Trois semaines après la révélation d’accès illégitimes au système d’information de la Direction générale des Finances publiques (DGFiP), l’affaire entre dans une phase délicate pour les contribuables. Environ 678 000 lignes de données fiscales et cadastrales circulent sur un forum de cybercriminalité, et le calendrier fiscal de septembre — nouveau taux de prélèvement à la source, avis de taxe foncière, prélèvement du solde d’impôt le 25 septembre — offre un terrain idéal aux campagnes d’hameçonnage. Ce qu’il faut savoir, et les réflexes à adopter.
Piratage DGFiP : ce que l’on sait au 6 septembre 2026
Selon le communiqué du ministère et l’actualité publiée sur impots.gouv.fr (mise à jour le 4 septembre), un acteur malveillant a revendiqué les 12 et 13 août 2026 un vol de données consécutif à des accès illégitimes intervenus en juin, juillet et août. Le mode opératoire n’est pas une faille du site public : le pirate s’est connecté avec les identifiants usurpés d’un agent de la DGFiP, combinés à ceux d’un tiers habilité par l’administration, c’est-à-dire comme un utilisateur légitime des applications internes.
Le fichier revendiqué compte 678 438 lignes, soit environ 392 900 particuliers et 285 600 professionnels. La DGFiP a coupé les accès des comptes concernés dès la détection et indique avoir informé individuellement les usagers touchés à partir du 18 août. Un second incident, distinct, a été signalé le 17 août sur le portail des successions vacantes, qui ne contient que des données publiques.
Point essentiel confirmé par la CNIL, saisie le 14 août : le site impots.gouv.fr et les espaces particuliers et professionnels n’ont pas été compromis, et les identifiants et mots de passe ne seraient pas concernés.
Quelles données ont fuité ?
La liste établie par la CNIL est précise. Il s’agit d’informations fiscales et cadastrales, pas de données bancaires ni de mots de passe.
| Type de donnée | Concernée ? | Risque principal |
|---|---|---|
| Identité, adresse | Oui | Hameçonnage ciblé, faux courriers |
| Revenu fiscal de référence, quotient familial | Oui | Arnaques crédibles au « remboursement » ou au « redressement » |
| Taux de prélèvement à la source | Oui | Faux mails « votre taux a changé au 1er septembre » |
| SIREN, raison sociale (professionnels) | Oui | Fraude au faux fournisseur, faux contrôle fiscal |
| Adresses et surfaces de biens immobiliers (cadastre) | Oui | Démarchage frauduleux « taxe foncière », usurpation |
| Identifiants, mots de passe impots.gouv | Non (selon la DGFiP) | — |
| IBAN, coordonnées bancaires | Non mentionné | — |
La combinaison revenu + taux de prélèvement + adresse est précisément ce qui rend un courriel frauduleux convaincant : l’escroc peut citer votre taux exact ou votre revenu fiscal de référence pour se faire passer pour l’administration.
Pourquoi septembre est le mois de tous les dangers
Le calendrier fiscal de rentrée multiplie les prétextes plausibles. Depuis le 1er septembre, le taux de prélèvement à la source issu de la déclaration du printemps s’applique automatiquement sur les salaires et pensions. Les avis de taxe foncière sont en ligne depuis le 27 août pour les non-mensualisés et le seront à partir du 19 septembre pour les mensualisés. Enfin, le solde de l’impôt sur le revenu est prélevé le vendredi 25 septembre (en quatre échéances jusqu’au 28 décembre au-delà de 300 €).
Chacune de ces dates est une occasion pour un message du type « régularisez votre situation avant le 25 septembre » ou « un remboursement de 33 € vous attend ». Rappel utile : la DGFiP ne demande jamais de coordonnées bancaires par courriel ou SMS, et les remboursements se font par virement sur le compte déjà connu de l’administration, sans aucune action de votre part. Pour vérifier le montant réel de votre impôt, mieux vaut passer par votre espace personnel ou notre calculateur d’impôt 2026.
Les réflexes à adopter si vous êtes concerné
Vérifier la notification officielle
La DGFiP a indiqué informer individuellement les contribuables touchés. Le message légitime apparaît dans la messagerie sécurisée de votre espace particulier sur impots.gouv.fr. Un courriel reçu sur votre boîte personnelle avec un lien à cliquer doit être considéré comme suspect par défaut : accédez toujours au site en tapant l’adresse vous-même.
Renforcer l’accès à vos comptes
Même si les mots de passe ne sont pas concernés, changer celui de votre espace fiscal et activer l’authentification à deux facteurs sur votre messagerie et vos comptes bancaires limite l’effet domino. Surveillez les mouvements bancaires inhabituels et les demandes de crédit que vous n’avez pas initiées.
Signaler, sans engorger la CNIL
La CNIL précise qu’il n’est pas nécessaire de lui adresser une plainte individuelle, sauf éléments utiles à l’enquête. Les tentatives d’hameçonnage se signalent sur la plateforme gouvernementale dédiée et, en cas de préjudice, par un dépôt de plainte. Impots.gouv.fr publie une page « Comment réagir en cas d’arnaque ou d’utilisation frauduleuse de vos données personnelles » ainsi que deux FAQ, particuliers et professionnels.
Et pour les professionnels ?
Près de 285 600 entreprises et indépendants figurent dans le fichier, avec SIREN et raison sociale. Le risque classique est la fraude au faux ordre de virement ou au faux contrôle fiscal, où l’escroc exploite des informations réelles pour obtenir un paiement urgent. Les comptables et dirigeants ont intérêt à rappeler à leurs équipes qu’aucun paiement d’impôt ne s’effectue vers un IBAN communiqué par courriel : les règlements passent par l’espace professionnel ou le prélèvement SEPA déjà en place.
Sur le plan des suites, la CNIL a annoncé pouvoir mener des investigations sur pièces ou sur place afin de vérifier la conformité des mesures de sécurité de la DGFiP à l’état de l’art, avec sanctions possibles en cas de manquement au RGPD. Une enquête judiciaire est par ailleurs en cours. Retrouvez l’ensemble de nos outils finance pour suivre vos échéances de rentrée.
FAQ
Comment savoir si je fais partie des 678 000 contribuables concernés ?
La DGFiP a indiqué informer individuellement les usagers touchés, à partir du 18 août 2026, via la messagerie sécurisée de l’espace particulier ou professionnel sur impots.gouv.fr. En l’absence de message dans cet espace, vous n’êtes a priori pas concerné. Ne vous fiez pas à un courriel ou SMS externe affirmant le contraire.
Dois-je changer mon mot de passe impots.gouv après le piratage DGFiP ?
Ce n’est pas obligatoire, les identifiants et mots de passe n’étant pas concernés selon la DGFiP et la CNIL. C’est toutefois une précaution simple et recommandée, tout comme l’activation de la double authentification sur votre messagerie, qui sert souvent de porte d’entrée aux escrocs.
Le prélèvement du 25 septembre 2026 est-il affecté par le piratage ?
Non. Le prélèvement du solde d’impôt sur le revenu s’effectue normalement sur le compte bancaire déjà enregistré auprès de l’administration. Aucun message ne vous demandera de « confirmer » ou de « mettre à jour » vos coordonnées bancaires pour cette échéance : une telle demande est une tentative d’arnaque.