Piratage des impôts : la DGFiP va vous écrire, comment repérer le faux message

Non, votre compte impots.gouv.fr n’a pas été piraté, et vous n’avez aucun mot de passe à changer dans l’urgence. Ce sont des données fiscales détenues par l’administration qui ont été consultées, pas votre espace personnel. Le vrai risque commence maintenant : la DGFiP écrit individuellement aux personnes concernées depuis le lundi 17 août 2026, et les escrocs vont imiter cette vague de messages officiels.

En bref #

• 678 000 particuliers et professionnels sont concernés selon le communiqué du ministère de l’Économie, un total encore provisoire.
• Le site impots.gouv.fr n’a pas été compromis : ni votre espace, ni votre identifiant, ni votre mot de passe.
• La DGFiP contacte chaque personne concernée depuis le 17 août, par courriel dans la semaine ou, à défaut d’adresse électronique, par courrier.
• Le message officiel ne contient aucun lien vers votre espace fiscal et ne demande aucune information confidentielle.
• Un vrai message des impôts ne vous demande jamais de cliquer pour « confirmer » ou « sécuriser » quoi que ce soit.

Dernières infos au mardi 18 août 2026 #

• Les envois ont commencé. Depuis le lundi 17 août, les personnes concernées reçoivent le message d’information de la DGFiP : un courriel au fil de la semaine ou, si l’administration ne dispose pas d’adresse électronique, un courrier. C’est ce que précise la FAQ officielle publiée le 17 août sur impots.gouv.fr, au titre de l’obligation d’information de l’article 34 du RGPD. Ce message « ne contient aucun lien direct vers votre espace fiscal et ne vous demande aucune information confidentielle ».
• Le détail officiel des personnes touchées : « un peu plus de 350 000 particuliers et 250 000 professionnels », selon cette même FAQ — sans qu’elle précise comment ce décompte se raccorde exactement aux 678 000 annoncés le 14 août. Pour moins de 250 contribuables, le contenu des messages échangés avec la DGFiP via la messagerie d’impots.gouv.fr a aussi pu être consulté.
• L’expéditeur cité par la presse : le courriel officiel part d’une adresse du domaine @dgfip.finances.gouv.fr (no-reply@dgfip.finances.gouv.fr). Un indice utile, pas une preuve : un en-tête d’e-mail peut se maquiller. En cas de doute, connectez-vous vous-même sur impots.gouv.fr.
• La CNIL a réagi le 18 août : « les vérifications sont en cours », indique-t-elle, en rappelant qu’elle « est susceptible de mener des investigations sur pièces ou sur place » sur la sécurité du système.
• Bercy a convié la presse ce mardi 18 août à 16 h pour un état des lieux de la réponse à la cyberattaque, avec le ministre David Amiel, la directrice générale Amélie Verdier et l’ANSSI.
• Les comptes fiscaux des victimes passent sous surveillance renforcée : la DGFiP annonce une attention particulière aux modifications à venir (changement d’adresse, de coordonnées bancaires). Pour toute question, un numéro non surtaxé : 0809 401 401.

Les chiffres officiels, et ce qu’ils ne disent pas #

Le point de départ n’est pas une rumeur : c’est le communiqué n°953 du ministère de l’Économie, publié le 14 août 2026. Quatre chiffres à retenir.

• 678 000 particuliers et professionnels concernés, un total présenté comme provisoire.
• 2 périodes d’intrusion : juin et juillet 2026.
• 12 et 13 août 2026 : les jours de revendication publique par l’attaquant.
• 0 € : ce que doit vous coûter cette affaire. Aucun « déblocage de dossier » payant n’est légitime.

Le communiqué décrit une mécanique précise : des « usurpations d’identifiants d’un agent de la DGFIP et d’un tiers habilité ». Côté particuliers, les données consultées sont le revenu fiscal de référence (le montant qui sert à calculer vos droits à certaines aides), le quotient familial et le taux de prélèvement à la source.

À lire Livret A à 2 % dès le 1er novembre ? Ce que dit vraiment la formule de septembre

Le détail que presque personne ne relève : l’intrusion date de fin juin #

L’intrusion date de fin juin. Le public l’a apprise le 12 août, par la revendication du pirate. Le premier communiqué de Bercy est tombé le 13 août, le second — celui qui donne des chiffres — le 14 août au soir. Entre l’intrusion et l’information du public : six à sept semaines.

Ce délai est le cœur de l’alerte syndicale. Dans un communiqué du 14 août 2026, Solidaires Finances Publiques affirme avoir interpellé la directrice générale dès juin sur les risques de « piratage, d’usurpation d’identité ou d’hameçonnage ciblé », et pose la question qui dérange : sans la revendication du pirate, « quand et comment les usagers et les personnels auraient-ils été informés du vol de leurs données personnelles ? »

« Les premières victimes sont les usagers qui risquent de recevoir de faux messages de la DGFiP pour des fraudes en tout genre, leur identité peut être usurpée. »

Solidaires Finances Publiques, communiqué du 14 août 2026

Autre nuance passée sous les radars : entre le communiqué du 13 août, qui parlait d’« une usurpation d’identité », et celui du 14 août, qui décrit « des usurpations d’identifiants d’un agent de la DGFIP et d’un tiers habilité », la formulation officielle s’est durcie en vingt-quatre heures. Pour le récit complet, notre article sur ce que dit vraiment la DGFiP détaille l’enchaînement des annonces.

Le vrai message des impôts contre le faux : le tableau à garder sous les yeux #

Le point à vérifier	Le vrai message de la DGFiP	Le faux message d’escroc
Le canal	Un courriel — la presse cite l’adresse no-reply@dgfip.finances.gouv.fr — ou un courrier papier si l’administration n’a pas votre adresse électronique.	Un mail ou un SMS, parfois suivi d’un appel pour « accompagner » la victime.
Ce qu’il contient	La liste des données vous concernant susceptibles d’avoir été consultées — et aucun lien direct vers votre espace fiscal.	Vos vrais chiffres, brandis comme preuve de légitimité. Ce n’en est plus une : ils ont fuité.
Ce qu’il demande	Rien à renvoyer. Le cas échéant, des mesures de vigilance à adopter.	De cliquer pour « vérifier », « confirmer » ou « sécuriser » votre dossier.
Mot de passe et RIB	Jamais demandés : les mots de passe n’ont pas été compromis.	Réclamés, ou saisis sur une page qui imite impots.gouv.fr.
Le délai	Aucune échéance, aucune menace de blocage.	24 h, 48 h, « avant suspension ». L’urgence est le levier.
Un remboursement	Hors sujet : ce courrier informe, il ne verse rien.	Promesse d’un remboursement à débloquer en donnant son RIB.

La dernière ligne mérite l’attention : l’arnaque aux impôts la plus répandue prend la forme d’un faux remboursement à réclamer. Or les remboursements existent bel et bien — le remboursement d’impôt de cet été a été versé les 24 et 31 juillet 2026. Sauf que l’administration verse ces sommes automatiquement, sans jamais réclamer de « confirmation » par lien.

Concrètement, que peut faire un escroc avec mon revenu fiscal de référence ? #

Pas grand-chose directement : un revenu fiscal de référence ne permet ni de prélever de l’argent, ni d’accéder à un compte. Le danger est ailleurs — ces données servent à crédibiliser.

À lire Fournitures scolaires : des prix en baisse, mais une hausse de 5 % annoncée d’ici décembre

Une fuite d’adresses e-mail produit du hameçonnage grossier — le « phishing », un message frauduleux qui se fait passer pour un organisme de confiance pour vous soutirer des informations. Une fuite de données fiscales produit du hameçonnage sur mesure : un message qui cite votre nom, votre quotient familial et votre taux exact désarme la méfiance en trois secondes. D’où une règle contre-intuitive : un message qui connaît vos chiffres n’est plus, à lui seul, un message légitime.

Les cinq gestes utiles (et celui qu’il ne faut pas faire) #

1. N’entreprenez rien tant que la DGFiP ne vous a pas écrit. Aucune démarche préalable n’est demandée.
2. Ne changez pas votre mot de passe en panique. Il n’a pas été compromis — et ce geste inutile est le prétexte que les escrocs vont exploiter.
3. Ne cliquez sur aucun lien reçu par mail ou SMS. Tapez vous-même impots.gouv.fr, ou passez par votre favori.
4. Traitez tout appel entrant avec la même prudence. Depuis le 11 août 2026, le démarchage téléphonique sans accord préalable est interdit : un appel non sollicité est un signal en soi.
5. Signalez tout message suspect. C’est gratuit et cela protège les autres.

La règle de référence est rappelée par Cybermalveillance.gouv.fr : « aucune administration ou société commerciale sérieuse ne vous demandera vos données bancaires ou vos mots de passe par message électronique ou par téléphone ».

Où signaler, précisément #

• Un site frauduleux imitant les impôts : Phishing Initiative, qui fait bloquer l’adresse dans les navigateurs.
• Un SMS frauduleux : la plateforme 33700.
• Un contenu illicite en ligne : internet-signalement.gouv.fr.
• Pour être accompagné en tant que victime : la fiche hameçonnage de Cybermalveillance.gouv.fr.
• Sur vos données personnelles : une plainte à la CNIL — que la DGFiP indique avoir elle-même saisie.

Et la « deuxième fuite » sur 2 millions de propriétaires ? #

Une seconde intrusion a été revendiquée le 14 août et n’est pas confirmée à ce jour dans ces termes. Elle viserait un serveur de données cadastrales et daterait du 29 juillet 2026. L’attaquant, sous le pseudonyme ZeroBytes, annonce 252 149 lignes extraites, portant selon lui sur 2 041 778 titulaires.

Ce dernier chiffre doit être manié avec des pincettes : une ligne de base de données n’est pas une personne. Un propriétaire apparaît sur autant de lignes qu’il détient de parcelles, et une parcelle en indivision porte plusieurs titulaires. Le total revendiqué compte des occurrences, pas des individus uniques : personne ne peut écrire que deux millions de personnes « sont » touchées.

À lire Démarchage téléphonique : depuis ce mardi, on ne peut plus vous appeler sans votre accord (et Bloctel ferme)

Ce qui est officiel, en revanche : le communiqué du 14 août reconnaît que « des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers ont également été consultées ». La FAQ officielle du 17 août ajoute que des « vols de données relatives au cadastre » ont été « constatés en parallèle » du vol principal — sans confirmer ni le serveur visé ni le volume revendiqué.

Questions fréquentes #

Dois-je changer mon mot de passe impots.gouv.fr ?

Non, pas dans l’urgence. Le communiqué n°953 indique que « les identifiants et les mots de passe des particuliers et des professionnels n’ont pas été compromis ». Aucun message légitime ne vous demandera de « re-sécuriser » votre compte via un lien.

Comment saurai-je si je fais partie des 678 000 personnes concernées ?

La DGFiP a commencé les envois le lundi 17 août 2026 : un courriel dans la semaine ou, si elle n’a pas votre adresse électronique, un courrier. Il n’existe aucun formulaire officiel pour le vérifier soi-même : si un service propose de « tester si vous êtes concerné », méfiez-vous.

La deuxième fuite annoncée sur 2 millions de propriétaires est-elle avérée ?

Non. C’est une revendication de l’attaquant, non confirmée à ce jour. Elle correspond aux titulaires qu’il dit avoir comptés dans 252 149 lignes : or une ligne n’est pas une personne. Le communiqué officiel reconnaît que des données cadastrales ont été consultées, mais ne valide aucun volume.

À lire Actualisation France Travail : date limite le 15 août, dernier jour ouvré le 14

À retenir #

• Votre espace impots.gouv.fr est intact : ni identifiant ni mot de passe compromis, aucun changement en urgence.
• La DGFiP écrit elle-même aux personnes concernées depuis le lundi 17 août 2026, par courriel ou par courrier — sans jamais y glisser de lien vers votre espace.
• Un message qui cite vos vrais chiffres fiscaux ne prouve plus rien : ces données ont précisément fuité.
• Aucun message officiel ne réclame de mot de passe, de RIB, ni de clic pour « sécuriser » un dossier.