne et un véritable décret tout en restant frauduleux.
