1. Que s’est il exactement passé ?
La Direction générale des Finances publiques a été victime d’un accès frauduleux à son système informatique à la fin du mois de juin 2026, puis lors de nouvelles intrusions en juillet. Le piratage aurait été rendu possible par une usurpation d’identité permettant à un attaquant d’accéder à un outil interne. L’affaire n’a été rendue publique qu’en août, lorsqu’un groupe de pirates a revendiqué l’opération et proposé des données à la vente.
La DGFiP assure que le site impots.gouv.fr et les espaces personnels des particuliers et des professionnels n’ont pas directement été compromis.
2. Combien de contribuables sont concernés par le piratage du fisc ?
Les premières investigations ont établi que les données d’environ 678 000 particuliers et entreprises avaient été exposées, selon les informations communiquées après la découverte de l’attaque. Les pirates ont affirmé avoir eu accès à un volume beaucoup plus important de données, sans que cette revendication ait été confirmée par les autorités.
L’enquête technique doit encore permettre de déterminer précisément l’étendue des consultations et des extractions réalisées.
3. Quelles données ont été volées ?
Les informations récupérées peuvent comprendre des éléments d’identité et de contact, comme le nom, l’adresse ou le numéro de téléphone, mais aussi certaines informations fiscales et administratives. Des données concernant des entreprises figurent également parmi les fichiers concernés.
À LIRE AUSSI : Cegedim : 15 millions de patients touchés par une fuite massive de données administratives
À ce stade, la DGFiP indique en revanche que les identifiants permettant de se connecter directement aux espaces personnels sur impots.gouv.fr n’ont pas été compromis.
4. Les pirates peuvent ils accéder à mon compte impots.gouv.fr ?
Pas avec les seules données dérobées lors de cette attaque, selon les informations actuellement disponibles. Les espaces Finances publiques n’ont pas été piratés et leurs identifiants de connexion ne font pas partie des éléments annoncés comme compromis.
Depuis 2025, la DGFiP utilise par ailleurs une double authentification : après la saisie du numéro fiscal et du mot de passe, un code de sécurité est envoyé par courriel avant l’accès au compte.
Cela ne dispense pas de modifier son mot de passe s’il est identique à celui utilisé sur d’autres services ayant pu être piratés.
5. Comment savoir si je fais partie des contribuables concernés ?
La DGFiP doit informer les personnes dont les données ont été compromises lorsque la violation présente un risque pour leurs droits et libertés. Il faut donc surveiller les communications officielles reçues de l’administration fiscale.
Une absence de message ne signifie toutefois pas qu’il faut ignorer les tentatives d’escroquerie. Les informations volées peuvent être utilisées pendant plusieurs mois pour rendre crédibles de faux courriels ou appels téléphoniques.
6. Quels sont les principaux risques après le piratage du fisc ?
Le premier risque est celui de l’hameçonnage. Un escroc disposant du nom, de l’adresse ou d’informations fiscales d’une victime peut fabriquer un message beaucoup plus convaincant qu’un simple spam. Il peut par exemple annoncer un remboursement d’impôt, une dette fiscale ou demander une prétendue vérification du dossier.
La DGFiP rappelle qu’elle ne demande jamais par courriel ou SMS les identifiants d’un contribuable ou son numéro de carte bancaire. Les campagnes promettant de faux remboursements sont déjà régulièrement utilisées pour récupérer des informations bancaires.
7. Comment reconnaître une arnaque utilisant les données volées ?
Le fait qu’un interlocuteur connaisse votre nom, votre adresse ou certaines informations exactes sur votre situation ne garantit plus son authenticité. C’est précisément ce qui rend une fuite de données dangereuse.
Il faut notamment se méfier d’un message demandant d’agir immédiatement, de cliquer sur un lien, de communiquer un mot de passe, un numéro de carte ou un code reçu par SMS. Les véritables adresses électroniques de la DGFiP utilisent le domaine « @dgfip.finances.gouv.fr » et les sites officiels de l’État se terminent par « .gouv.fr ».
À LIRE AUSSI : Cyberattaque : l’ANTS visée, des données personnelles d’usagers potentiellement exposées
En cas de doute, mieux vaut se connecter directement à impots.gouv.fr ou contacter son centre des finances publiques sans utiliser les coordonnées contenues dans le message reçu.
8. Que faire si je pense avoir été victime d’une fraude ?
Si vous avez simplement reçu un message suspect, ne cliquez sur aucun lien et ne transmettez aucune information. Si vous avez déjà communiqué un mot de passe, il faut le modifier immédiatement, en particulier s’il est utilisé sur plusieurs services.
En cas de transmission de coordonnées bancaires ou de validation d’une opération, il faut également contacter rapidement sa banque. Les tentatives d’escroquerie peuvent être signalées sur la plateforme officielle de signalement du gouvernement. La DGFiP conseille enfin de vérifier que son numéro de téléphone est bien renseigné dans son espace Finances publiques afin de renforcer la sécurité des procédures de récupération de compte.
