Près de 700 000 personnes ont vu leurs données fiscales dérobées lors de cyberattaques contre le système d'information de la Direction générale des Finances publiques (DGFIP) fin juin et en juillet 2026. Les victimes commencent à être contactées individuellement à partir de ce lundi 17 août.
Quelles données ont été volées ?
La DGFIP a précisé que les informations volées « ne permettent pas l'accès au compte sécurisé sur impots.gouv.fr » et que les espaces personnels des usagers n'ont pas été compromis. Les accès ont été coupés à la moindre détection suspecte.
Pour les particuliers (environ 400 000 personnes, le reste étant des comptes professionnels), les données volées incluent notamment noms et prénoms, adresses (du domicile et e-mail), numéros de téléphone, quotient familial, revenu fiscal de référence et taux de prélèvement à la source. Les données sur les biens immobiliers, que ce soit leur adresse ou leur surface, ont également été visées dans une opération distincte.
Une cyberattaque d'une gravité inédite
Selon le hackeur éthique Clément Domingo (alias Saxx), invité de la matinale de TF1, le cybercriminel « a déjà vendu la base de données ». D'autres personnes l'auraient contacté pour l'acheter. Saxx qualifie cette affaire de « cyberattaque la plus grave de France ».
Ces données récoltées permettent des arnaques plus crédibles. Des escrocs peuvent se faire passer pour l'administration fiscale (Bercy) par téléphone, e-mail ou SMS, notamment autour des échéances de paiement, pour demander des informations bancaires ou des règlements. L'arnaque est d'autant plus crédible que la personne peut fournir un grand nombre d'informations confidentielles qui vous ont été dérobées.
Risques d'usurpation d'identité et de cambriolages
L'usurpation d'identité figure parmi les menaces principales. Avec un niveau de détail élevé (situation fiscale, revenus, adresse), des campagnes d'hameçonnage ou d'ingénierie sociale deviennent plus efficaces.
Saxx alerte aussi sur des risques plus graves pour les personnes aux revenus élevés : « Des personnes ont déclaré jusqu'à 45 millions d'euros de revenus. Ces personnes ont une cible dans le dos que l'État, hélas, leur a mise. » Il évoque la possibilité de cambriolages ou de séquestrations, en rappelant des précédents, comme des cambriolages après le piratage de la Fédération française de tir.
Comment savoir si l'on est concerné et que faire ?
Pas de démarche spontanée nécessaire : la DGFIP contacte individuellement chaque victime à compter du 17 août, par courriel ou courrier, en précisant les données exposées et les mesures de vigilance.
En attendant, rester très méfiant face à tout message, appel ou e-mail se présentant comme provenant du fisc, ne cliquez jamais sur un lien reçu et ne communiquez évidemment jamais d'informations bancaires ou d'identifiants par téléphone ou e-mail non sollicité.
