La Direction générale des finances publiques a confirmé, le 14 août 2026, que des personnes malveillantes avaient accédé à certains de ses outils internes en usurpant les identifiants d’un agent et d’un tiers habilité. Ces intrusions, intervenues en juin et juillet 2026, ont permis de consulter et d’extraire des données concernant environ 678 000 particuliers et professionnels.

Le portail public impots.gouv.fr, les espaces personnels des contribuables, leurs identifiants et leurs mots de passe ne sont pas annoncés comme compromis. Le principal danger immédiat n’est donc pas une prise de contrôle directe des comptes fiscaux, mais l’utilisation des informations volées pour fabriquer des courriels, SMS et appels frauduleux très crédibles.

Le réflexe prioritaire consiste à ne suivre aucun lien reçu dans un message prétendant venir des impôts. En cas de doute, il faut ouvrir soi-même impots.gouv.fr et consulter la messagerie de son espace sécurisé.

L’essentiel en quelques points

• La DGFiP confirme des accès illégitimes à son système d’information en juin et juillet 2026.
• Les pirates ont utilisé les identifiants usurpés d’un agent de la DGFiP et d’un tiers habilité.
• Environ 678 000 particuliers et professionnels sont concernés à ce stade.
• Les données touchées comprennent notamment le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source et certaines informations cadastrales.
• Les espaces particuliers et professionnels, les identifiants et les mots de passe des contribuables ne sont pas annoncés comme compromis.
• Les victimes doivent être informées individuellement par courriel ou courrier à partir du 17 août.
• Aucun service officiel ne permet actuellement de saisir son numéro fiscal pour vérifier si l’on figure dans la fuite.
• Le risque le plus probable est un hameçonnage personnalisé utilisant de véritables informations fiscales ou immobilières.

Ce qui s’est réellement passé

L’incident ne correspond pas exactement au « piratage du site des impôts » décrit par de nombreux titres de presse. Le communiqué publié par le ministère de l’Économie le 14 août parle d’« accès illégitimes au système d’information » de la DGFiP.

Ces accès reposaient sur l’usurpation des identifiants de deux utilisateurs autorisés : un agent de la DGFiP et un tiers habilité. L’attaquant pouvait donc apparaître, au moins en partie, comme un utilisateur légitime.

La DGFiP affirme avoir interrompu les accès des comptes compromis lorsqu’elle a détecté les intrusions. Les contrôles effectués à ce moment-là n’ont cependant pas permis d’identifier les extractions déjà réalisées. L’administration explique cette défaillance par la sophistication de l’opération.

Les investigations ouvertes après les revendications publiques des 12 et 13 août ont établi que les accès avaient permis de consulter et d’extraire des données concernant environ 678 000 particuliers et professionnels.

Pour les particuliers, la DGFiP confirme notamment l’exposition de données fiscales comme :

• le revenu fiscal de référence ;
• le quotient familial ;
• le taux de prélèvement à la source.

Pour les professionnels, les informations comprennent notamment :

• la raison sociale ;
• le numéro SIREN.

Le ministère confirme également la consultation de données cadastrales relatives aux adresses et aux surfaces de biens immobiliers.

La DGFiP a saisi la Commission nationale de l’informatique et des libertés, pris des mesures de sécurité supplémentaires et interrompu préventivement certains accès à des systèmes sensibles. L’Agence nationale de la sécurité des systèmes d’information participe aux investigations.

Chronologie de l’incident

Juin 2026 : première intrusion

L’administration situe le premier accès illégitime en juin. L’auteur de la revendication, qui utilise le pseudonyme ZeroBytes, avance la date du 26 juin.

Selon son récit, il aurait obtenu un accès distant à un outil interne permettant de rechercher des informations sur des particuliers et des entreprises. Il affirme avoir lancé une extraction automatisée avant que sa connexion soit interrompue.

La DGFiP confirme l’usurpation des identifiants d’un agent et la coupure de l’accès. Elle ne confirme pas publiquement tous les détails techniques avancés par ZeroBytes, notamment la compromission préalable de plusieurs serveurs et la récupération d’un accès VPN.

Juillet 2026 : second accès

Le communiqué officiel mentionne un second accès intervenu en juillet et reposant sur l’usurpation des identifiants d’un tiers habilité.

ZeroBytes affirme que cette opération a visé le Serveur professionnel de données cadastrales, ou SPDC. Il prétend avoir contourné une authentification multifacteur et extrait 252 149 lignes avant d’interrompre volontairement le téléchargement, jugé trop lent.

Ces éléments techniques restent des déclarations de l’attaquant. La DGFiP confirme néanmoins qu’un tiers habilité a été usurpé et que des données cadastrales ont été consultées.

12 août 2026 : première revendication publique

ZeroBytes publie sur un forum fréquenté par des cybercriminels une annonce proposant une base fiscale à la vente. Il revendique l’extraction de 678 438 lignes.

Le site spécialisé French Breaches examine un échantillon présenté comme issu de cette base. Il y relève des données d’identité, des coordonnées, des informations fiscales et des traces de démarches effectuées auprès de l’administration.

13 août 2026 : confirmation de l’intrusion

Bercy reconnaît un accès illégitime ayant permis la consultation et l’extraction de données concernant des particuliers et des professionnels. Le ministère ne donne alors ni bilan précis ni liste complète des données.

Une seconde revendication visant les informations cadastrales devient publique au même moment.

14 août 2026 : bilan officiel

La DGFiP annonce que 678 000 particuliers et professionnels sont concernés. Elle confirme la présence de données fiscales et cadastrales, tout en excluant la compromission des espaces sécurisés, des identifiants et des mots de passe des usagers.

Le chiffre reste susceptible d’évoluer : le communiqué précise que les investigations continuent pour déterminer exactement la nature et le volume des données extraites ainsi que le nombre d’usagers concernés.

À partir du 17 août 2026 : information des victimes

Les personnes identifiées doivent recevoir une information individuelle par courriel ou courrier. Le message doit leur préciser les catégories de données susceptibles d’avoir été consultées ou extraites et les précautions correspondantes.

Le site des impôts a-t-il réellement été piraté ?

La réponse dépend du sens donné au mot « site ».

Le service public impots.gouv.fr appartient bien au périmètre de la DGFiP visé par l’attaque. Mais aucune information officielle ne montre que la page publique, le système d’authentification des contribuables ou l’ensemble des espaces fiscaux ont été compromis.

Les pirates semblent avoir utilisé des comptes professionnels habilités pour accéder à des applications internes. Il est donc plus précis de parler :

• d’intrusions dans le système d’information de la DGFiP ;
• de compromission d’identifiants professionnels ;
• de consultation et d’extraction de données fiscales et cadastrales.

Cette distinction modifie les mesures à prendre. Si les mots de passe des contribuables avaient été volés, leur changement immédiat serait prioritaire. Puisque la DGFiP exclut cette hypothèse, le premier risque concerne plutôt les escroqueries utilisant les informations extraites.

Le compte fiscal d’une personne ne devient pas automatiquement accessible parce qu’un fraudeur connaît son revenu fiscal, sa situation familiale ou son numéro fiscal.

Quelles données ou quels services peuvent être concernés ?

Les sources ne décrivent pas toutes le même périmètre. Il faut distinguer les informations confirmées par la DGFiP, celles relevées dans les échantillons et les affirmations encore invérifiables de l’attaquant.

Statut	Éléments concernés
Confirmé par la DGFiP	Revenu fiscal de référence, quotient familial, taux de prélèvement à la source, raison sociale, SIREN, adresses et surfaces de biens immobiliers
Observé dans les échantillons selon French Breaches	Noms, prénoms, dates et lieux de naissance, adresses, téléphone, courriel, situation familiale, personnes à charge, nombre de parts, identifiant fiscal interne et historique de certaines demandes
Exclu par la DGFiP	Compromission des espaces personnels et professionnels, vol des identifiants et mots de passe des usagers
Non signalé comme compromis	Numéro de carte bancaire, code bancaire, mot de passe de messagerie, contenu intégral du compte fiscal
Encore inconnu	Liste complète des champs pour chaque victime, volume exact de la seconde extraction, éventuel chevauchement entre les fichiers et existence d’autres données extraites

Pourquoi les chiffres de 678 000 et de deux millions circulent-ils ?

Le bilan officiel publié le 14 août porte sur environ 678 000 particuliers et professionnels. Il est proche des 678 438 lignes initialement revendiquées par ZeroBytes.

La seconde revendication concerne 252 149 lignes de données cadastrales. French Breaches rapporte que l’attaquant fait correspondre ces lignes à 2 041 778 titulaires, car plusieurs personnes peuvent détenir des droits sur une même parcelle.

Ce chiffre de deux millions n’est pas un bilan officiel de personnes uniques. Il ne doit pas être additionné mécaniquement aux 678 000 usagers :

• les unités de comptage diffèrent ;
• plusieurs titulaires peuvent figurer dans une même ligne ;
• une personne peut apparaître dans plusieurs enregistrements ;
• certaines personnes peuvent être présentes dans les deux fichiers ;
• la DGFiP poursuit encore ses vérifications.

L’affirmation selon laquelle vingt millions de personnes auraient été potentiellement accessibles correspond également à une estimation du pirate, pas au nombre de dossiers effectivement extraits.

Comment savoir si vous êtes concerné ?

La DGFiP doit informer directement chaque particulier et professionnel identifié, par courriel ou courrier.

À la date du 15 août 2026, aucune source officielle consultée ne propose :

• de moteur de recherche des victimes ;
• de formulaire où saisir son numéro fiscal ;
• de test public de son adresse électronique ;
• de service payant de vérification.

Un site ou un message proposant de « vérifier immédiatement » votre présence dans la fuite en échange de votre numéro fiscal, de votre mot de passe ou de vos coordonnées personnelles doit être considéré comme suspect.

Comment vérifier une notification reçue ?

Une adresse électronique de la DGFiP se termine normalement par @dgfip.finances.gouv.fr. Les sites officiels de l’État utilisent des domaines en .gouv.fr. Ces indices sont utiles, mais ne suffisent pas toujours : le nom visible de l’expéditeur et certains éléments d’affichage peuvent être falsifiés.

La vérification la plus sûre consiste à :

1. ne pas utiliser le lien contenu dans le message ;
2. ouvrir un nouvel onglet ;
3. saisir soi-même impots.gouv.fr ;
4. se connecter à son espace ;
5. consulter la messagerie sécurisée ;
6. contacter son service fiscal depuis les coordonnées présentes dans cet espace si nécessaire.

L’absence de message le 17 août ne prouvera pas immédiatement qu’une personne n’est pas concernée. La campagne de notification peut s’étendre sur plusieurs jours et certains contribuables seront contactés par courrier postal.

Que faire maintenant ?

À faire immédiatement si vous constatez une activité suspecte

1. Ne répondez pas au message

Ne fournissez aucune information complémentaire, même si l’interlocuteur connaît déjà votre nom, votre numéro fiscal, votre revenu ou l’adresse d’un bien immobilier.

2. Ne cliquez plus sur les liens et n’ouvrez pas les pièces jointes

Fermez la page éventuellement ouverte. Ne téléchargez aucun logiciel demandé par un prétendu agent des impôts ou conseiller bancaire.

3. Vérifiez directement votre espace fiscal

Ouvrez vous-même impots.gouv.fr. Consultez votre messagerie sécurisée et vérifiez qu’aucune démarche inconnue n’apparaît.

4. Modifiez les identifiants réellement exposés

Si vous avez saisi votre mot de passe fiscal sur un faux site, changez-le immédiatement. Changez également ce mot de passe sur tous les autres services où vous l’utilisiez.

Si vous avez communiqué le mot de passe de votre messagerie, sécurisez d’abord cette messagerie, car elle peut servir à réinitialiser d’autres comptes.

5. Contactez votre banque si vous avez transmis une donnée bancaire

Avertissez-la sans attendre si vous avez :

• communiqué un numéro de carte ;
• transmis un code bancaire ;
• validé une opération ;
• installé une application à la demande d’un interlocuteur ;
• remis votre carte à un coursier ;
• constaté un mouvement inconnu.

La simple présence de vos données fiscales dans la fuite ne justifie pas, à elle seule, de faire opposition à une carte bancaire.

6. Conservez les preuves

Gardez :

• le message reçu ;
• l’adresse complète de l’expéditeur ;
• les captures d’écran ;
• l’adresse de la page frauduleuse ;
• les numéros utilisés ;
• la date et l’heure de l’appel ;
• les justificatifs d’une éventuelle opération bancaire.

En cas d’utilisation frauduleuse de vos données, Cybermalveillance.gouv.fr recommande de conserver ces éléments et de déposer plainte.

À faire par précaution

• Utilisez un mot de passe différent pour chaque service important.
• Vérifiez régulièrement votre espace fiscal et votre messagerie.
• Activez les alertes bancaires disponibles.
• Surveillez les opérations de vos comptes sans supposer que vos coordonnées bancaires ont été volées.
• Prévenez les personnes qui gèrent habituellement vos démarches fiscales, notamment votre conjoint ou votre comptable.
• Pour une entreprise, informez les personnes chargées de la comptabilité, de la trésorerie et des relations avec l’administration.
• Traitez avec prudence les messages relatifs aux remboursements, taxes foncières, déclarations d’occupation, corrections de surface, contrôles et régularisations.

À éviter

• Ne saisissez pas votre numéro fiscal dans un « vérificateur de fuite » non officiel.
• Ne payez pas pour obtenir la liste des données compromises.
• Ne transmettez pas une copie de pièce d’identité pour prétendument sécuriser votre dossier.
• Ne rappelez pas un numéro fourni dans un message suspect.
• Ne supposez pas qu’un appel est authentique parce que le numéro affiché semble officiel.
• Ne changez pas précipitamment toutes vos coordonnées bancaires sans indice de fraude.
• Ne partagez pas publiquement la notification reçue si elle contient des informations personnelles.

Attention aux messages frauduleux exploitant cette actualité

Les escrocs peuvent utiliser l’existence même de la cyberattaque comme prétexte, sans disposer réellement de la base volée.

Voici des exemples fictifs de formulations suspectes :

« Vos données figurent parmi les dossiers compromis. Cliquez ici avant ce soir pour bloquer votre numéro fiscal. »

« Une anomalie a été détectée dans votre taux de prélèvement. Confirmez votre carte bancaire pour recevoir le remboursement. »

« Votre bien immobilier apparaît dans la fuite cadastrale. Envoyez une copie de votre pièce d’identité pour supprimer les informations. »

« Un agent va venir récupérer votre carte afin d’empêcher une fraude liée au piratage des impôts. »

Les principaux signaux d’alerte sont :

• l’urgence ;
• la menace d’une pénalité immédiate ;
• la promesse d’un remboursement ;
• la demande de coordonnées bancaires ;
• la demande d’un mot de passe ou d’un code reçu par SMS ;
• l’envoi vers un formulaire extérieur à l’espace fiscal ;
• la demande d’installer un logiciel ;
• la proposition d’un service de protection payant ;
• l’envoi d’un coursier.

La page d’alerte d’impots.gouv.fr précise que l’administration n’envoie pas de courriel invitant à remplir un formulaire extérieur pour obtenir un remboursement sans passer par l’espace authentifié. Elle recommande également de ne pas cliquer sur les liens reçus par SMS pour régler un impôt, une amende ou une facture.

Faut-il changer son mot de passe ?

Pas systématiquement à cause de cette seule fuite.

Le ministère indique explicitement que les identifiants et les mots de passe des particuliers et des professionnels n’ont pas été compromis. Un changement généralisé du mot de passe fiscal n’est donc pas la première mesure à prendre.

Changez-le néanmoins si :

• vous l’utilisez aussi sur d’autres sites ;
• vous avez cliqué sur un lien suspect et l’avez saisi ;
• une personne vous l’a demandé par téléphone ou message ;
• vous constatez une activité inconnue dans votre espace ;
• votre navigateur l’a enregistré sur un appareil compromis.

Le changement d’un mot de passe ne supprime pas les informations fiscales déjà extraites. Il protège uniquement l’accès au compte.

Un nouveau mot de passe doit être unique. Réutiliser le même mot de passe légèrement modifié sur plusieurs services maintient le risque.

Quels sont les risques réels pour les contribuables ?

Risque élevé : hameçonnage fiscal personnalisé

C’est la conséquence la plus vraisemblable. Les données volées permettent de construire un message comportant de véritables informations :

• nom ;
• adresse ;
• revenu fiscal ;
• taux de prélèvement ;
• situation familiale ;
• référence à une démarche réelle.

Le message peut donc sembler beaucoup plus crédible qu’un courriel frauduleux ordinaire.

Risque élevé : ingénierie sociale

L’ingénierie sociale consiste à manipuler une personne pour qu’elle communique une information ou réalise une opération.

Un fraudeur peut se présenter comme :

• un agent des finances publiques ;
• un conseiller bancaire ;
• un notaire ;
• un professionnel de l’immobilier ;
• un prestataire chargé de sécuriser les comptes ;
• un service enquêtant sur la fuite.

La connaissance préalable d’informations exactes réduit la méfiance de la victime.

Risque plausible : usurpation d’identité

La combinaison de l’état civil, des coordonnées et de certaines références fiscales peut faciliter des démarches frauduleuses ou servir de point de départ à la collecte d’autres documents.

La fuite ne signifie toutefois pas que chaque victime subira une usurpation ni que les données suffisent à franchir toutes les procédures de vérification.

Risque indirect : fraude bancaire

Aucune donnée bancaire n’est officiellement mentionnée parmi les informations compromises dans cet incident. Le danger bancaire apparaît surtout lorsqu’un faux conseiller obtient ensuite :

• un numéro de carte ;
• un code ;
• une validation dans l’application bancaire ;
• une prise de contrôle de l’appareil ;
• un virement volontaire vers un faux compte sécurisé.

Les données fiscales ne permettent pas directement de retirer de l’argent.

Risque plausible mais non observé : ciblage patrimonial

Le revenu fiscal et les données cadastrales peuvent servir à sélectionner des foyers supposés aisés. La connaissance des adresses et des biens immobiliers pourrait alimenter des escroqueries patrimoniales ou des opérations de repérage.

À la date du 15 août 2026, aucune source consultée ne documente un cambriolage ou une agression directement causés par cette fuite.

Risque non établi : prise de contrôle directe du compte fiscal

La DGFiP exclut la compromission des mots de passe et des espaces sécurisés. La seule possession des données extraites ne permet donc pas, selon les informations disponibles, de se connecter au compte impots.gouv.fr d’une victime.

Ce que l’on ignore encore

Plusieurs questions restent ouvertes :

• Le chiffre de 678 000 sera-t-il révisé ?
• Combien de personnes uniques figurent réellement dans les données cadastrales ?
• Quel est le chevauchement entre les données fiscales et cadastrales ?
• Tous les champs observés dans les échantillons concernent-ils l’ensemble des victimes ?
• Comment les identifiants de l’agent et du tiers habilité ont-ils été obtenus ?
• Un VPN a-t-il effectivement été compromis ?
• Le mécanisme d’authentification multifacteur a-t-il été contourné ?
• Pendant combien de temps chaque accès est-il resté utilisable ?
• Pourquoi les contrôles réalisés lors de la détection n’ont-ils pas identifié l’exfiltration ?
• Les bases ont-elles déjà été vendues ou diffusées ?
• Des campagnes de phishing exploitent-elles déjà ces fichiers ?
• L’administration disposait-elle, dès juin ou juillet, d’éléments suffisants pour caractériser une violation de données ?
• D’autres outils internes ont-ils été accessibles ?

La règle européenne impose une notification à la CNIL dans les meilleurs délais et, en principe, au plus tard dans les 72 heures après la constatation d’une violation présentant un risque. Un risque élevé impose également d’informer les personnes concernées. La question juridique dépend donc du moment où la DGFiP pouvait raisonnablement savoir que des données avaient été extraites, et pas seulement du jour de l’intrusion. La CNIL détaille cette obligation sur son site.

Questions fréquentes

Les pirates peuvent-ils entrer dans mon espace impots.gouv.fr ?

Pas avec les seules données officiellement annoncées. La DGFiP affirme que les espaces sécurisés, les identifiants et les mots de passe des contribuables n’ont pas été compromis.

Comment la DGFiP me préviendra-t-elle ?

L’administration annonce une information individuelle par courriel ou courrier. Le message doit préciser les catégories de données concernées et les mesures de vigilance correspondantes.

Puis-je vérifier mon numéro fiscal dans une base publique ?

Non. Aucun service officiel de vérification n’est annoncé au 15 août 2026. Un site demandant votre numéro fiscal pour réaliser ce test peut constituer une tentative de collecte frauduleuse.

Un véritable message de la DGFiP peut-il contenir un lien ?

Certaines communications administratives peuvent contenir des liens, mais leur présence ne prouve pas l’authenticité. Pour cet incident, le comportement le plus sûr consiste à ne pas utiliser le lien et à ouvrir soi-même impots.gouv.fr.

Dois-je prévenir ma banque ?

Pas uniquement parce que vos données fiscales pourraient figurer dans la fuite. Prévenez immédiatement votre banque si vous avez communiqué une information bancaire, validé une opération, installé un logiciel à la demande d’un interlocuteur ou constaté un mouvement inconnu.

Dois-je faire opposition à ma carte ?

Aucune source officielle ne signale le vol de numéros de cartes bancaires dans cette affaire. Une opposition préventive n’est donc pas justifiée sans indice supplémentaire. Elle devient nécessaire si les données de la carte ont été communiquées ou utilisées frauduleusement.

Le chiffre de deux millions de propriétaires est-il confirmé ?

Non. ZeroBytes affirme que 252 149 lignes cadastrales représenteraient 2 041 778 titulaires. La DGFiP confirme la consultation de données cadastrales, mais pas ce décompte de personnes uniques.

Mon numéro fiscal permet-il à un escroc de prélever de l’argent ?

Non. Il peut rendre un message frauduleux plus crédible, mais il ne constitue pas un moyen de paiement et ne permet pas, à lui seul, d’accéder à un compte bancaire.

Conclusion

La DGFiP confirme des intrusions dans ses outils internes et la consultation ou l’extraction de données concernant environ 678 000 particuliers et professionnels. Le portail fiscal, les espaces sécurisés et les mots de passe des contribuables ne sont pas annoncés comme compromis.

Le risque le mieux établi est l’utilisation des informations fiscales et cadastrales pour personnaliser des courriels, SMS et appels frauduleux. Les pertes financières éventuelles supposeraient généralement une seconde étape : convaincre la victime de fournir un mot de passe, un code, une donnée bancaire ou de valider elle-même une opération.

L’action la plus utile consiste à ignorer les liens reçus, ouvrir directement impots.gouv.fr et vérifier toute sollicitation depuis la messagerie sécurisée ou les coordonnées officielles de son service fiscal.

Sources

• Ministère de l’Économie — Accès illégitimes au système d’information de la Direction générale des Finances publiques, publié le 14 août 2026, consulté le 15 août 2026.
• Impots.gouv.fr — Attention aux arnaques !, date de mise à jour non indiquée, consulté le 15 août 2026.
• Cybermalveillance.gouv.fr — Violation ou fuite de données personnelles, que faire ?, mis à jour le 3 août 2026, consulté le 15 août 2026.
• CNIL — Règlement européen : quand faut-il notifier une violation de données à la CNIL ?, date de mise à jour non indiquée, consulté le 15 août 2026.
• French Breaches — Impôts : plus de 678 000 personnes concernées par une fuite de données, publié le 12 août 2026 et mis à jour le 13 août 2026, consulté le 15 août 2026.
• French Breaches — Cyberattaque contre la DGFiP : plus de deux millions de propriétaires concernés par une fuite de données cadastrales, publié le 14 août 2026, consulté le 15 août 2026.
• Le Journal du dimanche — Vol de données du système d’information des impôts : le parquet de Paris ouvre une enquête, publié le 15 août 2026, consulté le 15 août 2026.
• RTL — La plateforme des impôts victime d’une cyberattaque : que faire si vos données personnelles ont été dérobées ?, publié le 14 août 2026, consulté le 15 août 2026.
• Cryptoast — Piratage du site des impôts : des campagnes massives d’arnaques sont à prévoir, publié le 15 août 2026, consulté le 15 août 2026.