Le 12 août, ce cybercriminel a revendiqué sur un forum l’extraction de 678 438 lignes de données depuis le système de la Direction générale des finances publiques. Le 14 août, Bercy a confirmé l’intrusion. Le 15 août, le parquet de Paris a ouvert une enquête. Ce dimanche, la DGFiP commence à envoyer des mails individuels aux personnes concernées. Si vous en recevez un, ne paniquez pas, mais ne l’ignorez pas non plus. Voici exactement ce qui a fuité, ce qui n’a pas fuité, et les gestes qui vous protègent.
Ce qui a été volé (et ce qui ne l'a pas été)
L’intrusion a eu lieu fin juin et début juillet 2026. Le pirate a usurpé les identifiants de deux comptes légitimes, celui d’un agent de la DGFiP et celui d’un tiers habilité à accéder au système, pour se connecter au système d’information de l’administration fiscale, rapporte Clubic citant le communiqué du ministère de l’Économie. La DGFiP a coupé ces accès dès la détection d’activités suspectes, fin juin. Mais le mal était fait : des données avaient déjà été extraites. Ce qui a fuité, selon les informations publiées par le pirate et confirmées par la DGFiP : noms, prénoms, dates et lieux de naissance, adresses postales et d’imposition, adresses e-mail, numéros de téléphone et situation familiale (célibataire, marié, pacsé), rapporte Univers Simu et Clubic.
Ce qui n’a pas fuité, et c’est crucial : vos identifiants et mots de passe impots.gouv.fr ne sont pas compromis. Vos coordonnées bancaires (RIB, IBAN) n’apparaissent pas dans les données revendiquées. Vos montants d’imposition et vos revenus déclarés non plus. Il n’est donc pas nécessaire de changer votre mot de passe impots.gouv.fr dans l’immédiat, ni de contacter votre banque en urgence, précise Clubic. En revanche, les données volées sont exactement celles dont un escroc a besoin pour monter une arnaque crédible. Votre nom, votre adresse, votre situation familiale, votre e-mail : c’est la matière première du phishing, ces faux mails ou SMS qui imitent l’administration fiscale pour vous soutirer vos identifiants bancaires ou vos coordonnées de carte bleue.
Le mail de la DGFiP : comment le distinguer d'une arnaque
C’est le piège dans le piège. La DGFiP a annoncé qu’elle enverrait un mail individuel à chaque contribuable concerné, « précisant les données susceptibles d’avoir été consultées ou extraites et les mesures de vigilance à adopter », rapporte Univers Simu. Mais dans les jours qui suivent une fuite de données de cette ampleur, les campagnes de phishing explosent systématiquement. Des escrocs vont envoyer de faux mails imitant la DGFiP, avec pour objet « alerte sécurité impots.gouv.fr » ou « vos données ont été compromises, cliquez ici ». Et beaucoup de gens cliqueront.
Le réflexe à avoir est simple et non négociable : ne cliquez jamais sur un lien dans un mail qui vous demande de vous connecter à impots.gouv.fr. Allez-y directement en tapant l’adresse dans votre navigateur. Si le mail est authentique, vous retrouverez l’information dans votre espace personnel. Pour vérifier l’authenticité d’un mail de la DGFiP, Clubic rappelle que l’adresse de l’expéditeur doit appartenir au domaine @dgfip.finances.gouv.fr. Toute autre adresse est suspecte. Mais attention : ce seul critère ne suffit pas, car les adresses d’expédition peuvent être falsifiées. Le seul réflexe vraiment sûr reste de ne jamais utiliser un lien reçu par mail pour accéder à un site de l’administration. Tapez l’adresse vous-même. Toujours.
Ce que vous devez faire concrètement dans les prochains jours
Première chose : ne rien faire dans la panique. Vos impôts ne sont pas en danger. Votre argent n’est pas menacé directement. Ce qui est menacé, c’est votre vigilance dans les semaines et les mois qui viennent, parce que les données volées vont servir à fabriquer des tentatives d’arnaque très personnalisées. Deuxième chose : renforcez votre vigilance sur les mails, SMS et appels téléphoniques qui utilisent des informations personnelles ou fiscales pour inspirer confiance. Un escroc qui connaît votre nom, votre adresse et votre situation familiale peut se faire passer pour votre centre des impôts avec une précision redoutable. Ne communiquez jamais un code reçu par SMS, ne rappelez jamais un numéro donné dans un mail, et raccrochez si quelqu’un se présentant comme un agent des impôts vous demande vos coordonnées bancaires par téléphone. L’administration ne le fait jamais.
Troisième chose : si vous recevez un mail suspect imitant les impôts, signalez-le sur la plateforme signal-spam.fr ou transférez-le à phishing-initiative@orange.fr. Et si vous pensez avoir cliqué sur un lien frauduleux ou communiqué des informations sensibles, rendez-vous immédiatement sur cybermalveillance.gouv.fr pour obtenir de l’aide. Quatrième chose, et celle-ci concerne la confiance : c’est la deuxième fuite touchant la DGFiP en six mois. En février, l’intrusion dans le fichier FICOBA avait potentiellement exposé 1,2 million de comptes bancaires. Aujourd’hui, 678 000 contribuables sont touchés. La question n’est plus de savoir si vos données fiscales finiront sur un forum de hackers. C’est de savoir quand. Et de s’y préparer.
