Un faux courrier de la DGFiP piège des contribuables avec un QR code qui mène à un site de phishing. D'après le spécialiste en cybersécurité Sébastien Forte, les victimes figurent dans la récente fuite de données de Colis Privé.
Plusieurs destinataires ont récemment reçu un courrier qui reprend, et c'est à s'y méprendre, l'identité visuelle de la Direction générale des Finances publiques (DGFiP). La missive les invite à s'inscrire sur un faux portail des actifs numériques avant le 5 septembre 2026. Le spécialiste en cybersécurité et fondateur de FrenchBreaches, Sébastien Forte, qui a lancé l'alerte ce vendredi 4 septembre, a recoupé plusieurs témoignages et identifié un point commun, comme il le révèle à Clubic : les victimes figuraient toutes dans la fuite de données Colis Privé de janvier 2026, survenue après l'intrusion dans les systèmes dans la société de livraison, en fin d'année dernière.
Un courrier papier qui usurpe l'identité de la DGFiP et déjoue les radars anti-phishing
Le courrier, vous pouvez le constater, reprend assez fidèlement les codes visuels de la DGFiP. On retrouve le logo, le papier à en-tête, les formulations administratives, le style et la police d'écriture, à première vue. Il invoque la directive DAC8 sur la déclaration des actifs numériques et somme son destinataire de s'inscrire avant le 5 septembre 2026 sur un « portail des actifs numériques », sous peine d'une avalanche de sanctions. La pression est forte : amende par compte non déclaré, majoration de 40 à 80 % des droits éludés, intérêts de retard mensuels. Bref, de quoi faire paniquer n'importe quel contribuable pressé.
Contrairement aux tentatives de phishing classiques par e-mail ou au SMS, on pense notamment au fameux messages « Bonjour, c'est le livreur », le courrier papier traditionnel contourne par définition tous les filtres antispam du monde et la réécriture des liens habituellement déployés en entreprise. Et le piège prend définitivement forme sur le téléphone de la victime, au moment où elle scanne le QR code qui apparaît sur le courrier, loin de toute protection informatique.
C'est le spécialiste en cybersécurité et fondateur du site FrenchBreaches, Sébastien Forte, qui a révélé tout ça vendredi matin, après avoir recueilli notamment deux premiers témoignages similaires, l'un des lecteurs lui ayant transmis en message privé le site frauduleux, aussitôt signalé. Il nous explique avoir remarqué un point commun entre les victimes, c'est que toutes deux figuraient dans « la fuite de données de Colis Privé datant du début janvier 2026 », qui a touché plusieurs millions de personnes en France. En tout cas, vous aurez compris que cette campagne frauduleuse qui usurpe l'identité de la DGFiP n'a rien à voir avec les soucis cyber dernièrement rencontrés par cette même administration.
Un ciblage aléatoire, mais une menace bien réelle
On se pose tout de même une question : les fraudeurs choisissent-ils leurs cibles avec soin, en fonction des informations dont ils disposent des bases de données récupérées, ou se contentent-ils d'exploiter la base de données sans distinction ? Sébastien Forte, à qui nous avons posé la question, penche pour la seconde hypothèse. Selon lui, la répartition géographique des destinataires (bien réelle) ne laisse transparaître aucun critère de sélection particulier. En tout cas à ce stade.
« Pour le ciblage, les personnes viennent d'un peu partout en France », précise-t-il, ce qui suggère une opération d'une certaine ampleur, plutôt qu'une chasse méticuleuse à quelques profils précis. Une logique de volume, où la fuite Colis Privé aurait pu servir de réservoir d'adresses postales exploitables.
Le site frauduleux a depuis été signalé par Sébastien Forte, mais tout cela nous montre que les fuites de données, qu'elles datent d'il y a quelques semaines ou quelques mois, continuent d'alimenter des arnaques de plus en plus sophistiquées et imaginatives. Dans tous les cas, si vous recevez un courrier administratif un minimum suspect ou très inattendu, mieux vaut toujours vérifier ses informations directement sur impots.gouv.fr, plutôt que de scanner un QR code reçu par voie postale.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.