Oui. En août 2026, il y a bien eu une fuite de données touchant la DGFiP (les impôts), et l'affaire est plus complexe qu'une simple « fuite du site impots.gouv.fr ».
Ce qui s'est passé
La DGFiP a confirmé en août 2026 qu'un acteur malveillant avait obtenu un accès illégitime à son système d'information, puis avait consulté et extrait des données. L'intrusion initiale remonte à fin juin 2026 et a été rendue publique après une revendication du pirate le 12 août. Les investigations ont établi que l'attaquant avait utilisé des identifiants usurpés, notamment ceux d'un agent de la DGFiP combinés à ceux d'un tiers habilité par l'administration.
Combien de personnes sont concernées ?
La DGFiP a communiqué un ordre de grandeur d'environ 678 000 personnes et comptes, dont environ :
- 350 000 particuliers ;
- 250 000 comptes professionnels ;
- le reste correspondant à d'autres enregistrements concernés par l'extraction.
Il faut être prudent avec le chiffre de 678 000 : il correspond à des enregistrements/lignes de données et ne signifie pas nécessairement 678 000 personnes physiques distinctes.
Quelles données ont pu être exposées ?
Pour les particuliers concernés, l'attaquant a pu accéder à des informations fiscales protégées par le secret fiscal dont le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source et adresse et surface des biens immobiliers, ainsi qu'à des données personnelles permettant potentiellement de mieux cibler une victime. C'est justement ce qui rend cette affaire particulièrement préoccupante : les informations fiscales peuvent donner aux escrocs suffisamment de contexte pour réaliser des campagnes de phishing beaucoup plus crédibles, en se faisant passer pour les impôts, une banque, un organisme public, etc.
Et il y aurait d'autres incidents
L'affaire ne se limite pas à cette première intrusion. La DGFiP a également identifié d'autres accès illégitimes, notamment concernant une API cadastrale et, plus récemment, le portail des successions vacantes. Pour ce dernier, la DGFiP indique avoir interrompu l'accès le 17 août et l'analyse est encore en cours.
Pourquoi une fuite de données fiscales est-elle dangereuse ?
Parce que les données fiscales sont très crédibles et très personnelles.
Imaginez recevoir un SMS :
« Bonjour Madame Dupont, nous avons constaté une anomalie concernant votre prélèvement à la source. Votre taux actuel de 7,4 % doit être régularisé. »
Un message de ce type est normalement suspect. Mais si l'escroc connaît réellement :
- votre nom
- votre adresse
- votre revenu fiscal de référence
- votre taux de prélèvement
- votre situation familiale
le message peut sembler beaucoup plus authentique. C'est ce que l'on appelle une arnaque personnalisée ou une attaque par ingénierie sociale. La DGFiP considère elle-même que le principal risque réside désormais dans l'utilisation de ces informations pour des tentatives d'hameçonnage et d'escroquerie.
Le véritable danger : le phishing « sur mesure »
Une fuite de données ne sert pas uniquement à récupérer des mots de passe. Elle permet surtout de préparer une attaque. Un escroc peut par exemple utiliser les informations disponibles pour construire progressivement un scénario :
Données volées → identification de la victime → message personnalisé → création d'un sentiment d'urgence → récupération d'informations supplémentaires → fraude
Le pirate peut ensuite se faire passer pour :
- la DGFiP
- une banque
- une caisse de retraite
- un organisme social
- une compagnie d'assurance
- un fournisseur d'énergie
- un service administratif.
La victime est alors confrontée à un message qui contient suffisamment d'informations exactes pour donner une fausse impression de légitimité.
Attention aux appels téléphoniques
Le danger ne concerne pas uniquement les courriels. Une arnaque peut également commencer par un appel téléphonique. L'escroc peut dire :
« Je vous appelle concernant votre dossier fiscal. Pour vérifier votre identité, pouvez-vous me confirmer votre adresse et votre revenu fiscal de référence ? »
Le piège est particulièrement efficace parce que l'escroc connaît déjà certaines informations. La victime peut alors penser :
« Il connaît déjà mon dossier, donc c'est forcément quelqu'un des impôts. »
C'est précisément le raisonnement qu'il faut éviter.
Une information exacte ne prouve pas l'identité de votre interlocuteur.
Un escroc peut parfaitement connaître des informations personnelles vous concernant.
La DGFiP va-t-elle vous contacter ?
Oui. La DGFiP indique qu'elle contacte individuellement les particuliers et professionnels concernés par courriel ou par courrier, afin de préciser les données susceptibles d'avoir été consultées ou extraites et les mesures de vigilance à adopter. Si vous recevez un message vous informant que vos données sont concernées, restez néanmoins prudent.
Une communication officielle peut elle-même devenir un prétexte pour une seconde campagne de phishing.
Comment vérifier un message prétendant venir des impôts ?
La règle la plus importante est simple :
Ne faites pas confiance au lien contenu dans un message.
Si vous recevez un courriel ou un SMS vous invitant à consulter votre dossier fiscal :
- ne cliquez pas immédiatement sur le lien
- ne communiquez aucune information bancaire
- ne transmettez aucun mot de passe
- ne communiquez aucun code reçu par SMS
- ouvrez vous-même votre navigateur
- saisissez directement l'adresse officielle du site des impôts
- connectez-vous à votre espace par vos propres moyens (requête dans un moteur de recherche ou depuis les marque-pages de votre navigateur)
Cela permet de supprimer une grande partie du risque lié aux faux sites.
Attention aux faux remboursements d'impôts
C'est un scénario classique qui pourrait être particulièrement crédible après cette fuite. Vous pourriez recevoir :
« Votre déclaration fait apparaître un remboursement de 327,42 €. Cliquez ici pour confirmer vos coordonnées bancaires. »
Le message peut être personnalisé avec votre véritable nom ou d'autres informations réelles. Mais le lien peut conduire vers un faux site ressemblant parfaitement à celui des impôts. L'objectif sera alors de récupérer :
- votre numéro de carte bancaire
- votre IBAN
- vos identifiants
- un code de validation bancaire
- ou plusieurs de ces informations
Une fuite de données ne signifie pas automatiquement une fraude bancaire
Il est important de ne pas tomber dans l'excès inverse. Le fait que certaines données fiscales aient été exposées ne signifie pas que votre compte bancaire est directement accessible.
Toutefois, les banques prennent les devants et préviennent leurs clients.
La DGFiP indique que les identifiants et mots de passe des espaces fiscaux n'ont pas été compromis.
En revanche, les informations volées peuvent faciliter une attaque ultérieure.
Le danger est donc surtout indirect :
données fiscales → confiance → manipulation → récupération d'informations supplémentaires → fraude
Faut-il changer son mot de passe impots.gouv.fr ?
La DGFiP indique que les mots de passe des usagers n'ont pas été compromis dans cette intrusion.
Il n'est donc pas nécessaire de changer son mot de passe uniquement parce que cette fuite a eu lieu.
En revanche, si vous utilisez le même mot de passe sur plusieurs services, c'est une bonne occasion de vérifier vos pratiques.
Un mot de passe ne devrait jamais être réutilisé sur plusieurs sites.
Si un mot de passe est récupéré lors d'une autre fuite, les cybercriminels peuvent essayer de l'utiliser sur d'autres services : messagerie, achats en ligne, réseaux sociaux, banque, etc.
Faut-il surveiller son compte bancaire ?
Oui. C'est une bonne précaution générale, particulièrement si vous recevez des messages ou appels inhabituels. Surveillez notamment :
- les paiements inconnus
- les virements inhabituels
- les nouveaux bénéficiaires
- les demandes de validation inattendues
- les notifications bancaires que vous n'avez pas déclenchées.
Mais ne communiquez jamais un code de validation bancaire à une personne qui vous appelle.
Une banque peut vous demander de confirmer une opération dans son application, mais elle ne doit pas vous demander de lui dicter un code reçu par SMS ou affiché dans votre application. Ne validez pas une opération sur votre smartphone suite à l'injonction de quelqu'un au bout du fil. Vous risquez de valider un virement à votre insu.