Piratage de la DGFiP : 678 000 contribuables exposés et les arnaques qui arrivent

Ce qui est confirmé, et ce qui ne l'est pas

Le 14 août 2026, le ministère chargé des comptes publics a reconnu que le système d'information de la Direction générale des finances publiques avait fait l'objet d'accès frauduleux. Les investigations ont établi que les données de 678 000 particuliers et professionnels ont pu être consultées et extraites. Les intrusions elles-mêmes remontent à juin et juillet 2026.

Un attaquant se présentant sous le nom de ZeroBytes a revendiqué l'accès les 12 et 13 août. L'administration indique que les intrusions ont été menées à partir des identifiants dérobés de deux comptes légitimes : celui d'un agent de la DGFiP et celui d'un tiers habilité. Les comptes concernés ont été désactivés dès la détection.

La CNIL a été saisie le 14 août et une plainte a été déposée. Le parquet de Paris a ouvert une enquête le 15 août, confiée à l'Office anti-cybercriminalité. Des chiffres plus élevés ont circulé, jusqu'à deux millions de personnes. Ils ne sont pas confirmés par l'administration. Nous nous en tenons au chiffre officiel.

Ce qui a fuité, et ce qui n'a pas fuité

Cette distinction change tout pour la suite, alors prenons le temps de la poser.

Ont pu être consultés : votre numéro fiscal, votre état civil, vos coordonnées postales et de contact, votre situation de famille, votre nombre de personnes à charge, votre quotient familial, votre revenu fiscal de référence, votre taux de prélèvement à la source et l'historique de vos messages avec l'administration.

N'ont pas été compromis : vos mots de passe et vos comptes sur impots.gouv.fr. Votre espace personnel n'a pas été pris. Vous n'avez donc pas à craindre qu'on s'y connecte à votre place, et changer votre mot de passe n'est pas une urgence, même si cela ne fait jamais de mal.

Aucune coordonnée bancaire ne figure dans la liste communiquée. C'est une bonne nouvelle. Elle ne suffit malheureusement pas à écarter le risque, pour une raison que la section suivante explique.

Un signalement reçu le 11 août, trois jours avant l'annonce

Le 11 août 2026, soit avant la revendication publique et avant le communiqué officiel, une personne nous a signalé un courriel se présentant comme émanant des impôts. Le message contenait un fichier joint servant d'appât et un lien menant vers un faux site des impôts. Ce faux site affichait déjà ses nom, prénom et numéro fiscal exacts.

Cette personne a eu le bon réflexe. Elle s'est connectée elle-même au site officiel, et n'y a trouvé aucun message correspondant. C'est exactement ce qu'il fallait faire.

Soyons rigoureux sur ce que cela prouve et ce que cela ne prouve pas. Nous ne sommes pas en mesure d'établir un lien entre ce signalement et la fuite de la DGFiP. Un numéro fiscal peut circuler par d'autres voies. Nous constatons simplement, à la date du 11 août, un faux site des impôts déjà personnalisé avec des données fiscales réelles. Nous le mentionnons parce que c'est précisément la forme que prendront les tentatives des prochaines semaines.

Pourquoi ces données valent si cher pour un escroc

Un mot de passe volé sert à entrer quelque part. Ces données-là servent à autre chose : elles servent à être cru.

Quand une voix au téléphone vous annonce votre revenu fiscal de référence au chiffre près, votre quotient familial et le nombre de vos enfants, votre cerveau conclut en une seconde que seul le fisc peut savoir cela. Cette conclusion est parfaitement logique. Elle était même vraie jusqu'à cet été. C'est ce raisonnement sain que l'attaquant achète en volant ces fichiers.

C'est pour cela qu'il faut le dire clairement : si vous vous faites avoir, ce ne sera pas par naïveté. Ce sera parce qu'on vous aura présenté des informations que personne d'autre que l'administration n'était censé détenir. Les escrocs qui exploitent ces bases sont des professionnels organisés, avec des scripts, des plages horaires et des objectifs. Se faire piéger n'est pas une question d'intelligence.

Le vrai courriel de la DGFiP, et le détail qui le trahit

Depuis le 17 août, la DGFiP contacte individuellement les personnes concernées. Le courriel officiel a pour objet « Consultation illégitime de vos informations fiscales » et provient d'une adresse en dgfip.finances.gouv.fr. Il énumère les catégories d'informations susceptibles d'avoir été consultées.

Retenez surtout ceci, car c'est le critère le plus simple et le plus fiable : le courriel authentique ne contient aucun lien. L'administration le formule elle-même sans ambiguïté : ses courriers ne comprennent jamais de liens d'accès aux services en ligne.

Autrement dit, un message qui se réclame de la DGFiP et qui vous propose de cliquer pour « vérifier votre dossier », « confirmer votre identité » ou « consulter le détail de la fuite » est faux. Sans exception, et sans qu'il soit nécessaire d'examiner autre chose. Vous n'avez pas à juger si le logo est bien imité ou si le français est correct. La présence d'un lien suffit à trancher. Nous détaillons les quatre points de contrôle, et les imitations déjà en circulation, dans notre guide de vérification du courriel de la DGFiP.

Les faux que nous voyons passer depuis des années

L'usurpation de l'administration fiscale n'a rien de nouveau chez nous. Dix-huit signalements approuvés mentionnent les impôts, le fisc ou le Trésor public, et les procédés se répètent.

En septembre 2024, un signalement décrit un faux « e-impôts.gouv.fr » où les caractères sont subtilement remplacés : des zéros à la place des lettres O, un L minuscule à la place du I, ce qui donne des adresses du type WWW-lMP0TS-G0UV. À l'œil, sur un téléphone, la différence est presque invisible.

En décembre 2023, un autre décrit un site aux couleurs tricolores, arborant le logo de la République, qui promet le remboursement d'un trop-perçu d'impôts. En septembre 2025, une fausse amende de stationnement, absente de l'espace officiel de la personne. Le décor change, le ressort reste le même : une somme à récupérer ou une sanction à éviter, et un formulaire au bout.

Le scénario téléphonique, le plus difficile à repousser

Le courriel se repère. L'appel est plus redoutable, parce qu'il ne vous laisse pas le temps de réfléchir.

Le scénario classique combine deux étapes. Un premier interlocuteur se présente comme un agent des finances publiques, vous confirme vos données fiscales pour asseoir sa crédibilité, puis vous annonce qu'un remboursement est en attente ou qu'un paiement frauduleux a été détecté sur votre dossier. Un second appel, parfois quelques minutes plus tard, se présente comme votre banque et vous demande de « sécuriser » votre compte.

Rappelons deux règles simples. La DGFiP ne vous demandera jamais de communiquer des informations en dehors de votre espace sécurisé. Et aucun conseiller bancaire légitime ne vous demandera jamais de valider une opération, de communiquer un code reçu par SMS ou de déplacer votre argent vers un compte dit « de sécurité ». Ce compte n'existe pas.

Les signaux qui doivent vous arrêter

• Un lien dans un message se réclamant de la DGFiP. Le vrai n'en contient jamais.
• Une urgence chiffrée : 48 heures, une pénalité, un dossier qui va être clos.
• Une demande de coordonnées bancaires pour recevoir un remboursement. Un trop-perçu est viré sur le compte déjà connu de l'administration.
• Une demande de code reçu par SMS, quel que soit le prétexte invoqué.
• Une adresse qui ressemble sans être exacte, avec des chiffres à la place des lettres.
• Un appel qui vous demande de ne pas raccrocher ou de ne pas en parler autour de vous.

Ce que vous pouvez faire aujourd'hui, dans l'ordre

Premièrement, ne cliquez sur aucun lien reçu par message. Tapez vous-même impots.gouv.fr dans votre navigateur. Si une information vous concerne réellement, vous la retrouverez dans votre espace sécurisé. Cette habitude, à elle seule, neutralise la quasi-totalité des tentatives.

Deuxièmement, prévenez les personnes de votre entourage qui décrochent facilement au téléphone. Ce sont elles qui seront appelées, et l'argument fiscal est particulièrement efficace sur quelqu'un qui craint d'avoir commis une erreur de déclaration.

Troisièmement, méfiez-vous des mois qui viennent, pas seulement des jours. Une base de données ne s'épuise pas en une semaine. Les fichiers issus de fuites sont revendus, découpés et réutilisés pendant des années. La vigilance utile est celle qui dure.

Quatrièmement, si vous recevez une tentative, signalez-la. Un numéro ou un faux site signalé une fois devient repérable pour tous les suivants.

Si vous avez déjà cliqué, payé ou parlé

D'abord, respirez. Vous n'êtes ni le premier ni le dernier, et l'ordre des démarches compte plus que la vitesse.

Si de l'argent est parti par carte ou par virement, appelez immédiatement votre banque et demandez le blocage. Invoquez l'article L133-18 du code monétaire et financier : il prévoit le remboursement d'une opération non autorisée, sauf à démontrer une négligence grave de votre part. N'acceptez pas un refus oral, demandez-le par écrit.

Ensuite, déposez plainte en ligne sur THESEE, la plateforme dédiée aux escroqueries commises par internet ou par téléphone. Pour une fraude à la carte bancaire sans perte de la carte, utilisez Perceval. Pour un SMS frauduleux, transférez-le au 33700, sans rien y ajouter. Pour un litige avec une entreprise identifiée, passez par SignalConso. En cas de doute sur le bon interlocuteur, 17Cyber vous oriente.

Attention à une erreur d'aiguillage très fréquente : Pharos ne traite pas les escroqueries, uniquement les contenus illicites. S'y adresser fait perdre des semaines.

Ce que nous allons surveiller

Soyons transparents sur ce que nous ne savons pas encore. Nous ignorons si les données extraites ont déjà été revendues, et sous quelle forme. Nous ignorons quelle part des 678 000 personnes sera effectivement ciblée.

Ce que nous pouvons faire, en revanche, c'est observer. Nous suivons les signalements mentionnant les impôts, les numéros d'appel qui reviennent et les noms de domaine imitant l'administration. Si une vague se forme, elle apparaîtra d'abord dans les signalements, avant d'apparaître dans la presse.

C'est déjà arrivé cet été avec d'autres fuites. Le premier signalement précède souvent l'alerte générale de plusieurs jours. Chaque personne qui prend deux minutes pour décrire ce qu'elle a reçu rend la tentative suivante repérable pour quelqu'un d'autre.