Le piratage des données fiscales en 2026 concerne 678 000 particuliers et professionnels selon le bilan communiqué par la Direction générale des Finances publiques (DGFiP) le 14 août. Les intrusions ont permis de consulter et d’extraire des informations fiscales et cadastrales, mais l’administration précise que les espaces personnels impots.gouv.fr, les identifiants et les mots de passe des contribuables n’ont pas été compromis, rédaction rapporte SuperJouer Paris.
Pour savoir si ses données font partie de la fuite, il n’existe pas de moteur public où saisir son numéro fiscal. La procédure officielle est individuelle : depuis le 17 août 2026, les personnes identifiées comme concernées doivent recevoir un courriel de la DGFiP ou, en l’absence d’adresse électronique connue de l’administration, un courrier postal.
« Les espaces Finances publiques des usagers particuliers et professionnels n’ont pas été compromis. »
— Direction générale des Finances publiques, communiqué du 14 août 2026.
Que s’est-il réellement passé avec les données des impôts en 2026 ?
Les premières intrusions reconnues par Bercy reposaient sur l’utilisation frauduleuse d’identifiants appartenant à un agent de la DGFiP et à un tiers habilité. L’accès n’a donc pas consisté, selon les informations publiques disponibles, à entrer directement dans des centaines de milliers d’espaces particuliers avec leurs mots de passe.
Le communiqué du ministère publié le 14 août établissait que 678 000 particuliers et professionnels avaient été concernés par des consultations ou extractions de données. La page d’information de la DGFiP, actualisée le 27 août, indique désormais que les accès illégitimes sont intervenus en juin, juillet et août 2026.
Les informations susceptibles d’avoir été consultées comprennent notamment :
- l’identifiant fiscal ;
- l’état civil ;
- l’adresse postale ;
- le numéro de téléphone ;
- l’adresse électronique ;
- la situation de famille ;
- le nombre de personnes à charge et de parts fiscales ;
- le revenu fiscal de référence ;
- le taux de prélèvement à la source ;
- certaines données cadastrales, dont les adresses et surfaces de biens immobiliers ;
- la liste des messages échangés avec la DGFiP depuis la messagerie d’impots.gouv.fr.
Pour les entreprises, des informations comme la raison sociale ou le SIREN ont également été exposées.
La page officielle consacrée à l’incident reste le meilleur point de contrôle pour suivre les mises à jour : informations de la DGFiP sur le vol de données.
Comment savoir si ses données fiscales sont concernées ?
La réponse la plus importante est aussi la plus simple : la DGFiP contacte directement les personnes identifiées dans les données compromises.
Depuis le 17 août, l’information doit être transmise :
- par courriel lorsque la DGFiP possède une adresse électronique valide ;
- par courrier postal dans le cas contraire.
Il n’est donc pas nécessaire de saisir son numéro fiscal sur un site tiers, de télécharger un « outil de vérification » ou de répondre à un SMS proposant de contrôler si son dossier figure dans la fuite.
Ce point est particulièrement sensible car l’existence même du piratage peut être utilisée comme prétexte par des escrocs. Un message du type « vos données fiscales ont été piratées, reconnectez-vous immédiatement pour sécuriser votre compte » peut sembler cohérent avec l’actualité tout en constituant précisément une tentative d’hameçonnage.
La DGFiP précise que ses courriels officiels utilisent notamment des adresses se terminant par @dgfip.finances.gouv.fr ou @authentification.impots.gouv.fr. En cas de doute, il faut fermer le message et ouvrir soi-même le site officiel au lieu de suivre le lien reçu.
Cette méthode est également pertinente face aux faux SMS CAF, Ameli et impôts recensés pendant la rentrée 2026, qui utilisent précisément l’urgence, les remboursements ou les démarches administratives pour provoquer un clic.
« L’administration fiscale ne vous demande jamais d’informations confidentielles par courriel, SMS ou téléphone. »
— Ministère de l’Économie et des Finances.
Mon mot de passe impots.gouv.fr a-t-il été volé ?
Selon les informations disponibles au 2 septembre 2026, non : la CNIL comme la DGFiP indiquent que les identifiants et mots de passe impots.gouv.fr des particuliers et professionnels ne sont pas concernés par les violations décrites en août.
Cela change la conduite à tenir.
Un contribuable qui n’a reçu aucun message frauduleux, qui n’a communiqué son mot de passe à personne et qui utilise un mot de passe unique n’a pas de raison de considérer automatiquement son mot de passe comme volé à cause de cet incident.
En revanche, il faut le changer rapidement si :
- le même mot de passe est utilisé sur plusieurs services ;
- il a été saisi récemment après avoir suivi un lien reçu par SMS ou courriel ;
- une connexion inhabituelle ou une modification non demandée est constatée ;
- une personne a communiqué ses identifiants par téléphone ;
- une autre fuite de données a déjà exposé le même mot de passe.
Changer un mot de passe après avoir donné ses codes à une fausse page est une urgence ; le changer uniquement parce que des données fiscales ont été extraites du système interne de la DGFiP répond à une situation différente.
La DGFiP a par ailleurs réinitialisé le 20 août la double authentification valable six mois sur un même navigateur pour tous les usagers particuliers. Une nouvelle demande d’authentification peut donc être normale après cette opération de sécurité.
Les 7 vérifications à faire dans son espace fiscal
Même si l’espace personnel n’a pas été directement compromis, quelques minutes de contrôle permettent de détecter une anomalie indépendante du vol ou une tentative de fraude ultérieure.
| Élément à contrôler | Ce qu’il faut rechercher |
|---|---|
| Coordonnées personnelles | adresse, téléphone ou courriel modifiés sans autorisation |
| Messagerie sécurisée | échange avec la DGFiP que vous ne reconnaissez pas |
| Prélèvement à la source | changement inattendu de taux ou de situation |
| Coordonnées bancaires | compte bancaire inconnu ou modification récente |
| Avis d’impôt | document ou montant qui ne correspond pas à votre situation |
| Remboursements | remboursement annoncé ou demandé sans votre intervention |
| Déclarations | correction ou démarche fiscale que vous n’avez pas effectuée |
Il faut accéder à l’espace fiscal en tapant soi-même impots.gouv.fr dans le navigateur ou en utilisant l’application officielle. Un lien reçu dans un SMS n’est jamais nécessaire pour effectuer cette vérification.
Cette surveillance est d’autant plus utile pendant la période où les contribuables peuvent encore corriger leur déclaration d’impôts 2026. Une modification légitime effectuée par le contribuable ne doit pas être confondue avec une intervention qu’il n’aurait jamais demandée.
Le principal danger n’est pas forcément le piratage du compte
Le véritable risque après une fuite de cette nature est la précision que peuvent atteindre les futurs scénarios de fraude.
Un escroc qui connaît déjà un nom, une adresse, un revenu fiscal de référence, un taux de prélèvement ou l’existence d’un bien immobilier possède beaucoup plus de matière pour construire un message crédible.
Il peut par exemple appeler en affirmant :
« Nous vous contactons à propos de votre taux de prélèvement de X % et de votre dossier fiscal. Pour sécuriser le remboursement, confirmez votre compte bancaire. »
Le fait que certains renseignements soient exacts ne prouve absolument pas que l’appelant travaille pour les Finances publiques.
« Restez vigilant face aux tentatives d’hameçonnage à partir des données collectées. »
— CNIL, recommandations publiées le 18 août 2026.
La CNIL souligne précisément le risque d’utilisation des informations fiscales et de l’adresse pour rendre les sollicitations frauduleuses plus convaincantes. Elle recommande de surveiller régulièrement ses comptes et toute activité anormale liée à ses données personnelles.
Attention à ne pas confondre avec le piratage FICOBA de février 2026
L’année 2026 a connu un autre incident majeur impliquant la DGFiP : les accès illégitimes au fichier national des comptes bancaires FICOBA révélés en février.
Dans cette affaire distincte, un acteur malveillant avait usurpé les identifiants d’un fonctionnaire et consulté une partie du fichier recensant les comptes bancaires ouverts en France. La DGFiP estimait que 1,2 million de comptes pouvaient être concernés. Les informations accessibles incluaient notamment l’identité, l’adresse et les coordonnées bancaires RIB/IBAN. Le numéro fiscal n’avait en revanche pas été consulté lors de ces accès.
Il faut donc distinguer :
- le vol FICOBA du début de l’année, lié notamment aux coordonnées bancaires ;
- les accès au système d’information fiscal révélés en août, qui concernent principalement les données fiscales, personnelles, cadastrales et certaines informations de messagerie.
Ces événements ne signifient pas que toutes les personnes touchées par l’un le sont automatiquement par l’autre.
La documentation officielle concernant FICOBA est disponible sur la page dédiée de la DGFiP.
Un faux remboursement d’impôt doit désormais susciter encore plus de méfiance
Cybermalveillance.gouv.fr avait déjà alerté en juillet et août 2026 sur les messages annonçant de prétendus remboursements d’impôt. Ces campagnes utilisent généralement un montant précis puis demandent de suivre un lien et de communiquer des données personnelles ou bancaires.
Après la fuite de données fiscales, un message frauduleux peut devenir beaucoup plus personnalisé.
Un fraudeur peut connaître certaines informations avant même de contacter sa cible. La vieille règle « il connaît mon nom et mon adresse, donc c’est officiel » ne tient plus.
« Ne communiquez jamais vos codes, identifiants, mots de passe ou coordonnées bancaires en réponse à une sollicitation. »
— Ministère de l’Économie et des Finances.
Cybermalveillance.gouv.fr détaille les campagnes de faux remboursements sur sa fiche officielle consacrée à l’hameçonnage aux couleurs des impôts.
Que faire si un paiement ou un prélèvement fiscal paraît suspect ?
La présence d’un débit portant une référence fiscale ne signifie pas automatiquement qu’il s’agit d’une fraude. Septembre correspond notamment au paiement du solde d’impôt pour certains contribuables.
Avant de faire opposition, il faut comparer le débit avec l’avis d’impôt et le calendrier affiché dans l’espace personnel. Le prélèvement du solde d’impôt prévu à partir du 25 septembre 2026 peut ainsi être parfaitement régulier.
En revanche, une opération qui ne correspond à aucun avis, aucune échéance ou aucune démarche doit être contrôlée rapidement auprès de la banque et de la DGFiP, en utilisant leurs coordonnées officielles.
Que faire si l’on a déjà cliqué sur un faux message ?
La réaction dépend des informations communiquées.
Vous avez seulement ouvert la page
Fermez-la. Ne téléchargez aucun fichier et n’y retournez pas. Si aucune information n’a été saisie, le risque est généralement plus limité, même s’il faut surveiller l’appareil en cas de téléchargement ou comportement inhabituel.
Vous avez donné votre mot de passe impots.gouv.fr
Modifiez immédiatement le mot de passe depuis le vrai site. Changez également tous les autres comptes sur lesquels le même mot de passe était utilisé.
Vous avez communiqué une carte bancaire ou validé une opération
Contactez immédiatement votre banque par son canal officiel. Vérifiez les opérations et demandez les mesures de blocage adaptées.
Vous avez envoyé des documents d’identité
Le risque d’usurpation devient plus élevé. Conservez toutes les preuves et signalez rapidement les faits.
La DGFiP recommande notamment de conserver les messages, l’adresse du faux site et les captures d’écran. Une victime peut obtenir un diagnostic sur Cybermalveillance.gouv.fr et déposer plainte, notamment via la plateforme THÉSÉE lorsque la situation relève de son périmètre.
Faut-il déposer une plainte auprès de la CNIL ?
Pas simplement parce que son nom figure dans la fuite.
La CNIL a annoncé le 18 août avoir déjà été officiellement saisie des violations touchant la DGFiP. Elle précise qu’il n’est donc pas nécessaire d’envoyer une plainte individuelle concernant la violation elle-même, sauf si la personne dispose d’éléments spécifiques susceptibles d’être utiles aux investigations.
La Commission peut mener des contrôles afin d’évaluer si les mesures de sécurité appliquées étaient conformes aux exigences du RGPD et à l’état de l’art en matière de sécurité informatique.
La position officielle peut être consultée sur la page de la CNIL consacrée au piratage du système d’information des impôts.
FAQ — piratage des données fiscales et impots.gouv.fr en 2026
Comment vérifier en ligne si je fais partie des 678 000 personnes concernées ?
La DGFiP ne propose pas de moteur public permettant d’entrer son numéro fiscal pour interroger la liste. Les personnes identifiées comme concernées sont informées directement par courriel ou par courrier.
Mon espace impots.gouv.fr a-t-il été piraté ?
La DGFiP indique que les espaces Finances publiques des particuliers et professionnels n’ont pas été compromis dans les incidents annoncés en août 2026.
Les pirates ont-ils récupéré mon mot de passe ?
Les informations publiées par la DGFiP et la CNIL indiquent que les identifiants et mots de passe des particuliers et professionnels n’ont pas été compromis dans ces violations.
Dois-je changer mon mot de passe malgré tout ?
Ce n’est pas présenté comme une mesure obligatoire liée à cette fuite. Il faut en revanche le modifier immédiatement si vous l’avez saisi sur un faux site, communiqué à un tiers ou réutilisé sur un autre service compromis.
Quelles données fiscales peuvent avoir été volées ?
L’identifiant fiscal, l’état civil, les coordonnées, la composition du foyer, le revenu fiscal de référence, le taux de prélèvement à la source, certaines données cadastrales et la liste des échanges avec la messagerie de la DGFiP font partie des informations mentionnées officiellement.
Comment reconnaître un vrai courriel de la DGFiP ?
La DGFiP indique notamment utiliser les domaines @dgfip.finances.gouv.fr et @authentification.impots.gouv.fr. Toutefois, le réflexe le plus sûr consiste à ne pas utiliser le lien du message et à ouvrir directement impots.gouv.fr.
Une personne qui connaît mon revenu fiscal est-elle forcément un agent des impôts ?
Non. C’est précisément l’un des risques créés par cette fuite : des données réelles peuvent être utilisées pour rendre un faux appel, un faux courriel ou un faux SMS beaucoup plus crédible.
Les coordonnées bancaires font-elles partie de la fuite d’août ?
Les listes officielles publiées concernant l’incident d’août mettent en avant les données fiscales, personnelles, cadastrales et certaines informations de messagerie. Les coordonnées RIB/IBAN étaient en revanche explicitement concernées par l’incident FICOBA distinct révélé en février 2026.
Les trois réflexes à conserver après la fuite
La fuite de données impots.gouv.fr ne signifie pas que 678 000 mots de passe fiscaux circulent sur Internet. Le problème est différent : des données suffisamment précises ont été extraites pour faciliter des tentatives d’hameçonnage, de manipulation ou d’usurpation d’identité beaucoup plus crédibles.
Il faut donc contrôler les messages reçus, accéder à son espace fiscal uniquement par le site ou l’application officiels et vérifier régulièrement coordonnées, messagerie, données bancaires et opérations fiscales.
Un interlocuteur qui connaît déjà plusieurs informations exactes sur votre dossier n’est pas pour autant authentifié.
En cas d’anomalie, conservez les preuves et contactez directement la DGFiP ou votre banque par un canal que vous avez vous-même ouvert, sans utiliser les coordonnées fournies dans le message suspect.
Restez informé 24/7 des actualités locales à Paris, de la technologie et des jeux vidéo avec des informations utiles, fiables et mises à jour en continu sur SuperJouer Paris.