Piratage DGFiP : vos données fiscales ont fuité

Le ministère de l'Économie et des Finances a confirmé le 14 août 2026 des accès illégitimes au système d'information de la Direction générale des Finances publiques, survenus en juin et juillet. Environ 678 000 particuliers et professionnels sont concernés. Les informations consultées relèvent de la situation fiscale et du patrimoine immobilier, pas des mots de passe ni des espaces personnels.

Ce que l'administration a reconnu, et dans quel ordre

La chronologie compte ici autant que les faits, parce qu'elle explique pourquoi vous découvrez peut-être l'affaire alors que vos informations circulent depuis des semaines. Les accès se sont produits en juin et juillet 2026. Ils ont été rendus publics à la mi-août, après qu'un acteur malveillant a revendiqué l'opération. Le communiqué du ministère de l'Économie et des Finances publié le 14 août 2026 décrit un accès obtenu par « usurpations d'identifiants d'un agent de la DGFiP et d'un tiers habilité », et fait état de 678 000 particuliers et professionnels concernés.

Cette précision sur le mode opératoire mérite d'être lue attentivement, car elle est rassurante sur un point et inquiétante sur un autre. Rassurante : votre propre compte n'a pas été forcé, votre mot de passe impots.gouv.fr n'est pas en cause, et changer vos codes ne vous protégera de rien puisque rien n'y a été pris. Inquiétante : l'intrus ne s'est pas présenté comme un intrus. Il s'est présenté comme un collègue. Une identité professionnelle légitime a servi de clé, ce qui signifie que les requêtes effectuées ressemblaient, du point de vue du système, à du travail normal.

De son côté, la Commission nationale de l'informatique et des libertés a été saisie. Dans sa communication du 18 août 2026 sur le piratage du système d'information des impôts, l'autorité indique avoir reçu la notification de violation le 14 août, détaille les catégories de données consultées et annonce des investigations sur le respect des obligations de sécurité. Une plainte a par ailleurs été déposée et des accès à des systèmes sensibles ont été coupés à titre préventif.

Quelles données ont fuité, et lesquelles n'ont pas fuité

Commençons par ce qui n'est pas concerné, parce que c'est la première question que tout le monde se pose en France dès qu'une administration financière est citée. Selon les éléments officiels publiés à ce jour, ni les coordonnées bancaires, ni les identifiants et mots de passe des particuliers et des professionnels, ni les espaces Finances publiques eux-mêmes n'ont été compromis. Aucun prélèvement frauduleux ne peut donc découler mécaniquement de cet incident, contrairement à ce qui s'était joué lors de l'exposition d'IBAN de clients d'un opérateur télécom que nous avons analysée.

Ce qui a été consulté relève en revanche d'une catégorie que l'on sous-estime largement :

• Le revenu fiscal de référence : l'agrégat qui sert de repère à l'administration pour vos droits et vos contributions. C'est, en pratique, l'indicateur de niveau de vie le plus fiable qui existe sur vous, parce qu'il est déclaré et vérifié.
• Le quotient familial : il traduit la composition de votre foyer. Il indique si vous vivez seul, en couple, avec des enfants à charge, et combien.
• Le taux de prélèvement à la source : un chiffre que vous ne communiquez à personne et qui, précisément pour cette raison, fait office de preuve d'authenticité dans un message frauduleux.
• Les données cadastrales : adresses et surfaces de biens immobiliers. Autrement dit, non seulement où vous habitez, mais ce que vous possédez et sa taille.
• Pour les professionnels : raison sociale et numéro SIREN, associés à la situation fiscale de la structure.

Pourquoi une donnée fiscale n'est pas une donnée comme une autre

Il existe une hiérarchie implicite dans la manière dont nous réagissons aux fuites. Un mot de passe exposé provoque une réaction immédiate. Un revenu fiscal de référence exposé provoque un haussement d'épaules. Cette hiérarchie est exactement inversée par rapport à la réalité du risque, et il vaut la peine de comprendre pourquoi.

Prenez l'image d'une serrure et d'un plan d'appartement. Un mot de passe, c'est la serrure : si quelqu'un en obtient la copie, vous en changez, et la copie devient un morceau de métal inutile. Vos données fiscales, elles, constituent le plan de l'appartement. Il indique combien de pièces, quelle surface, combien d'occupants, quelle valeur. Vous ne pouvez pas le modifier, il reste exact pendant des années, et il ne sert pas à entrer par la porte : il sert à décider si l'effraction en vaut la peine, et par où commencer.

Concrètement, ce lot permet deux opérations que les fichiers de fuite habituels ne permettent pas.

La première est le ciblage par solvabilité. Une base d'adresses e-mail classique oblige l'escroc à envoyer des millions de messages pour trouver quelques personnes disposant de moyens. Ici, le tri est déjà fait, et il est fait par l'administration fiscale elle-même. Un fraudeur cherchant des victimes pour une fausse offre de placement, un faux investissement immobilier ou une prétendue régularisation coûteuse peut sélectionner en amont les profils dont les revenus déclarés et le patrimoine immobilier rendent l'opération rentable. Il ne perd plus de temps sur les autres.

La seconde est la preuve d'appartenance. Un message frauduleux échoue quand rien n'y démontre que son auteur vous connaît. Un message qui mentionne votre taux de prélèvement à la source exact, ou la surface du bien dont vous êtes propriétaire, franchit cette barrière instantanément. Non pas parce que le lecteur vérifie, mais parce qu'il se dit qu'un inconnu ne pourrait pas savoir cela. C'est ce raisonnement, et non un défaut d'attention, qui rend ces campagnes efficaces. Nous avions décrit le même mécanisme à propos du faux conseiller bancaire : la crédibilité ne vient pas de la mise en scène, elle vient des détails exacts.

Comment savoir si vous êtes concerné

Il n'existe pas d'outil public permettant de tester soi même son numéro fiscal. L'information vient de l'administration, qui contacte directement les personnes dont les données ont été consultées, par courrier électronique ou par voie postale, en précisant quelles catégories d'informations les concernant ont été touchées. C'est une bonne pratique de notification, et c'est aussi, malheureusement, un gabarit que les escrocs vont copier.

Quatre repères permettent de distinguer une notification authentique d'une imitation :

• Aucun lien à cliquer n'est nécessaire : pour consulter votre situation, tapez vous-même l'adresse impots.gouv.fr dans votre navigateur ou passez par un favori que vous avez créé. Une notification légitime ne perd rien à être vérifiée de cette manière.
• Aucune identification n'est demandée par message : on ne vous réclamera ni numéro fiscal, ni mot de passe, ni pièce d'identité en réponse à un courriel de notification.
• Aucune coordonnée bancaire n'est à communiquer : un incident de sécurité ne donne jamais lieu à une demande d'IBAN, ni à un remboursement à débloquer, ni à un virement de mise en sécurité. C'est le scénario le plus prévisible des semaines à venir.
• L'urgence est un signal, pas un contexte : un message qui vous accorde quelques heures pour agir vous demande en réalité de ne pas réfléchir. Aucune procédure administrative ne fonctionne ainsi.

Reste une question que la notification officielle ne traitera pas : cet incident n'est pas isolé, et votre adresse e-mail figure probablement déjà dans d'autres lots plus anciens qui se combinent avec celui-ci. Notre scan approfondi gratuit dresse la liste des fuites connues dans lesquelles votre adresse apparaît, ce qui vous indique quel niveau de détail un fraudeur peut déjà réunir sur vous avant même d'exploiter les données fiscales.

Les trois scénarios de fraude à anticiper

Anticiper n'est pas prédire. Il s'agit de reconnaître une trame quand elle se présentera, dans six semaines ou dans six mois, alors que cet article sera oublié.

1. Le faux remboursement d'impôt

C'est le classique du genre, et il devient redoutable avec ces données. Le message annonce un trop-perçu à vous restituer, mentionne un montant plausible au regard de votre situation réelle, et vous invite à confirmer vos coordonnées bancaires pour percevoir la somme. La promesse d'argent désarme la vigilance bien plus efficacement que la menace. Retenez la règle : l'administration fiscale ne vous demande jamais votre IBAN par message ou par téléphone pour vous rembourser, et ne vous demandera jamais un virement vers un autre compte, y compris présenté comme un compte de mise en sécurité.

2. Le faux agent des Finances publiques au téléphone

Cette variante combine les données fiscales et l'usurpation du numéro d'appel. L'interlocuteur cite votre situation familiale, votre commune, éventuellement votre bien immobilier, et annonce une régularisation ou un contrôle. L'objectif est d'obtenir un paiement rapide ou la validation d'une opération dans votre application bancaire. Si un appel de ce type survient, raccrochez et rappelez vous-même le service concerné en composant un numéro que vous avez trouvé par vos propres moyens, jamais celui fourni par l'appelant.

3. La sollicitation patrimoniale sur mesure

Plus discrète, elle vise les profils identifiés comme propriétaires ou disposant de revenus confortables. Elle prend la forme d'un conseil en défiscalisation, d'une offre de placement présentée comme réservée, ou d'une proposition d'investissement immobilier. Rien n'y ressemble à une arnaque au premier abord, et c'est justement le problème. En cas de doute sur un intermédiaire financier, vérifiez son enregistrement auprès des autorités compétentes avant tout engagement, et méfiez-vous de toute offre arrivant sans que vous l'ayez sollicitée.

Sept réflexes utiles, dans l'ordre où ils comptent

Vous ne pouvez pas récupérer des données déjà extraites. Vous pouvez en revanche réduire ce qui reste exploitable et repérer les tentatives d'exploitation. Voici la marche à suivre, du plus immédiat au plus structurel.

• 1. Vérifiez si vous avez reçu une notification : consultez vos courriels, y compris le dossier indésirables, et votre courrier postal. Ne répondez pas au message, connectez-vous à votre espace en tapant l'adresse vous-même.
• 2. Relevez vos comptes bancaires sur trois mois : l'incident n'expose pas d'IBAN, mais un contrôle des petits montants inhabituels reste la meilleure détection précoce d'une fraude en cours, quelle qu'en soit l'origine.
• 3. Activez l'authentification à deux facteurs partout où c'est possible : sur votre messagerie principale en priorité, car c'est elle qui permet de réinitialiser tout le reste.
• 4. Adoptez la règle du rappel : tout appel évoquant vos impôts, votre banque ou votre patrimoine se termine par un raccroché suivi d'un rappel vers un numéro officiel vérifié par vous.
• 5. Conservez les preuves : captures d'écran, en-têtes de messages, horodatage des appels. Ces éléments servent en cas de signalement ou de réclamation ultérieure.
• 6. Signalez les tentatives : les messages frauduleux peuvent être signalés aux dispositifs publics prévus à cet effet. Un signalement individuel alimente la détection collective.
• 7. Réduisez le reste de votre exposition : vous ne maîtrisez pas les fichiers de l'administration, mais vous maîtrisez ceux des acteurs commerciaux qui détiennent une fiche à votre nom. C'est la seule partie de l'équation sur laquelle vous gardez la main.

Vos droits, et leurs limites réelles

Le RGPD vous ouvre plusieurs voies, dont il faut connaître la portée exacte pour ne pas se tromper de démarche.

Le droit d'accès (article 15) vous permet de demander quelles informations vous concernant ont été traitées, et de faire préciser ce qui a été affecté par la violation. Le droit à l'information sur la violation (article 34) impose au responsable de traitement de communiquer aux personnes concernées, en termes clairs, la nature de l'incident et les mesures recommandées, lorsque le risque est élevé. C'est ce que la démarche de notification individuelle met en œuvre.

En revanche, le droit à l'effacement (article 17) ne s'applique pas ici comme il s'applique à un fichier commercial. Les traitements fiscaux reposent sur une obligation légale, et vous ne pouvez pas exiger la suppression de votre dossier auprès de l'administration. C'est une distinction importante, et elle éclaire une réalité inconfortable : la partie de votre empreinte numérique que vous pouvez véritablement faire disparaître est la partie commerciale. Nos modèles de courrier fondés sur l'article 17 visent ces acteurs-là, pas les administrations.

Enfin, vous pouvez adresser une réclamation à la CNIL si vous estimez que vos droits n'ont pas été respectés. L'autorité a annoncé des vérifications sur cet incident. Une réclamation individuelle ne vous apporte pas de réparation directe, mais elle documente le dossier. Si vous constatez une utilisation frauduleuse de votre identité, la priorité change de nature et devient une course contre la montre, que nous avons détaillée dans notre guide des 48 premières heures après une usurpation d'identité.

Ce qui reste sous votre contrôle

Il serait malhonnête de prétendre qu'un service privé peut annuler les effets d'une fuite survenue chez l'État. Personne ne le peut. Ce qui reste possible est plus modeste et plus utile : agir sur le reste du dossier que les fraudeurs assemblent sur vous.

Car un fichier fiscal seul ne suffit pas à monter une escroquerie convaincante. Il faut y adjoindre un numéro de téléphone à jour, une adresse électronique active, une idée de votre âge et de vos habitudes de consommation. Ces éléments-là ne viennent pas du fisc. Ils viennent des bases commerciales, des courtiers de données et des anciennes fuites accumulées au fil des années, comme nous l'avons montré en détaillant le circuit de revente des données personnelles en France. C'est le maillon accessible de la chaîne, et le fait qu'il soit accessible en fait le bon endroit où agir.

EffaceData travaille précisément sur ce périmètre : identifier les courtiers susceptibles de détenir une fiche à votre nom, formuler et suivre les demandes d'effacement fondées sur l'article 17, surveiller l'apparition de vos informations dans les fuites publiées, et vous alerter quand un nouveau lot vous concerne. Retirer votre numéro de téléphone et votre adresse des bases commerciales ne fera pas disparaître votre revenu fiscal de référence des mains d'un attaquant. Cela le prive en revanche du canal par lequel il comptait vous joindre.

Avertissement : Ceci n'est pas un conseil juridique. Cet article est fourni à titre d'information en cybersécurité et reflète les éléments publiés par les autorités concernées à la date du 20 août 2026. Les périmètres annoncés, les volumes et les catégories de données peuvent être précisés ou révisés par les communications officielles ultérieures. Les modalités d'exercice des droits et les voies de recours peuvent évoluer. Pour votre situation personnelle, rapprochez-vous d'un professionnel du droit ou des services officiels compétents.