« Consultation illégitime de vos informations fiscales » : ce mail est-il vrai ?

Le courriel que vous venez peut-être de recevoir

Depuis le 17 août 2026, la Direction générale des finances publiques contacte une par une les personnes dont les données fiscales ont été extraites lors des intrusions de juin et juillet. L'envoi a commencé dans la soirée du 18 août et se poursuit.

Le message officiel a pour objet « Consultation illégitime de vos informations fiscales ». Il provient d'une adresse en dgfip.finances.gouv.fr. Il énumère les catégories d'informations susceptibles d'avoir été consultées : identifiant fiscal, état civil, coordonnées, situation fiscale et historique des messages échangés avec l'administration.

Au total, l'administration a communiqué le chiffre de 678 438 lignes de données concernées. La presse en donne la répartition suivante : environ 393 000 particuliers et 286 000 professionnels. Si vous recevez ce message, vous n'avez rien fait de travers, et vous n'avez aucune démarche urgente à accomplir. Nous détaillons plus bas ce que le piratage lui-même a impliqué dans notre article consacré à la fuite.

La règle qui tranche en une seconde

Il existe un critère unique, simple et suffisant pour distinguer le vrai message d'une imitation : le courriel authentique de la DGFiP ne contient aucun lien.

L'administration le formule elle-même sans ambiguïté : ses courriers ne comprennent jamais de liens d'accès aux services en ligne. Ce n'est pas une recommandation, c'est une règle de fonctionnement.

Vous n'avez donc pas à évaluer la qualité du logo, ni à traquer les fautes d'orthographe, ni à comparer la mise en page avec un ancien courriel. Ces méthodes étaient déjà fragiles, elles le sont devenues davantage. Si le message vous propose de cliquer pour consulter votre dossier, vérifier votre identité, confirmer vos coordonnées ou connaître le détail de la fuite, il est faux. Point final.

Quatre points de contrôle, dans l'ordre

• Un lien ? Le vrai n'en contient aucun. Sa présence suffit à conclure.
• L'expéditeur se termine bien par dgfip.finances.gouv.fr, sans caractère substitué ni suffixe ajouté.
• Une demande d'information ? Le vrai ne vous demande rien. Aucun formulaire, aucune pièce, aucune confirmation.
• Une action à faire ? Le vrai n'exige ni validation, ni paiement, ni mot de passe, ni code.

Un seul de ces quatre points en défaut suffit à écarter le message. Et si l'ensemble semble conforme mais qu'un doute subsiste, la réponse est toujours la même : tapez vous-même impots.gouv.fr dans votre navigateur. Une information réelle vous concernant se retrouve dans votre espace sécurisé.

Les faux circulent déjà

La DGFiP alerte elle-même sur la circulation de faux messages imitant son courriel d'alerte. C'est la mécanique habituelle après un incident très médiatisé : l'annonce officielle crée un contexte que les escrocs exploitent immédiatement.

La difficulté, cette fois, est qu'ils disposent de la matière. Un attaquant qui possède votre numéro fiscal, votre état civil et votre revenu fiscal de référence peut écrire un message calibré pour vous, avec des informations exactes que vous croyiez réservées à l'administration.

Disons-le simplement : les faux qui arrivent seront meilleurs que ceux dont vous avez l'habitude. Les repères classiques, le français approximatif et l'adresse grossière, ne suffiront plus. C'est précisément pour cela que le critère du lien absent est si précieux : il ne dépend ni de la qualité de l'imitation, ni de votre vigilance du moment.

Ce que le vrai message ne vous demandera jamais

La DGFiP ne vous demandera jamais de fournir des informations en dehors de votre espace sécurisé sur impots.gouv.fr. Cette phrase mérite d'être relue, parce qu'elle couvre l'immense majorité des tentatives.

Concrètement, aucun message légitime ne vous demandera votre mot de passe, un code reçu par SMS, vos coordonnées bancaires, une copie de votre pièce d'identité, ni le règlement immédiat d'une somme quelconque.

Un remboursement éventuel, lui, est versé sur le compte que l'administration connaît déjà. On ne vous demandera jamais de communiquer un RIB pour le percevoir. C'est un scénario que nous voyons revenir depuis des années dans nos signalements : en décembre 2023, l'un d'eux décrivait déjà un site aux couleurs tricolores, arborant le logo de la République, promettant le remboursement d'un trop-perçu d'impôts.

Ce que nous constatons de notre côté

Dix-huit signalements approuvés sur Stop Arnaque mentionnent les impôts, le fisc ou le Trésor public. Les procédés se répètent d'année en année.

Le plus récent est aussi le plus instructif. Le 11 août 2026, avant même la revendication publique de l'attaque, une personne nous a signalé un faux courriel des impôts renvoyant vers un faux site qui affichait déjà ses nom, prénom et numéro fiscal exacts. Elle a eu le bon réflexe : elle s'est connectée elle-même au site officiel et n'y a trouvé aucun message correspondant.

Nous ne pouvons pas rattacher ce signalement à la fuite de la DGFiP, et nous ne le ferons pas : un numéro fiscal peut circuler par d'autres canaux. Nous constatons simplement qu'à cette date, un faux site des impôts était déjà personnalisé avec des données fiscales réelles.

Plus ancien mais toujours d'actualité, un signalement de septembre 2024 décrit un faux « e-impôts.gouv.fr » où les caractères sont substitués : des zéros à la place des O, un L minuscule à la place du I. Sur l'écran d'un téléphone, la différence est presque invisible.

Attention au relais téléphonique

Le courriel n'est souvent qu'une première étape. La suite arrive par téléphone, et c'est la partie la plus difficile à repousser parce qu'elle ne laisse pas le temps de réfléchir.

Le scénario type enchaîne deux appels. Le premier interlocuteur se présente comme un agent des finances publiques et confirme vos données fiscales pour asseoir sa crédibilité. Le second, quelques minutes plus tard, se présente comme votre banque et vous demande de « sécuriser » votre compte.

Nous documentons actuellement une vague qui fonctionne exactement sur ce ressort, avec de faux SMS bancaires annonçant un achat que vous n'avez jamais fait, dans notre analyse de la campagne en cours. La règle y est la même que pour les impôts : ne rappelez jamais un numéro fourni dans un message, composez celui qui figure au dos de votre carte.

Vous avez reçu le vrai message, et maintenant ?

Rien d'urgent, et c'est important à entendre. Le courriel officiel est une information, pas une convocation. Il n'appelle aucune action de votre part.

Changer votre mot de passe impots.gouv.fr n'est pas nécessaire : l'administration indique que les mots de passe et les comptes des usagers n'ont pas été compromis. L'intrusion est passée par les identifiants dérobés d'un agent et d'un tiers habilité, pas par votre compte.

Ce qui est utile, en revanche, c'est d'installer une habitude durable. Ne cliquez plus jamais sur un lien reçu dans un message se réclamant d'une administration ou d'une banque. Tapez l'adresse vous-même. Et prévenez les personnes de votre entourage qui décrochent facilement au téléphone, car ce sont elles qui seront appelées.

Enfin, gardez en tête que le risque s'étale dans le temps. Un fichier volé est revendu, découpé et réutilisé pendant des années. La vigilance utile n'est pas celle de cette semaine, c'est celle des prochains mois.

Si vous avez déjà cliqué, répondu ou payé

D'abord, respirez. L'ordre des démarches compte plus que la vitesse, et personne ne vous jugera ici.

Si vous avez transmis des données bancaires ou si de l'argent est parti, appelez votre banque immédiatement et demandez le blocage ainsi que la contestation. Invoquez l'article L133-18 du code monétaire et financier : il prévoit le remboursement d'une opération de paiement non autorisée, sauf si la banque démontre une négligence grave de votre part. Avoir été trompé par une imitation soignée de l'administration n'est pas, en soi, une négligence grave. Demandez tout refus par écrit.

Déposez ensuite plainte en ligne sur THESEE, la plateforme dédiée aux escroqueries commises par internet ou par téléphone. Pour une fraude à la carte bancaire alors que vous détenez toujours votre carte, utilisez Perceval. Pour un SMS frauduleux, transférez-le au 33700, sans rien y ajouter. En cas de doute sur le bon interlocuteur, 17Cyber vous oriente.

Une erreur d'aiguillage revient sans cesse et fait perdre des semaines : Pharos ne traite pas les escroqueries, uniquement les contenus illicites.

Ce que nous surveillons dans les jours qui viennent

Soyons transparents sur nos limites. Nous ignorons si les données extraites ont déjà été revendues, sous quelle forme, et quelle part des personnes concernées sera effectivement ciblée.

Ce que nous pouvons faire, c'est observer en temps réel. Nous suivons les signalements mentionnant les impôts, les numéros de rappel qui reviennent et les noms de domaine imitant l'administration. Quand une vague démarre, elle apparaît d'abord dans les signalements, souvent plusieurs jours avant la presse.

Si vous recevez un message douteux se réclamant du fisc, prenez deux minutes pour le décrire. C'est ce qui permettra à la personne suivante de le reconnaître à temps.