Piratage DGFiP : 678 000 contribuables ciblés par e-mail, les escrocs à l’affût

La Direction générale des finances publiques informe par e-mail, dès le 17 août 2026, les 678 000 particuliers et entreprises dont les données fiscales ont été volées fin juin lors d’un piratage.

Le mail arrive et peut semer le doute. À partir du lundi 17 août, les contribuables touchés par le vol de données fiscales reçoivent un courrier électronique de la DGFiP. Cela concerne 678 000 personnes au total, particuliers et professionnels. Le fisc promet une information individuelle précisant les données susceptibles d’avoir été consultées ou extraites, ainsi que les précautions à prendre.

Sauf qu’un second risque surgit immédiatement : celui de l’usurpation. Christophe Mazzola, expert en cybersécurité, anticipe sur X une « hécatombe ». Il redoute une vague de faux mails mimant la DGFiP, rédigés ainsi : « Vous êtes concerné par la fuite de données de la DGFiP, cliquez pour vérifier votre situation ». Le réflexe, rappelle-t-il, reste le même face à toute tentative d’hameçonnage : ne jamais traiter une demande dans le canal par lequel elle arrive. Autrement dit, ne pas cliquer sur un lien reçu par SMS ou mail.

Thomas Damonneville, fondateur de StalkPhish, confirme le risque^[1]. Un message contenant votre numéro fiscal et des informations précises peut rassurer. Mais ce sont précisément ces données que les malfaiteurs ont pu obtenir lors du vol. « Il ne faut pas cliquer sur les liens qui vous sont proposés », insiste-t-il. Damien Bancal, journaliste spécialisé en cybersécurité, conseille de taper soi-même dans le navigateur l’adresse officielle du site plutôt que de cliquer sur un lien reçu par réseau social ou par e-mail.

À Bourail, 20 000 visiteurs à la Foire et 4 morts sur la route : le maire Patrick Robelin appelle à agir

L’accès illégitime remonterait à fin juin

L’intrusion elle-même a été rendue publique le 12 août 2026, lorsqu’un cybercriminel se faisant appeler ZeroBytes a revendiqué l’extraction de 678 438 lignes de données sur un forum spécialisé^[2]. La DGFiP a confirmé le lendemain qu’un accès illégitime à son système d’information était intervenu fin juin, après usurpation d’identité. Cet accès avait été coupé dès juin à l’occasion d’un audit de sécurité, mais il avait permis la consultation et l’extraction de données concernant des particuliers et des professionnels.

Selon les éléments publiés par le pirate, la base contiendrait des identifiants fiscaux, des noms, prénoms, dates et lieux de naissance, des adresses postales, des informations relatives à la situation familiale, des revenus fiscaux de référence, des taux de prélèvement à la source, des numéros de téléphone, des adresses e-mail et même un historique de certaines demandes adressées à la DGFiP. L’attaquant aurait obtenu des identifiants d’un agent et d’un tiers habilité pour se connecter à un accès distant (VPN ou portail interne), contournant au passage l’authentification multifacteur. Une fois dans le réseau, il aurait utilisé un outil de recherche interne permettant d’interroger les dossiers de contribuables.

Le ministère de l’Action et des Comptes publics a annoncé des investigations approfondies, menées avec le service du Haut fonctionnaire de défense et de sécurité et l’Agence nationale de la sécurité des systèmes d’information (ANSSI). La DGFiP notifiera l’incident à la CNIL et déposera plainte.

Vérifier l’authenticité du mail avant toute action

Face à cette situation, le premier réflexe consiste à vérifier l’authenticité du mail reçu. La DGFiP rappelle qu’elle ne demande jamais d’informations confidentielles par courriel, SMS ou téléphone, mais uniquement par la messagerie sécurisée de la plateforme impôts.gouv.fr. Les usagers concernés sont invités à faire preuve d’une méfiance particulière face aux sollicitations frauduleuses, qui pourraient exploiter les données volées pour rendre leurs messages plus crédibles.

Damien Bancal recommande de changer l’adresse mail utilisée pour échanger avec le fisc, afin de se prémunir contre toute tentative d’hameçonnage. Il préconise de créer une adresse unique, réservée aux échanges avec l’administration fiscale. Cela permet de s’assurer que toute communication reçue sur cette adresse émane bien de la DGFiP. Thomas Damonneville suggère plutôt de modifier le mot de passe utilisé pour se connecter au site des impôts, car changer de numéro de téléphone ou d’adresse mail reste plus compliqué.

Hameçonnage post-fuite : pourquoi les escrocs profitent du contexte

Risque d'hameçonnage massif

Les escrocs peuvent exploiter les données volées pour envoyer des faux mails très crédibles, mentionnant le numéro fiscal ou le revenu de référence des victimes. Les experts redoutent une multiplication des tentatives de fraude.

Vérifier l'authenticité des mails

La DGFiP ne demande jamais d'informations confidentielles par e-mail, SMS ou téléphone. Seule la messagerie sécurisée d'impôts.gouv.fr est utilisée pour les échanges sensibles.

Usurpation d'identité facilitée

Les données volées (état civil, adresse, situation familiale, revenus) permettent aux fraudeurs d'ouvrir des comptes bancaires ou de souscrire des crédits au nom des victimes. Surveiller le Ficoba devient indispensable.

Questions sur les délais RGPD

L'intrusion a eu lieu fin juin, détectée et coupée dans la foulée, mais la revendication publique date du 12 août. Le délai de notification à la CNIL, fixé à 72 heures par le RGPD, soulève des interrogations.

Surveiller l’ouverture de comptes bancaires frauduleux

Le troisième conseil porte sur la surveillance des comptes bancaires. Jonathan Spedale, fondateur de Cyber Moustache, entreprise de lutte contre les fraudes, recommande de consulter le fichier national des comptes bancaires (Ficoba) sur le site de l’administration fiscale. L’objectif : vérifier qu’aucun fraudeur n’a créé un compte bancaire en votre nom grâce aux données récupérées lors de cette fuite. Il craint également un risque d’usurpation d’identité, facilité par la richesse des informations dérobées.

Les spécialistes insistent sur le fait qu’un interlocuteur mentionnant votre revenu fiscal de référence ou votre composition de foyer n’est plus un gage de légitimité. en 2026, c’est même un signal d’alerte. Toute sollicitation non sollicitée, même lorsqu’elle mentionne votre situation fiscale réelle, doit être traitée avec la plus grande prudence.

Signaler et documenter en cas de doute

En cas de doute ou de préjudice, plusieurs démarches sont possibles. Les tentatives de fraude peuvent être signalées sur la plateforme cybermalveillance.gouv.fr (dispositif 17Cyber). Les SMS frauduleux peuvent être transférés au 33700. Il est également conseillé de déposer plainte et de conserver tous les éléments : e-mails, captures d’écran, relevés bancaires. Les victimes peuvent exercer leurs droits d’accès auprès de la DGFiP et saisir la CNIL en cas de manquement constaté, en s’appuyant sur le cadre du RGPD.

L’incident soulève aussi des questions sur le respect des délais de notification. Le RGPD impose une notification à la CNIL dans les 72 heures suivant la prise de connaissance d’une violation de données. Or, l’intrusion a eu lieu fin juin, détectée et coupée dans la foulée, mais la revendication publique ne date que du 12 août. Soit 48 jours d’écart. La DGFiP n’a pas précisé à quelle date elle a qualifié l’événement de violation de données au sens du RGPD, ni quand elle a notifié la CNIL pour la première fois.

Les investigations se poursuivent pour déterminer précisément l’étendue du préjudice. Les équipes de la DGFiP en charge des systèmes d’information restent mobilisées. Le ministère promet de communiquer de nouveaux éléments à mesure de l’avancée des enquêtes. En attendant, les 678 000 contribuables concernés doivent redoubler de vigilance face à toute sollicitation se réclamant de l’administration fiscale.