Le fisc a confirmé, le 13 août, qu’un accès illégitime à son système informatique avait permis de consulter et d’extraire des données concernant des particuliers et des professionnels. L’intrusion s’est produite fin juin 2026, après une usurpation d’identité, et l’administration indique avoir coupé l’accès à la fin du mois. Les investigations se poursuivent pour déterminer précisément les données concernées et le nombre de personnes touchées.
L’affaire a été rendue publique après la revendication d’un acteur malveillant le 12 août. À ce stade, la DGFiP ne confirme pas officiellement le chiffre de 678 000 personnes qui circule depuis la publication d’un échantillon présenté comme provenant de la fuite. Ce nombre ne doit donc pas être présenté comme le nombre définitif de victimes. L’administration précise qu’elle doit encore déterminer l’ampleur exacte de la compromission.
Comment savoir si vous êtes concerné par la fuite ?
Pour les particuliers, le moyen le plus fiable sera l’information individuelle envoyée par la DGFiP. L’administration a annoncé que les usagers dont les données ont été concernées recevront directement une notification, précisant les informations susceptibles d’avoir été consultées ou extraites et, lorsque cela sera nécessaire, les mesures de vigilance à prendre.
Il n’existe donc pas, à ce jour, de formulaire officiel permettant à chacun de saisir son numéro fiscal pour savoir instantanément s’il figure dans la base compromise. Il faut se méfier des sites ou messages qui proposeraient un tel service : dans le contexte actuel, ils pourraient justement servir à récupérer davantage de données personnelles.
Les informations diffusées par le cybercriminel doivent également être distinguées des éléments officiellement confirmés. Une base contenant 678 438 lignes a été revendiquée et certains éléments publiés semblent comprendre des informations d’identité, des coordonnées et des données fiscales. Mais la DGFiP n’a pas confirmé que l’ensemble de cette base provenait effectivement de son système ni que ces 678 438 personnes constituaient la totalité des victimes.
Même sans recevoir de notification, les particuliers doivent donc rester attentifs dans les prochaines semaines. Une fuite de données fiscales peut surtout faciliter des tentatives d’hameçonnage et d’usurpation d’identité particulièrement crédibles. Un escroc qui connaît votre nom, votre adresse ou certains éléments de votre situation fiscale peut en effet construire un message beaucoup plus convaincant qu’un spam classique. Cybermalveillance.gouv.fr rappelle que les victimes d’une usurpation découvrent souvent le problème après l’apparition d’une activité ou d’une démarche qu’elles n’ont pas réalisée.
Ce qu’il faut faire face aux messages suspects
La première précaution consiste à ne jamais cliquer directement sur un lien reçu par SMS ou par courriel prétendant provenir des impôts. Il faut accéder soi-même au site officiel ou à son espace personnel, sans utiliser le lien fourni dans le message.
La DGFiP ne demande pas par courriel ou SMS de communiquer un mot de passe, des identifiants de connexion ou un numéro de carte bancaire. Un message qui réclame ces informations doit donc être considéré avec une extrême prudence.
Si un message paraît authentique, le contribuable peut vérifier son contenu depuis sa messagerie sécurisée sur le site officiel des impôts plutôt que de répondre directement. En cas de suspicion d’usurpation, Cybermalveillance recommande de conserver les preuves, notamment les courriels, SMS, captures d’écran et coordonnées utilisées par l’escroc.
Enfin, la DGFiP travaille avec les services du ministère de l’Économie et l’ANSSI et doit notifier l’incident à la CNIL. Pour l’instant, le point essentiel est donc de ne pas chercher à déterminer soi-même sa présence dans une éventuelle base piratée : les personnes effectivement identifiées comme concernées doivent être informées individuellement par l’administration.
