[Gouv.FR] Protégez votre compte : anatomie d'une arnaque qui voulait mon Ledger (que j'ai pas)

Jeudi, 14 h 14, un SMS du « Gouv.FR » s'inquiète pour la sécurité de mon compte, trois clics plus tard, l'État français me demande poliment de brancher mon Ledger pour « vérifier mes actifs », récit d'un entonnoir à cryptos, et de tout ce qu'il révèle.

J'aime bien quand l'arnaque prend la peine de se présenter, jeudi, à 14 h 14, mon téléphone vibre. L'administration fiscale, ce modèle de communication instantanée, m'écrit par SMS depuis un numéro en 06 pour me protéger de moi-même. Comme je n'ai pas de Ledger, pas de fortune crypto, et un jeudi soir à tuer, j'ai fait ce qu'un analyste fait de mieux. J'ai déroulé le fil jusqu'au bout, avec des données bidon, pour voir où ça menait. Spoiler, ça mène à mon portefeuille, enfin plutôt, à celui que je n'ai pas.

01Le SMS : l'État vous écrit d'un portable

Tout est là, condensé en deux lignes, le préfixe [Gouv.FR] entre crochets pour faire officiel. L'urgence douce (« dès maintenant »), et surtout, l'expéditeur, un numéro de mobile personnel, +33 6 32 61 0* **. La Direction générale des Finances publiques, cette institution qui met trois semaines à traiter un courrier recommandé, m'envoie donc un texto depuis un forfait prépayé un jeudi après-midi. Vraisemblable.

Le lien, lui, ne s'embarrasse pas de subtilité. Ça donne portal-gouv.com, retenez cette adresse, c'est la seule chose qui compte dans toute cette histoire.

02Le décor : un domaine louche, une infra jetable, un reCAPTCHA de théâtre

C'est le détail qui tue, et il tient en une règle. Seul le domaine .gouv.fr appartient à l'État. portal-gouv.com, impots-gouv-fr.com, gouv-securite.net et toute la ménagerie sont des noms de domaine que n'importe qui achète pour douze euros. Le mot « gouv » dans l'URL ne veut rien dire. C'est ce qu'il y a après le dernier point qui compte.

Et si le nom ne suffit pas, un coup de whois achève le portrait, le domaine a été enregistré le 22 juillet 2026, soit la veille du SMS. Un service public vieux de vingt-quatre heures, poussé chez un registrar anonyme (OwnRegistrar) pour un an tout rond, sur des serveurs DNS DNSPod (Tencent). Bref, l'infrastructure jetable typique. On enregistre, on arnaque quelques jours, on jette avant que les signalements ne rattrapent le domaine. La République française, elle, n'a pas renouvelé impots.gouv.fr hier soir.

Et pour finir de planter le décor, l'adresse IP 37.77.150.237 appartient à Proton66 (AS198953, LLC Baxet), un hébergeur russe basé à Zelenograd, dans la banlieue de Moscou. Proton66 est un habitué des rapports de threat intel, le genre d'AS « bulletproof » réputé pour fermer les yeux, où prospèrent phishing, drainers et serveurs de contrôle. Résumons. Un « portail des impôts français », enregistré la veille, dont la langue s'adapte à votre IP, hébergé sur la même infrastructure que la pègre du web. Tout va bien.

Avant de vous laisser entrer, le site vous fait cocher « I'm not a robot ». Touchante attention. En réalité ce sas remplit deux fonctions. Il ajoute une couche de légitimité (« un vrai site sérieux, ça a un CAPTCHA »), et il filtre les bots des chercheurs et des sandboxes qui scannent les URL de phishing. Le fichier s'appelle littéralement validate-nohuman.php. L'ironie était déjà dans le code source.

03Le faux impots.gouv.fr : on ne vous taxe pas, on vous évalue

Là, le travail est soigné. Logo République Française, marque impots.gouv.fr, mise en page crédible, et surtout une avalanche de références juridiques (article 150 VH bis du CGI, formulaire 2086, sanctions de l'article 1741) pour activer la seule chose qui fait cliquer plus vite que la cupidité, la peur. « Toute omission expose à des sanctions pouvant aller jusqu'à 80 % des droits éludés… ainsi qu'à des poursuites pénales. »

Mais lisez les questions. « Depuis combien de temps utilisez-vous les cryptomonnaies ? » « Avez-vous investi plus de 10 000 € au total ? » « Combien de plateformes utilisez-vous ? » Aucune de ces questions n'a le moindre intérêt fiscal. Elles ont un intérêt commercial. Elles répondent à une seule vraie question, côté escroc. Est-ce que ce pigeon vaut la peine qu'on se donne du mal ?

04L'inventaire : votre liste de courses, dressée par vos soins

On passe aux choses sérieuses. Étape 2, on vous fait cocher vos plateformes dans un catalogue soigneusement mis à jour, Binance, Kraken, Coinbase, Revolut, Trade Republic, et cinquante autres. Étape 3, rebelote avec les wallets non-custodiaux, Ledger, Trezor, MetaMask, Exodus… Vous êtes en train de remplir, gratuitement et de bonne grâce, la fiche de renseignement idéale sur votre patrimoine numérique.

05Les coordonnées : « la transmission est cryptée, conformément au RGPD »

Étape 4, la moisson de données personnelles, emballée dans une phrase que seul un escroc peut écrire sans rire. « Toutes les informations doivent être exactes. La transmission est cryptée conformément à la réglementation en vigueur (RGPD et loi Informatique et Libertés). » Un voleur qui vous rassure sur le respect de votre vie privée. J'ai donc rempli le formulaire avec le sérieux qu'il méritait, un nom de Schtroumpf et une adresse e-mail en .cum. Le site n'a pas bronché.

06Le vrai piège : « connectez votre wallet, c'est en lecture seule »

Et voilà le cœur du réacteur. Après vous avoir mis en condition pendant quatre étapes, on vous demande de connecter votre portefeuille pour « vérifier vos actifs ». La phrase à retenir, parce que c'est le mensonge central de toute l'opération. « Seul un accès en lecture seule est établi et l'accès à vos fonds est techniquement impossible. »

C'est faux. WalletConnect n'a pas de mode magique « lecture seule qui protège vos fonds ». Une fois la connexion établie, le site pousse une demande de signature. Et une signature, sur le bon smart contract, c'est une autorisation de transfert. Ces kits, les drainers, ne cherchent même plus votre phrase de récupération. Ils vous font signer vous-même le siphonnage. Vous cliquez « Confirmer », le wallet se vide.

07C'est nouveau ? Non. Et c'est bien ça le problème

Rassurez-vous, ou pas, je n'ai rien découvert. Ce scénario du faux fisc européen qui débouche sur un drainer crypto est documenté noir sur blanc par Group-IB sous le nom « Declaration trap », et il s'appuie sur des kits de drainer bien connus (famille Inferno Drainer). La version française circule depuis des mois. La DGFiP et plusieurs médias spécialisés ont déjà alerté sur ces SMS « déclarez vos cryptos ou majoration de 40 % ».

Ce qui rend cette instance remarquable, ce n'est donc pas l'idée, c'est le soin apporté. Le tunnel en cinq étapes, le profilage progressif, l'habillage juridique, l'intégration WalletConnect/Reown. On est passé du gros SMS plein de fautes d'orthographe au parcours utilisateur digne d'une vraie fintech. La marche à franchir pour la victime n'a jamais été aussi basse.

08Reconnaître, et se protéger

• Le domaine, toujours le domaine. L'État, c'est .gouv.fr et rien d'autre. portal-gouv.com, -gouv-fr.com, gouv.co, à la poubelle. Regardez ce qui précède le dernier point, pas le mot « gouv ».
• On ne « déclare » pas ses cryptos en cliquant sur un SMS. La déclaration d'actifs numériques passe par le formulaire 2086, dans votre déclaration de revenus, sur votre espace impots.gouv.fr, jamais via un lien reçu par message.
• Un service public ne vous demandera JAMAIS de connecter un wallet ni de signer une transaction. « Vérifier vos actifs » en branchant votre Ledger, ça n'existe pas. C'est le signal d'alarme ultime, fermez l'onglet.
• « Lecture seule », « aucune transaction possible », c'est un mensonge. Connecter un wallet et signer, c'est autoriser un transfert. En cas de doute sur une signature, refusez.
• La peur est l'outil. Les menaces de 80 %, de poursuites pénales, de délais de 24 h sont là pour court-circuiter votre réflexion. L'urgence est le déguisement préféré de l'arnaque.
• Dans le doute, tapez l'adresse vous-même (ou passez par un signet) et vérifiez sur votre espace. Ne rappelez pas le numéro, ne cliquez pas le lien. Signalez au 33700 (spam SMS) et sur cybermalveillance.gouv.fr.

09Indicateurs (IOC)

Quant à moi, je me suis arrêté pile à la fenêtre de connexion. Pas par prudence héroïque, simplement parce qu'il n'y avait rien à brancher. Pas de Ledger, pas de compte à gâcher. Le meilleur pare-feu contre un voleur de cryptomonnaies, finalement, c'est encore de ne pas en avoir.