Piratage de la DGFiP (impots.gouv.fr) : suis-je concerné, que faire ?

Par Sylvain Cassini, publié le 15 août 2026, mis à jour le 3 octobre 2026

Le 12 août 2026, un pirate se faisant appeler « ZeroBytes » a revendiqué le vol de 678 438 lignes de données fiscales. Le 14 août, le ministère de l'Économie a publié un communiqué confirmant des « accès illégitimes au système d'information » de la Direction générale des Finances publiques (DGFiP), l'administration derrière impots.gouv.fr.

Ce n'est pas le portail grand public qui a été attaqué. D'après la FAQ officielle de la DGFiP pour les particuliers (24 août 2026), les accès frauduleux ont été rendus possibles par l'usurpation des identifiants d'agents publics. Le communiqué de Bercy précise qu'il s'agit des identifiants d'un agent de la DGFiP et d'un tiers habilité.

Que s'est-il passé, précisément ?

• Juin et juillet 2026 : des accès frauduleux au système d'information sont réalisés avec des identifiants usurpés. La DGFiP indique les avoir détectés et fermés à l'époque, sans pouvoir établir à ce stade qu'il y avait eu vol de données.
• 12 et 13 août 2026 : le pirate revendique l'extraction. La DGFiP en a connaissance, saisit la CNIL et dépose plainte.
• 14 août 2026 : communiqué du ministère de l'Économie. La CNIL est notifiée de la violation de données le même jour (page de la CNIL).
• À partir du 17 août 2026 : envoi des messages individuels d'information aux personnes concernées.

Quelles données ont fuité ?

La FAQ officielle de la DGFiP donne la liste suivante pour les particuliers :

Pour les professionnels, le communiqué de Bercy mentionne la raison sociale et le SIREN. Ces informations peuvent paraître anodines comparées à un mot de passe ou un IBAN. Elles sont pourtant ce dont un escroc a besoin pour rendre un message frauduleux crédible, comme l'explique la section suivante.

Un autre risque : usurpation d'identité et modification de votre compte

La DGFiP classe l'usurpation d'identité parmi les usages « plus marginaux » de ces données, en précisant qu'elle suppose que le fraudeur se procure par ailleurs une copie de vos pièces d'identité. L'administration indique aussi renforcer la surveillance des modifications sur les comptes fiscaux des personnes concernées dans les prochains mois, en particulier les changements d'adresse et de coordonnées bancaires.

Suis-je concerné ?

Depuis le lundi 17 août 2026, la DGFiP envoie un message d'information aux personnes concernées, par courriel ou, si elle n'a pas votre adresse électronique, par courrier. Ce message détaille les données susceptibles d'avoir été consultées ou extraites. Il ne contient aucun lien vers votre espace fiscal et ne demande aucune information confidentielle. Il n'existe pas d'outil public pour vérifier soi-même son exposition.

Si vous n'avez rien reçu, vous n'êtes probablement pas concerné, mais la DGFiP n'a pas publié de garantie en ce sens. Pour poser une question, les conseillers répondent au 0809 401 401 (numéro non surtaxé), par la messagerie sécurisée de votre espace impots.gouv.fr ou dans votre centre des Finances publiques.

Où en est l'enquête ?

Une enquête a été ouverte par le parquet de Paris et confiée à l'Office anti-cybercriminalité (Ofac). Selon Next (4 septembre 2026), un homme de 18 ans a été interpellé le 18 août et placé en détention provisoire après son examen le 20 août. Un mineur de 16 ans a été interpellé le 26 août et libéré après son audition. Les deux sont présumés innocents tant qu'ils n'ont pas été jugés, et l'enquête se poursuit.

Pourquoi les tentatives de phishing vont se multiplier, et devenir plus difficiles à repérer

La DGFiP le dit elle-même : les conséquences portent principalement sur des tentatives d'escroquerie par message (« hameçonnage ») ou par appel, notamment la fraude au faux conseiller bancaire ou au président, rendues plus crédibles par la mention de vos données personnelles. Un email de phishing générique, truffé de fautes, se repère assez facilement. Un email qui vous appelle par votre vrai nom et mentionne votre vrai nombre de parts ou votre vrai taux de prélèvement à la source est une autre affaire : il devient beaucoup plus crédible, y compris pour des personnes habituellement prudentes. C'est le principe du spear phishing, le phishing ciblé et personnalisé.

À cela s'ajoute une tendance de fond, indépendante de ce piratage : les outils d'intelligence artificielle générative permettent de rédiger des faux emails et SMS sans faute d'orthographe, avec une mise en forme qui imite la charte graphique d'impots.gouv.fr. Les indices « classiques » d'une arnaque (fautes de français, logo pixelisé, tournures maladroites) sont en train de disparaître. Un outil qui bloque automatiquement l'accès aux sites frauduleux complète donc utilement votre vigilance.

• ✓ Protection Anti-menaces Pro™ bloque automatiquement les sites de phishing avant qu'ils se chargent
• ✓ Alerte en temps réel si un site imite un service officiel comme impots.gouv.fr

Lien affilié, sans surcoût pour vous

Comment se protéger dès maintenant

1. Pour consulter votre situation fiscale, tapez toujours vous-même impots.gouv.fr dans votre navigateur, et ne passez jamais par un lien reçu par email ou SMS
2. Vérifiez toujours l'expéditeur d'un message, et prenez le temps de contrôler l'information par vous-même quand on vous pousse à réagir vite
3. Activez une protection anti-phishing qui bloque les sites frauduleux au niveau du réseau, en complément de votre vigilance
4. Vérifiez vos avis d'imposition et votre espace particulier directement depuis le site officiel, pas depuis une notification
5. Conservez toutes les preuves en cas de message suspect (messages, adresse du site, captures d'écran) et signalez-le sur cybermalveillance.gouv.fr

Que faire si vous pensez être victime d'une arnaque liée à ce piratage

1. Ne communiquez plus aucune information et coupez tout contact avec l'expéditeur du message
2. Si vous avez transmis des coordonnées bancaires, contactez immédiatement votre banque pour faire opposition
3. Signalez l'arnaque sur cybermalveillance.gouv.fr (assistance : 3018) ou orientez-vous via le service public 17Cyber.gouv.fr
4. En cas de préjudice, la CNIL recommande de déposer plainte au commissariat, à la gendarmerie, via la plateforme THÉSÉE (plainte en ligne pour les arnaques sur internet) ou par écrit au procureur de la République, avec toutes vos preuves. Une plainte individuelle auprès de la CNIL n'est pas nécessaire.

Sources : communiqué du ministère de l'Économie (14 août 2026), FAQ de la DGFiP pour les particuliers (24 août 2026), CNIL (18 août 2026), Next (4 septembre 2026).