La police nationale a lancé l'alerte le jeudi 29 octobre sur le réseau social X : des escrocs se font passer pour la Direction générale des finances publiques et envoient de faux courriers contenant un QR code ou un lien frauduleux. Depuis, l'avertissement a fait le tour de la presse.

Le document publié par la police est daté du 28 septembre et prend la forme d'une mise en demeure. Il somme son destinataire de régulariser ses obligations déclaratives sur les actifs numériques, en clair ses cryptomonnaies, en s'appuyant sur une vraie directive européenne, la DAC8. Le QR code était à scanner avant le 29 octobre, le jour même où la police a donné l'alerte. Ce n'est d'ailleurs pas la première vague : un courrier daté du 31 août circulait déjà à la fin de l'été, avec la même mise en demeure et une autre date limite.
 

Que se passe-t-il quand on scanne ? Le code mène vers un faux site qui imite celui des impôts. La victime y est invitée à renseigner ses identifiants fiscaux puis la phrase de récupération de son portefeuille de cryptomonnaies, cette suite de mots qui sert de clé d'accès. Une fois transmise, elle permet aux escrocs de prendre le contrôle des cryptomonnaies qui y sont conservées.

Mais ceux d'entre nous qui ne possèdent pas de bitcoin ne sont pas hors de portée. Le faux site cherche aussi à récupérer vos identifiants fiscaux et d'autres informations confidentielles, alors que l'administration fiscale ne demande jamais les identifiants de connexion à l'espace personnel. La police donne deux premières consignes : ne scannez pas de QR code suspect, et ne communiquez jamais votre phrase de récupération.
 

Or cette alerte circule au moment précis où les vrais avis de taxe d'habitation partent. Cette taxe ne frappe plus que les résidences secondaires, et le calendrier publié par le site impots.gouv.fr est précis : les avis papier des contribuables non mensualisés sont remis à la Poste entre le 5 et le 16 novembre. Pour les mensualisés, ils le seront entre le 19 et le 26 novembre. Le paiement devra intervenir avant le 15 décembre, ou jusqu'au 20 décembre en ligne.

Sauf que ces avis peuvent eux aussi porter un code carré. Un avis de 300 euros au plus peut se régler en espèces ou par carte chez un buraliste agréé, à condition de mentionner ce service et de comporter un QR code. Au-delà, le paiement dématérialisé est obligatoire et le code, s'il figure sur l'avis, sert à payer depuis l'application officielle impots.gouv. Si vous possédez une maison de campagne, vous pourriez ainsi trouver dans la même semaine deux courriers des impôts avec un QR code, l'un authentique, l'autre piégé.
 

Le tri se fait sur ce qu'on vous demande, pas sur la présence du code. Un vrai avis de taxe d'habitation vous présente une somme due à votre nom, avec une date limite. Le faux courrier, lui, vous somme de vous inscrire sur un portail et de déclarer vos avoirs sous peine de sanction, ce qu'un avis d'impôt ne vous demande pas. Pour ma part, je ne lirais jamais le code d'un courrier des impôts avec l'appareil photo de mon téléphone. Nous avons deux voies sûres pour le faire : le terminal du buraliste, ou l'application impots.gouv que l'on ouvre soi-même.

Et en cas de doute, mieux vaut taper vous-même l'adresse impots.gouv.fr dans votre navigateur et vérifier dans votre espace personnel si un avis vous attend. Si le code a déjà été scanné sans que rien ne soit saisi, aucune donnée n'est partie. Si vous avez tapé votre phrase de récupération, considérez le portefeuille comme compromis et transférez immédiatement les fonds vers un nouveau portefeuille, créé sur un appareil sain. Si vous avez entré vos identifiants, changez sans attendre votre mot de passe impots.gouv, ainsi que celui des autres comptes qui utilisent le même. Gardez enfin l'enveloppe avec la lettre : ce sont les seules preuves matérielles de l'envoi, et elles vous serviront si vous décidez de porter plainte.