Un courrier des impôts pour déclarer vos placements : le piratage du Fisc fait déjà des ravages en France

Un internaute français a reçu un faux courrier officiel de la Direction générale des Finances publiques (DGFiP), l'administration fiscale française. Ce courrier, conçu pour ressembler à une mise en demeure, porte l'objet alarmant : « Mise en demeure — Obligations déclaratives relatives aux actifs numériques ». Il mentionne une directive européenne appelée DAC8 (2023/2226/UE), transposée en France par la loi n° 2024-537 du 12 juin 2024. Cette directive impose aux particuliers de déclarer leurs opérations sur actifs numériques (comme les cryptomonnaies) via des prestataires enregistrés auprès de l'Autorité des Marchés Financiers (AMF). Le courrier exige une régularisation sous peine de contrôle fiscal et d'amende, avec une date limite fictive fixée au 5 septembre 2026. Ce type d'arnaque exploite la crédulité des citoyens en utilisant une identité visuelle officielle et un ton urgent pour les inciter à agir rapidement.

Pour tromper les victimes, les escrocs ont intégré un QR code dans le faux courrier, censé mener vers un portail officiel. En réalité, ce code redirige vers un site de phishing (hameçonnage) conçu pour voler les données personnelles et bancaires des victimes. L'objectif est de récupérer des informations sensibles comme les identifiants de connexion, les numéros de carte bancaire ou les mots de passe. Les arnaqueurs utilisent des techniques de social engineering (ingénierie sociale) pour créer un sentiment de panique, en évoquant des risques de contrôle fiscal ou de sanctions financières. Cette méthode n'est pas nouvelle, mais elle se complexifie avec l'utilisation de technologies comme l'intelligence artificielle pour imiter les documents officiels.

Les victimes ciblées par cette arnaque sont souvent celles dont les données ont été exposées lors de précédentes fuites. Dans le cas cité, la personne visée avait été touchée par la fuite de données de Ledger en 2020, une entreprise spécialisée dans les portefeuilles de cryptomonnaies. D'autres pourraient avoir été exposés par la récente fuite de données du Fisc (DGFiP), qui a concerné de nombreux Français. Ces fuites de données, qu'elles proviennent d'entreprises privées ou d'institutions publiques, sont régulièrement exploitées par les cybercriminels pour personnaliser leurs attaques et augmenter leur crédibilité.

Les conséquences de ce type d'arnaque peuvent être graves pour les victimes. Une fois leurs données personnelles ou bancaires récupérées, les escrocs peuvent usurper leur identité, effectuer des achats frauduleux, vider leurs comptes ou souscrire des crédits à leur insu. Les données volées peuvent également être revendues sur le dark web (partie cachée d'Internet) ou utilisées pour des attaques ultérieures, comme des demandes de rançon ou des fraudes à l'assurance. Les autorités fiscales rappellent que les particuliers ne doivent jamais répondre à ce type de courrier et doivent systématiquement vérifier l'authenticité d'un document officiel via les canaux officiels de l'administration.