Fuite à la DGFiP : comment savoir si vous êtes concerné et quels sont vos recours ?

Le ministère de l’Économie confirme qu’un accès illégitime au système informatique de la DGFiP a permis la consultation et l’extraction de données concernant des particuliers et des professionnels. Un pirate revendique 678 438 lignes, mais l’ampleur exacte de la fuite reste à déterminer.

Vos informations fiscales ont peut-être été consultées par un cybercriminel. Jeudi 13 août 2026, Bercy a reconnu qu’un accès frauduleux au système d’information de la Direction générale des Finances publiques avait eu lieu à la fin du mois de juin.

Cette intrusion, réalisée après une usurpation d’identité, a permis la consultation et l’extraction de données appartenant à des particuliers et à des entreprises. La DGFiP poursuit ses investigations afin d’identifier précisément les usagers concernés et la nature des informations compromises.

Bercy confirme une extraction de données fiscales

L’affaire a éclaté le 12 août lorsqu’un acteur malveillant a revendiqué publiquement un accès au système informatique de la DGFiP. Le ministère de l’Économie confirme que cette intrusion a bien eu lieu à la fin du mois de juin 2026.

Selon Bercy, l’accès avait été coupé dès sa détection dans le cadre d’un contrôle. Cette intervention n’a toutefois pas empêché le pirate de consulter et d’extraire certaines données avant son éviction.

De nouvelles mesures de restriction ont été appliquées pour empêcher toute nouvelle connexion frauduleuse. Les équipes informatiques de la DGFiP travaillent avec le service du Haut fonctionnaire de défense et de sécurité ainsi qu’avec l’Agence nationale de la sécurité des systèmes d’information.

L’administration prévoit également de notifier l’incident à la Commission nationale de l’informatique et des libertés et de déposer plainte.

Le pirate revendique exactement 678 438 lignes

Selon le site spécialisé FrenchBreaches, le cybercriminel se présentant sous le pseudonyme « ZeroBytes » affirme détenir 678 438 lignes de données.

Ce chiffre n’est pas encore confirmé par la DGFiP. Il ne correspond pas nécessairement à 678 438 victimes distinctes : un même contribuable peut apparaître dans plusieurs enregistrements, tandis que le fichier peut contenir des doublons ou des informations obsolètes.

L’échantillon examiné contiendrait notamment :

• les noms et prénoms ;
• les dates et lieux de naissance ;
• les adresses postales ;
• les numéros de téléphone et adresses électroniques ;
• les identifiants fiscaux ;
• la situation familiale et le nombre de personnes à charge ;
• le revenu fiscal de référence ;
• le taux de prélèvement à la source ;
• l’historique de certaines demandes adressées à l’administration.

La présence de ces données demeure fondée sur l’analyse de l’échantillon et non sur le résultat définitif de l’enquête administrative.

Les coordonnées bancaires sont-elles concernées ?

À ce stade, la présence de RIB ou d’IBAN dans cette nouvelle extraction n’est pas établie. Il ne faut pas confondre cette affaire avec une précédente cyberattaque ayant touché la DGFiP.

En février 2026, Bercy avait confirmé des accès illégitimes au fichier national des comptes bancaires, appelé FICOBA. Cette première attaque avait potentiellement exposé les coordonnées bancaires, l’identité et l’adresse des titulaires d’environ 1,2 million de comptes.

La nouvelle intrusion de juin concerne un autre accès au système d’information de la DGFiP. Les enquêteurs doivent encore établir si les deux affaires présentent un lien et quelles bases ont été consultées.

Quels sont les risques pour les contribuables ?

Le principal danger réside dans le hameçonnage extrêmement ciblé. Un escroc disposant de votre adresse, de votre revenu fiscal de référence ou de votre taux de prélèvement peut concevoir un message particulièrement crédible.

Il peut, par exemple, vous annoncer un remboursement, une erreur sur votre déclaration ou un prélèvement imminent. Ces tentatives de phishing cherchent ensuite à récupérer votre mot de passe, vos coordonnées bancaires ou un code de validation reçu par SMS.

Les informations extraites pourraient également faciliter une usurpation d’identité. Elles ne suffisent pas forcément, à elles seules, à souscrire un crédit ou à ouvrir un compte bancaire, mais elles peuvent compléter un dossier frauduleux ou rendre une démarche mensongère beaucoup plus convaincante.

Votre numéro fiscal ne fonctionne pas comme un mot de passe. Sa divulgation ne permet donc pas automatiquement d’entrer dans votre espace personnel. Elle constitue néanmoins une donnée sensible que les fraudeurs peuvent exploiter pour gagner votre confiance.

Comment savoir si vous êtes concerné ?

La DGFiP annonce que chaque usager identifié recevra une information individuelle précisant les données susceptibles d’avoir été consultées ou extraites ainsi que les mesures de vigilance à adopter.

Le canal de cette notification n’a pas encore été indiqué. Surveillez votre messagerie habituelle et celle de votre espace particulier, mais méfiez-vous des faux messages qui prétendraient vous avertir de la fuite.

Pour vérifier une notification, ne cliquez pas directement sur le lien contenu dans le courriel. Saisissez vous-même l’adresse impots.gouv.fr dans votre navigateur, puis consultez votre messagerie sécurisée. L’administration fiscale ne vous demandera jamais de communiquer par courriel un mot de passe, un numéro complet de carte bancaire ou un code reçu par SMS.

Les quatre mesures à prendre dès maintenant

Sécurisez votre espace fiscal : si le mot de passe utilisé sur impots.gouv.fr sert également sur un autre site, changez-le immédiatement. Choisissez un mot de passe long et unique. Si vous vous connectez avec FranceConnect, protégez également le compte utilisé comme identité numérique.

Surveillez vos comptes bancaires : examinez régulièrement chaque opération enregistrée sur vos relevés. Un prélèvement SEPA non autorisé peut être contesté dans un délai de 13 mois, mais mieux vaut contacter sa banque dès la découverte de l’anomalie.

Redoublez de prudence devant les remboursements annoncés : la période des remboursements et prélèvements d’impôts offre un prétexte idéal aux fraudeurs. Ne validez aucune opération bancaire à la demande d’un interlocuteur qui vous contacte spontanément.

Conservez les preuves en cas de fraude : gardez les courriels, SMS, numéros de téléphone, captures d’écran et relevés concernés. Prévenez immédiatement votre banque, puis déposez plainte si une escroquerie ou une usurpation est constatée. La plateforme THESEE peut être utilisée pour certaines escroqueries commises entièrement en ligne.

Une plainte ou une main courante préventive n’est pas nécessaire en l’absence d’utilisation frauduleuse de vos données. La priorité consiste à surveiller vos comptes et à attendre la notification officielle de la DGFiP.

Une enquête encore en cours

Bercy confirme donc bien l’intrusion et l’extraction de données. En revanche, le nombre de 678 438 lignes, l’identité du pirate et le détail complet des informations dérobées restent à confirmer.

L’administration promet de communiquer de nouveaux éléments au fil de l’enquête. D’ici là, la meilleure protection consiste à se méfier des messages alarmistes et à vérifier chaque demande en passant directement par les canaux officiels.

Sources externes

• Cybermalveillance.gouv.fr — que faire en cas de fuite de données personnelles
• CNIL — communication d’une violation aux personnes concernées