Fuite de données aux impôts : distinguer le vrai message des arnaques

Mi-août 2026, la Direction générale des Finances publiques (DGFiP) a confirmé le vol de données fiscales touchant plus de 600 000 usagers. L'information a d'abord circulé sur un forum malveillant avant d'être reconnue par Bercy. Voici, sans dramatiser, ce qui a réellement fuité, comment reconnaître le vrai message officiel, et les gestes utiles pour éviter les arnaques qui suivent toujours ce genre d'incident.

Ce qui s'est passé

Le 12 août 2026, un pirate se faisant appeler « ZeroBytes » a revendiqué l'extraction de 678 438 lignes de données depuis un outil interne de l'administration fiscale. L'intrusion remonterait à la fin du mois de juin 2026, mais elle n'a été rendue publique qu'à la mi-août. La DGFiP a confirmé les faits le 14 août, puis détaillé sa réponse quelques jours plus tard. D'après le ministère, environ 350 000 particuliers et 250 000 professionnels sont concernés. Les intrus se seraient introduits en usurpant les identifiants de comptes légitimes, dont celui d'un agent. Le parquet de Paris a ouvert une enquête.

Quelles données ont fuité

Selon la DGFiP, les informations dérobées peuvent comprendre :

• l'identifiant fiscal et l'état civil (nom, prénom, date de naissance) ;
• les coordonnées (adresse postale, parfois courriel) ;
• des éléments de situation fiscale : revenu fiscal de référence, situation familiale, taux de prélèvement à la source ;
• pour certains dossiers, la liste des messages échangés avec l'administration via la messagerie de l'espace en ligne.

Point important : d'après l'administration, le mot de passe de votre espace sur impots.gouv.fr ne figurait pas dans le fichier consulté, et cette fuite d'août ne portait pas sur vos coordonnées bancaires. En revanche, une autre affaire, plus ancienne, avait exposé début 2026 le fichier des comptes bancaires (FICOBA) et, avec lui, des IBAN, ce qui justifie de garder aussi un oeil sur vos relevés.

Le vrai message de la DGFiP, et les faux

Les personnes concernées reçoivent depuis le 17 août une information individuelle, par courrier ou par courriel. Le souci, c'est que de faux messages imitent déjà cette alerte. Deux repères simples permettent de faire le tri. Le message authentique provient d'une adresse en @dgfip.finances.gouv.fr, il vous informe des données concernées et ne réclame rien : aucun lien à cliquer, aucun mot de passe, aucune validation bancaire.

« L'administration fiscale ne vous demande jamais vos identifiants ou votre numéro de carte bancaire par message. »

Autrement dit, tout message qui contient un lien vers un site de connexion, qui parle d'un remboursement à débloquer ou qui réclame vos coordonnées est une tentative d'arnaque, même s'il affiche votre nom et votre adresse exacts. Le réflexe le plus sûr : ne jamais passer par le lien d'un courriel, mais taper vous-même impots.gouv.fr dans votre navigateur.

Comment se protéger dans les semaines qui viennent

• Méfiez-vous des messages trop précis. Les escrocs disposent désormais de vraies informations sur vous, leurs courriels et SMS paraissent donc très crédibles. La précision d'un message n'est pas une preuve d'authenticité.
• Ne cliquez pas, vérifiez à la source. Passez par la messagerie sécurisée de votre espace impôts ou par le numéro officiel figurant sur vos avis, jamais par un contact reçu par message.
• Surveillez vos comptes. Activez les alertes de paiement de votre banque et regardez vos relevés au moins une fois par semaine. Un prélèvement que vous n'avez pas autorisé peut être contesté auprès de votre banque, dans un délai qui peut atteindre 13 mois ; les règles sont détaillées sur service-public.fr.
• Renforcez vos mots de passe. Un mot de passe différent pour chaque service, et vérifiez que votre ordinateur est à jour et protégé par un antivirus, c'est justement le genre de contrôle que nous effectuons lors de nos passages à domicile en Seine-Maritime, avec le crédit d'impôt de 50% sur la prestation.

Si vous pensez avoir été piégé, ou pour un simple doute, l'État met à disposition la plateforme Cybermalveillance.gouv.fr et son service 17Cyber, qui orientent les victimes vers un professionnel référencé, ROne76 y figure d'ailleurs. Et si mettre tout cela en place vous semble fastidieux, notre prise de rendez-vous en ligne sert exactement à faire le point ensemble, message par message.

Cet épisode rappelle une règle qui ne bougera pas : une administration ne vous demandera jamais vos identifiants ni votre carte bancaire par courriel, SMS ou téléphone. Les envois d'information s'étalant sur plusieurs jours, la vigilance reste de mise encore quelques semaines, le temps que l'enquête suive son cours.

Sources : impots.gouv.fr, economie.gouv.fr, L'Usine Nouvelle, Selectra, MoneyVox, La finance pour tous